ホロライブのカバー、「hololive OFFICIAL CARD GAME」CMSに不正アクセスの痕跡個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月27日更新日時: 2026年08月27日

カバー株式会社は2026年8月25日、同社が企画・開発するトレーディングカードゲーム「hololive OFFICIAL CARD GAME」の公式サイトについて、利用しているコンテンツ管理システム（CMS）に不正アクセスの痕跡を確認したと公表しました。

同社によると、2026年7月17日に利用中のCMSで脆弱性が公表されたことを受けて社内調査を実施した結果、不正アクセスの痕跡が判明しました。第三者がCMSの脆弱性を悪用して外部からアクセスした可能性があるとしています。

公式サイトの掲載内容に改ざんは確認されていません。一方、2026年7月4日から7月19日までに問い合わせフォームを利用したユーザーの氏名、メールアドレス、電話番号、問い合わせ内容がシステム上に一時保存されており、不正アクセスに伴って外部へ取得されたおそれを否定できない状況だったとしています。

実際に情報が外部へ持ち出された事実は確認されていません。対象件数やCMSの製品名、脆弱性のCVE番号、実際の不正アクセス日時なども現時点では公表されていません。

hololive OFFICIAL CARD GAME公式サイト不正アクセスのサマリー

【確認済み】カバー株式会社は2026年8月25日、「hololive OFFICIAL CARD GAME」公式サイトへの不正アクセスのおそれを公表しました。
【確認済み】2026年7月17日、同社が利用するCMSで脆弱性が公表されたことを受け、社内調査を実施しました。
【確認済み】調査の結果、公式サイトのCMSに不正なアクセスの痕跡が確認されました。
【確認済み】公式サイト上の掲載内容について、改ざんに当たる事実は確認されていません。
【確認済み】2026年7月4日～7月19日に問い合わせフォームを利用したユーザーの情報が影響を受けたおそれがあります。
【確認済み】対象項目は氏名、メールアドレス、電話番号、問い合わせ内容です。
【確認済み】単品カード交換対応窓口は今回の対象外です。
【未確認】対象情報が実際に外部へ持ち出された事実は確認されていません。
【未確認】対象人数・件数は公表されていません。
【未確認】利用していたCMSの製品名、脆弱性のCVE番号、CVSS、PoCの有無は公表されていません。
【確認済み】CMSのプログラム更新などの対策は完了しています。
【確認済み】公表時点で不正アクセスの拡大や追加被害は確認されておらず、サイト監視と調査が継続されています。

項目	内容
公表日	2026年8月25日
対象組織	カバー株式会社
対象サイト	「hololive OFFICIAL CARD GAME」公式サイト
インシデント	CMSへの不正アクセスの痕跡
想定される原因	CMSの脆弱性を利用した第三者からの不正アクセスの可能性
脆弱性公表日	2026年7月17日
CMS製品名	公表されていません
CVE	公表されていません
実際の不正アクセス日時	公表されていません
影響対象	2026年7月4日～7月19日に問い合わせフォームを利用したユーザー
対象情報	氏名、メールアドレス、電話番号、問い合わせ内容
対象件数	公表されていません
情報流出	外部取得のおそれ。実際の持ち出しは確認されていません
サイト改ざん	確認されていません
単品カード交換窓口	対象外
対応	CMS更新、サイト監視、継続調査、対象者への個別メール
個人情報保護委員会への報告	公表情報では確認できませんでした

CMSの脆弱性公表を受けて調査、不正アクセスの痕跡を確認

カバーによると、2026年7月17日、公式サイトで利用しているCMSに脆弱性が公表されました。

これを受けて社内調査を実施したところ、CMSに不正なアクセスの痕跡を確認しました。同社は「CMSの脆弱性を利用した、第三者による外部からの不正アクセスを受けた可能性がある」と説明しています。

ここでは、「脆弱性が存在したこと」と「不正なアクセスの痕跡が確認されたこと」は公表済みの事実です。

一方、どの脆弱性が実際に悪用されたのか、攻撃者がどの時点で侵入したのか、CMS上でどの操作まで行ったのかについては明らかにされていません。

利用していたCMSの製品名も公表されていないため、7月17日に公表された他製品の脆弱性からCMSやCVEを推測することは避ける必要があります。

7月4～19日の問い合わせ情報が漏えいしたおそれ

今回、影響を受けたおそれがあるのは、2026年7月4日から7月19日に「hololive OFFICIAL CARD GAME」公式サイトの問い合わせフォームを利用したユーザーです。

