「ファンくる」に不正ログイン、一部会員の個人情報漏えいを確認　リスト型攻撃とみられシステムを一時停止

株式会社ファンくるは2026年8月24日、モニターポータルサイト「ファンくる」のシステムで、外部からの「リスト型攻撃とみられる不正ログイン」を検知し、一部のモニター会員の個人情報が漏えいしたことが判明したと公表しました。

株式会社ファンくるは、来店客調査や消費者モニター調査、販促・店頭調査、従業員満足度調査などを展開するCX（顧客体験）・マーケティング支援事業者です。体験型情報サイト「ファンくる」の運営・開発に加え、インターネットリサーチや企業向けの顧客体験改善支援を手掛けています。

同社は「不正ログインに伴うシステム一時停止と情報流出の可能性に関するお詫びとお知らせ（第一報）」として公表しており、安全確認のためシステムを一時停止しています。現時点では第一報で、影響を受けた会員数、漏えいした情報の具体的な項目、不正ログインの期間などには未確認事項が残っています。

「ファンくる」不正ログインのサマリー

• 確認済み：株式会社ファンくるは2026年8月24日、不正ログインに関する第一報を公表しました。
• 確認済み：同社システムで外部からの不正ログインを検知しています。
• 会社の見立て：不正ログインは「リスト型攻撃とみられる」としています。
• 確認済み：一部モニター会員の個人情報が漏えいしたことが判明しています。
• 確認済み：システムを一時停止しています。
• 未確認：不正ログインされたアカウント数は確認できませんでした。
• 未確認：漏えいした個人情報の具体的な項目や件数は確認できませんでした。
• 未確認：ポイントなどの不正利用の有無は確認できませんでした。
• 未確認：個人情報保護委員会や警察への報告状況は確認できませんでした。
• 未確認：システムの全面再開時期は確認できませんでした。

株式会社ファンくるはCX・モニター調査を手掛けるマーケティング支援会社

株式会社ファンくるは、企業の顧客体験（CX）改善や市場調査、マーケティングを支援する事業者です。

公式の会社情報では、来店客調査「ファンくるCR」、消費者モニター調査「ファンくるMR」、販促・店頭調査「ファンくるPR」、従業員満足度調査「ファンくるES」の運用・開発に加え、体験型情報サイト「ファンくる」の運営・開発、インターネットリサーチ／マーケティング支援を事業内容として掲げています。

「ファンくる」は、一般消費者が店舗や商品・サービスを体験し、アンケートなどを通じて評価を提供するモニターサービスです。企業側は収集した顧客の声を、店舗改善や商品・サービス開発、顧客満足度向上などに活用できます。

このため今回の不正ログインは、一般的な会員制Webサービスへの攻撃という側面に加え、消費者モニター情報を扱うマーケティング・リサーチ事業者の会員基盤で発生したインシデントとして捉える必要があります。

リスト型攻撃とみられる不正ログインを検知

ファンくるは8月24日、同社システム内への外部からの不正ログインを検知したと公表しました。会社は攻撃について「リスト型攻撃とみられる」と説明しています。

リスト型攻撃は、別のWebサイトやサービスなどから入手されたIDとパスワードの組み合わせを使い、別サービスへのログインを試す攻撃です。利用者が複数サービスで同じ認証情報を使い回している場合、一つのサービスから漏えいした認証情報が別サービスへの不正ログインに悪用される可能性があります。

今回、ファンくるが「リスト型攻撃とみられる」としていることは、同社のシステムからID・パスワードのリストそのものが流出したことを意味しません。認証情報を攻撃者がどこから取得したのかについては、第一報の段階では確認できません。

一部モニター会員の個人情報漏えいを確認

ファンくるは、不正ログインによって一部モニター会員の個人情報が漏えいしたことが判明したとしています。

一方、8月24日時点で確認できる公開情報からは、影響を受けた会員数や、不正ログイン後に閲覧された具体的な個人情報の項目を特定できませんでした。

このため、氏名、住所、電話番号、メールアドレス、生年月日、パスワード、ポイント情報など、個別の項目について本記事では推測しません。続報では「漏えいが確認された情報」と「閲覧された可能性がある情報」を分けて確認する必要があります。

システムを一時停止

ファンくるは不正ログインを受け、システムを一時停止しています。

ただし、停止している機能の範囲や、ログイン、モニター応募、アンケート提出、ポイント交換などのうち、どの機能が影響を受けているかは、確認できる公開情報からは特定できませんでした。

全面的なサービス再開時期についても現時点では確認できません。利用者は公式サイトの最新案内を確認する必要があります。

第一報で未確認の事項

今回の発表は第一報であり、インシデントの全容が確定した段階ではありません。

今後の続報で特に確認が必要なのは、不正ログインされたアカウント数、個人情報の漏えい件数、具体的な漏えい項目、不正ログインの期間、ポイントなどの不正利用の有無です。

ランサムウェア感染、システムの脆弱性悪用、攻撃者によるデータ公開や金銭要求については、確認できる公式情報はありません。「リスト型攻撃とみられる不正ログイン」という公表範囲を超えて、別の攻撃手法や脅威アクターとの関連を推測することは避ける必要があります。

ファンくる利用者はパスワードの使い回しを確認

リスト型攻撃が疑われる場合、利用者側ではパスワードの使い回しを確認することが重要です。

IPAは、不正ログイン対策として、パスワードを長く複雑にすることに加え、複数サービスで同じパスワードを使い回さないことを推奨しています。また、多要素認証を利用できる場合は有効化することも推奨しています。

ファンくると同じID・メールアドレス、パスワードの組み合わせを別サービスでも使用している場合は、同じ認証情報を設定しているサービスについてもパスワード変更を検討する必要があります。

セキュリティ対策Labでは、同様のリスト型攻撃事例として「ぐるなび会員へ不審なアクセスを検知-リスト型攻撃の可能性、対象アカウントはパスワード強制リセット済み」でも解説しています。

情報システム部門・Webサービス運営者への示唆

リスト型攻撃は、自社サービスから認証情報が漏えいしていなくても発生します。そのため、IDとパスワードが一致したという理由だけでアクセスを正常と判断する設計には限界があります。

サービス事業者側では、同一IPアドレスからの大量ログイン試行、短時間に複数アカウントへログインする挙動、普段とは異なる地域や端末からのアクセス、ログイン成功後の異常な情報閲覧などを組み合わせて検知する必要があります。

個人情報保護委員会は、リスト型攻撃への対策例として、多要素認証の導入、不正ログイン試行を検知・防御する仕組み、利用者へのパスワード使い回し防止の周知などを挙げています。

また、不正ログインが成立した場合でも閲覧できる情報を最小限にすることが重要です。重要な個人データの表示時に再認証を求める、機微な情報をマスキングする、異常な大量閲覧を制御するといった対策も検討対象になります。

出典

• 【重要】不正ログインに伴うシステム一時停止と 情報流出の可能性に関するお詫びとお知らせ（第一報） – 株式会社ファンくる
• 不正ログイン対策特集ページ – 独立行政法人情報処理推進機構（IPA）
• インターネットサービスへの不正ログインによる被害が増加中 – 独立行政法人情報処理推進機構（IPA）
• ウェブサイトを運営している事業者の皆様への注意喚起 – 個人情報保護委員会
• 株式会社ファンくる 会社情報・事業内容 – 株式会社ファンくる
• ぐるなび会員へ不審なアクセスを検知-リスト型攻撃の可能性、対象アカウントはパスワード強制リセット済み – セキュリティ対策Lab

関連記事

サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表 ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円 WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表 福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)