ドットマネー、システム不具合で最大18,936件に他人の情報表示と操作が可能な状態に|セキュリティとシステム障害のニュース-セキュリティ対策Lab

投稿日時: 2026年02月13日更新日時: 2026年02月13日

株式会社サイバーエージェントが運営するポイント交換サービス、ドットマネー by Amebaは2026年2月12日、システム設定の不備により、ログインユーザーに別のユーザーの情報が表示され操作可能な状態となる不具合が発生していたことを公表しました。

2月4日から5日にかけての約22時間、サーバー側のセッション管理機構の不具合により、最大18,936件のアカウントに影響が及んだ可能性があるとしています。

インシデントの概要

今回の不具合は、2026年2月4日15時18分から2月5日13時56分までの間に発生しました。この期間中、ドットマネーにアクセスしたユーザーの一部において、サーバー側のセッション管理機構の不具合により、ユーザーセッションが他のユーザーセッションと誤って紐付けられる状態が発生していました。

この結果、ログインしたユーザーに対して、本来表示されるべき自身の情報ではなく、他のユーザーの登録情報が画面上に表示される事象が発生しました。さらに深刻なのは、表示されただけでなく、その情報を操作できる状態になっていたことです。

同社は、本件が外部からのサイバー攻撃や不正アクセスによるものではなく、システム設定不備が原因であることを明言しています。

ログ解析の結果、不具合の影響を受けた可能性のある期間において、ページが表示された最大の人数は18,936件であることが確認されています。

ただし、この件数にはユーザー自身の情報を正しく参照したケースも含まれており、システムログの仕様上、本人による閲覧か他者による閲覧かを区別できないため、可能性のあるすべての件数を計上した最大値となっています。

閲覧された可能性のある情報の内訳は以下の通りです。

アカウントIDが最大15,902件、

アカウントページ情報（氏名、カナ、メールアドレス、電話番号）が最大4,997件、

外部連携IDが最大1,846件、

ギフトコードが最大1,256件、

銀行口座情報が最大610件、

外部連携に紐づく情報（氏名、カナ、メールアドレス、電話番号、生年月日）が最大474件となっています。

特に注目すべきは、登録情報の更新や書き換えが発生したアカウントが最大2,652件確認されていることです。これらのアカウントについては、更新操作が本人によるものか他者によるものかの判別ができないため、安全確保のために一時的にログイン制限措置が取られています。