タカラトミーのデュエル・マスターズアプリに認証脆弱性で最大約15万5,000人の個人情報漏洩の恐れ

株式会社タカラトミーは2026年7月28日、「デュエル・マスターズ サポートアプリ」のユーザー認証機能に技術的な脆弱性があり、特定の条件下で第三者が利用者の個人情報を閲覧できる可能性があったと公表しました。

対象期間はアプリを公開した2025年8月1日から、改修が完了した2026年7月13日までです。対象となる可能性がある利用者は最大約15万5,000人で、氏名、住所、電話番号、生年月日、メールアドレス、ハンドルネーム、XユーザーIDなどが含まれます。タカラトミーは脆弱性をすでに改修しており、第三者による閲覧や不正利用は確認されていないと説明しています。

デュエル・マスターズ サポートアプリの個人情報閲覧問題の概要サマリー

• タカラトミーは2026年7月28日、デュエル・マスターズ サポートアプリの認証機能に脆弱性があったと公表しました
• 特定の条件下で、第三者が登録利用者の個人情報を閲覧できる可能性がありました
• 対象期間はアプリ公開日の2025年8月1日から、改修完了日の2026年7月13日までです
• 対象人数は最大約15万5,000人で、期間中の登録者数を基に算出した上限です
• 対象情報には氏名、住所、電話番号、性別、生年月日、メールアドレスが含まれます
• サービスID、ハンドルネーム、XユーザーIDも対象となる可能性があります
• パスワードや決済情報は、対象情報として公表されていません
• 第三者が実際に情報を閲覧した事実や、不正利用した事実は確認されていません
• 原因は、開発段階におけるユーザー認証機能の設計・実装上の脆弱性です
• 脆弱性は2026年7月13日までに改修されています
• タカラトミーは現時点で利用者へパスワード変更などの特別な対応を求めていません
• 個人情報保護委員会への報告状況は公表資料に記載されていません
• 利用者はタカラトミーや同アプリを装うメール、SMS、電話に注意する必要があります

項目	内容
公表日	2026年7月28日
被害企業	株式会社タカラトミー
対象サービス	デュエル・マスターズ サポートアプリ
事案の内容	ユーザー認証機能の脆弱性により、特定条件下で第三者が利用者情報を閲覧できた可能性
対象期間	2025年8月1日～2026年7月13日
対象人数	最大約15万5,000人
漏えいの可能性がある情報	氏名、住所、電話番号、性別、生年月日、メールアドレス、サービスID、ハンドルネーム、XユーザーID
パスワード	対象情報として公表されていない
決済情報	対象情報として公表されていない
原因	開発段階におけるユーザー認証機能の設計・実装上の脆弱性
実際の閲覧	現時点で確認されていない
不正利用	現時点で確認されていない
改修状況	2026年7月13日までに改修済み
利用者への依頼	パスワード変更などの特別な対応は求めていない
個人情報保護委員会への報告	公表資料に記載なし
再発防止策	従業員への情報セキュリティ教育、アプリサービスのセキュリティ確認体制強化
問い合わせ先	DMPランキング・個人向けお問い合わせフォーム

ユーザー認証機能の脆弱性で個人情報が閲覧可能に

タカラトミーによると、デュエル・マスターズ サポートアプリのユーザー認証機能に技術的な脆弱性があり、特定の条件下で第三者が他の利用者の個人情報を閲覧できる可能性がありました。

原因は、アプリの開発段階における認証機能の設計・実装上の不備です。

公表資料では、攻撃に必要だった具体的な条件や操作方法、認証を完全に回避できたのか、有効なアカウントが必要だったのか、APIやセッショントークンに問題があったのかは説明されていません。

約1年にわたり脆弱な状態が存在

対象期間は、デュエル・マスターズ サポートアプリがリリースされた2025年8月1日から、改修が完了した2026年7月13日までです。

脆弱性はアプリ公開後に生じた設定変更やアップデートによって持ち込まれたのではなく、開発段階の設計・実装に起因すると説明されています。

タカラトミーは7月13日に改修を完了し、影響範囲の調査と改修状況の確認を行った後、7月28日に事案を公表しました。

公表までに約2週間を要したことについて、同社は影響範囲の調査とサービスの改修状況を確認したためと説明しています。

現時点では、脆弱性の発見日、発見の経緯、外部からの指摘だったのか社内調査で判明したのかは明らかにされていません。

問題が存在した期間が長い場合、調査ではサービス開始時点まで遡ってアクセスログを確認する必要があります。ログの保存期間が対象期間より短ければ、第三者による閲覧がなかったことを技術的に確認できる範囲が限られる可能性があります。

続報では、調査対象としたログの期間や、どのような根拠で第三者による閲覧なしと判断したのかが焦点になります。

最大約15万5,000人は実際の流出件数ではない

対象人数は最大約15万5,000人です。

この数字は、対象期間中にアプリへ登録されていた利用者数を基に算出した最大値であり、第三者が実際に閲覧した人数ではありません。

脆弱性の条件を満たした場合に閲覧される可能性があった情報の範囲として公表されたものです。

タカラトミーは、第三者がお客様情報を閲覧した事実や、不正利用した事実は確認されていないと説明しています。

そのため、「最大約15万5,000人が影響を受ける可能性があった事案」として認識する必要があります。

氏名・住所・生年月日・XユーザーIDなどが対象

閲覧される可能性があった情報は次のとおりです。

• 氏名
• 住所
• 電話番号
• 性別
• 生年月日
• メールアドレス
• サービスID
• ハンドルネーム
• XユーザーID

パスワード、クレジットカード情報、銀行口座情報、購入履歴は対象情報として記載されていません。

今回の対象には、住所や電話番号など現実の生活へ結びつく情報と、ハンドルネームやXユーザーIDなどオンライン上の活動へ結びつく情報が含まれます。

これらが組み合わされると、公開プロフィールだけでは分からない実名、住所、生年月日、連絡先と、SNS上のアカウントを関連付けられる可能性があります。

実際の閲覧は確認されていませんが、仮に情報が取得されていた場合、特定の利用者を狙ったフィッシング、なりすまし、嫌がらせ、アカウント調査などへ悪用されるおそれがあります。

生年月日や電話番号は、別サービスの本人確認質問やパスワード再設定で補助情報として使われることもあります。利用者情報の組み合わせによっては、単独のメールアドレス漏えいより二次被害の危険性が高まります。

デュエル・マスターズ サポートアプリとは

デュエル・マスターズ サポートアプリは、タカラトミーがiOSとAndroid向けに提供する無料アプリです。

公式サイトでは、デュエル・マスターズの大会やイベントに関連するサポートアプリとして案内されています。

今回の問い合わせ先は、DMPランキング・個人向けお問い合わせフォームです。

利用者情報にはサービスID、ハンドルネーム、XユーザーIDが含まれており、実名情報だけでなく、大会やコミュニティで使用する識別情報も管理されていたことが分かります。

カードゲームやイベントに関するサービスを装ったメールでは、大会エントリー、ランキング確認、限定カード、キャンペーン当選、アカウント確認などを口実に偽サイトへ誘導する手口が考えられます。

正規サービスで登録した情報と一致する内容が含まれていても、メールやSMS内のリンクをそのまま開かないことが重要です。

パスワード変更は求められていない

タカラトミーは、現時点で利用者へパスワード変更などの特別な対応を求めていません。

公表された対象情報にパスワードは含まれておらず、第三者による情報閲覧や不正利用も確認されていないためです。

利用者は、今回の公表を見て慌ててメール内のリンクからパスワードを変更しないよう注意してください。

事案の発生を悪用し、「セキュリティ確認のため再ログインが必要」「アカウント保護のため本人確認を行う」などと案内する偽メールが送られる可能性があります。

パスワードを変更する場合は、メールやSMSのリンクではなく、公式アプリまたはタカラトミーの公式サイトから操作します。

同じパスワードをメール、X、他のゲームサービスなどで使い回している場合は、今回の事案とは別に、サービスごとに異なるパスワードへ変更することが望まれます。

メールアカウントとXでは多要素認証を有効にし、パスワード再設定や不審なログインに関する通知を確認してください。

タカラトミーを装うメールやSMSに注意

タカラトミーは、同社またはデュエル・マスターズ サポートアプリを装った不審なメール、SMS、電話を受け取った場合や、心当たりのない操作を確認した場合、専用フォームへ連絡するよう案内しています。

想定される不審な連絡には次のようなものがあります。

• 個人情報漏えいの確認を理由に再ログインを求める
• パスワード変更やアカウント保護を装って偽サイトへ誘導する
• 大会参加情報の再登録を求める
• ランキングやアカウントの停止を通知する
• 限定カードや賞品の当選を装って住所や決済情報を入力させる
• 本人確認を理由に生年月日や電話番号を聞き出す
• Xアカウントとの再連携を求める
• サポート担当者を装って認証コードを聞き出す

不審なメールやSMSを受け取っても、リンクを開いたり、記載された電話番号へ連絡したりしないでください。

問い合わせる場合は、タカラトミーの公式サイトや公式アプリから正規の窓口を確認します。

氏名や生年月日などを相手が知っていても、正規のサポート担当者である証拠にはなりません。漏えいした情報や公開情報を使い、信頼させる手口があるためです。

XユーザーIDとの組み合わせに注意

今回の対象情報にはXユーザーIDが含まれます。

Xの表示名は変更できますが、ユーザーIDはアカウントを識別する情報として使用されます。

氏名、住所、電話番号、生年月日、メールアドレスとXユーザーIDが結び付いた場合、オンライン上の発言や交流と、現実の本人情報が関連付けられる可能性があります。

利用者はXの公開範囲、プロフィール、過去の投稿、位置情報、写真に含まれる個人情報を見直してください。

住所や学校、勤務先、行動範囲を推測できる投稿がある場合は、公開の必要性を検討します。

不審なアカウントからのDM、カードの交換・売買、大会参加、限定企画への招待を装う連絡にも注意が必要です。

Xのパスワードや認証コードを入力する場合は、ブラウザーのアドレス欄を確認し、正規のドメインであることを確認してください。

認証と認可はサーバー側で検証する

モバイルアプリは、画面上の操作を提供するクライアントと、利用者情報を管理するバックエンドシステムで構成されます。

アプリの画面で他の利用者情報へのリンクを表示しないだけでは、情報を保護できません。

攻撃者はアプリとサーバー間の通信を解析し、APIへ直接リクエストを送る可能性があります。リクエストに含まれる利用者IDやサービスIDを書き換えても、他人の情報を取得できないよう、サーバー側で認証と認可を確認する必要があります。

セキュリティ対策Labでは、インテルの内部サイトで認証を回避し、最大27万人分の従業員情報を閲覧できた問題を取り上げています。この事例でも、画面側の制御だけに依存せず、サーバー側で権限を検証する重要性が示されました。

アプリの公開前には、正常にログインできることを確認するだけでなく、無効なトークン、期限切れセッション、別利用者のID、権限のないAPI操作などを試すネガティブテストが必要です。

アプリの脆弱性は大量の個人情報へ影響する

モバイルアプリの脆弱性は、一人の端末内だけで完結するとは限りません。

バックエンドAPIの認証や認可に問題がある場合、機械的なリクエストによって多数の利用者情報へアクセスされる可能性があります。

セキュリティ対策Labで取り上げた2りんかんアプリの個人情報漏えい事案では、バックエンドAPIへの不正アクセスにより、最終的に317万9,454人分の個人情報漏えいが確認されました。

タカラトミーの事案では実際の閲覧は確認されておらず、2りんかんアプリの事案とは被害状況が異なります。

共通する教訓は、アプリの操作画面だけでなく、API単位でアクセス制御、ログ記録、異常検知を行う必要がある点です。

利用者IDを連続して変更するアクセス、短時間に多数のプロフィールを取得する通信、通常とは異なる地域や端末からのリクエストなどを検知できれば、情報の大量取得を早期に止められる可能性があります。

情報システム部門への示唆

今回の事案は、サービス公開前の認証・認可設計と、公開後の継続的なセキュリティ確認の重要性を示しています。

開発部門と情報システム部門は、アプリのログイン画面だけを確認するのではなく、すべてのAPIと利用者権限を対象にテストしてください。

実務上は次の対策が必要です。

• 認証処理をアプリ側だけでなくサーバー側で検証する
• APIごとに利用者が対象データへアクセスできるかを確認する
• 利用者IDやサービスIDを書き換える認可テストを実施する
• 無効・期限切れ・改ざん済みトークンを拒否する
• ログアウトやパスワード変更時に既存セッションを失効する
• 一般利用者、運営担当者、管理者の権限境界を確認する
• 大量取得、連続IDアクセス、通常と異なる検索を検知する
• APIにレート制限と取得件数の上限を設ける
• 個人情報へのアクセスを利用者単位、項目単位で記録する
• インシデント調査に必要な期間、ログを保全する
• アプリ公開前と大型更新時に第三者の脆弱性診断を行う
• ソースコードレビューと動的テストを組み合わせる
• 氏名・住所とSNS識別子を同じ画面やAPIで返す必要性を見直す
• 不要になった個人情報を削除し、保持期間を短縮する
• 脆弱性の報告窓口と修正・公表の判断手順を整備する

開発段階の脆弱性がサービス開始から残っていた場合、修正後の確認だけでなく、公開日まで遡った侵害調査が必要です。

アクセスログを短期間しか保存していなければ、過去の不正閲覧の有無を判断できません。個人情報を扱うシステムでは、調査に必要なログ項目と保存期間を設計段階で決める必要があります。

再発防止策として従業員教育を行うことは重要ですが、設計・実装の脆弱性は教育だけでは防げません。

セキュアコーディング基準、設計レビュー、自動テスト、第三者診断、リリース判定、公開後の監視を開発プロセスへ組み込み、担当者個人の注意力に依存しない体制を構築してください。

出典

• 「デュエル・マスターズ サポートアプリ」におけるお客様情報の漏洩可能性に関するお詫びとお知らせ – 株式会社タカラトミー
• デュエル・マスターズ サポートアプリ – 株式会社タカラトミー
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• インテルの内部サイトで脆弱性、最大27万人分の従業員情報が閲覧可能に – セキュリティ対策Lab
• 2りんかんアプリへのサイバー攻撃、個人情報漏えいは317万9,454人分に確定 – セキュリティ対策Lab
• 個人情報とは？分類の違いと企業での適切な取り扱い方を解説 – セキュリティ対策Lab