対象となる情報は氏名、メールアドレス、電話番号、問い合わせ内容です。

これらの情報は問い合わせ処理のため、CMS上に一時的に保存されていました。

カバーは、不正アクセスに伴って第三者に外部取得されたおそれを否定できない状況だったと説明しています。

一方、対象情報が実際に外部へ持ち出された事実は、公表時点では確認されていません。

そのため、本件を「個人情報が流出した」と確定的に表現することはできません。「個人情報が漏えいしたおそれがある」「外部取得された可能性を否定できない」という段階です。

対象件数についても公表されていません。

「7月4日」は攻撃開始日ではない

公表内容を読む際に注意したいのが、2026年7月4日から7月19日という期間の意味です。

この期間は「不正アクセスが行われていた期間」として公表されたものではありません。影響を受けたおそれがある「問い合わせフォームの利用期間」です。

カバーがCMSの脆弱性公表日として挙げているのは7月17日ですが、対象となる問い合わせ情報はそれ以前の7月4日分から含まれています。

問い合わせ情報がCMS上へ一時保存されていたためと考えられますが、具体的な保存期間や不正アクセス日時については公表されていません。

したがって、「7月4日から不正アクセスを受けていた」「攻撃者が7月4日に侵入した」といった整理はできません。

単品カード交換対応窓口は対象外

カバーは、今回影響を受けたおそれがある窓口について、通常の「お問い合わせフォーム」と明記しています。

一方、「単品カード交換対応窓口」は今回の対象に含まれないとしています。

今回の公表から確認できる影響範囲は通常の問い合わせフォームであり、公式サイト上のすべてのフォームや、カバー株式会社が運営する他サービス全体へ影響が及んだとする根拠はありません。

サイトの改ざんは確認されず

カバーは、公式サイトに掲載されているコンテンツについて、改ざんに当たる事実は確認されていないとしています。

また、不正アクセスの拡大や追加の被害も確認されていないとしています。

ただし、調査は継続中です。今後の解析によって新たな事実が判明した場合には、公式サイトや対象者へ改めて案内するとしています。

CMSを更新、対象者には個別メールで連絡

カバーは事象確認後、CMSのプログラム更新などの対策を完了しました。

その後もサイトの監視と調査を続け、外部の関係会社と連携して対応しています。

漏えいのおそれがある情報の対象者には、メールで直接案内しています。

同社は利用者に対して、心当たりのないメールに記載されたリンクや添付ファイルを開かないよう注意を呼びかけています。

今回対象となった情報には氏名やメールアドレス、電話番号、問い合わせ内容が含まれるため、仮に第三者がこれらを取得していた場合、問い合わせ内容を把握した上で本人を狙うフィッシングやなりすましに利用される可能性があります。

ただし、公表時点でこうした二次被害が実際に発生したとの情報は確認されていません。

CMS製品名やCVEは未公表

今回の発表では、利用していたCMSの名称は明らかにされていません。

そのため、脆弱性のCVE番号、CVSS、影響バージョン、PoCの公開状況、実際の攻撃で広く悪用されている脆弱性だったのかといった情報も特定できません。

7月17日にCMSの脆弱性が公表されたという情報だけを基に、特定製品や特定CVEと結び付けることは適切ではありません。

今後、カバーがCMS製品名や侵入経路を追加公表した場合には、その時点でベンダーのセキュリティアドバイザリやCISA KEV Catalogなどと照合する必要があります。

問い合わせフォームの「一時保存」も情報資産として管理が必要

今回の事案では、問い合わせフォームから入力された情報がCMS上に一時保存されていたことが影響につながりました。

Webフォームは入力内容を最終的にメールやCRM、チケット管理システムへ転送する構成であっても、CMS側のデータベースや管理画面に一時保存する実装になっている場合があります。

そのため、組織が「問い合わせはメールで受け取っている」と認識していても、WebサーバーやCMS上に同じ情報が残っている可能性があります。

セキュリティ対策Labでは、株式会社三英の公式サイト不正アクセス事案でも、CMSへの不正ログイン後、問い合わせフォーム履歴に保存されていた顧客情報が外部に流出した可能性を取り上げています。

問い合わせフォームを設置する企業では、送信後のデータがどこに保存されるのか、保存期間は何日か、CMS管理者がどの範囲まで閲覧できるのかを改めて確認する必要があります。

情報システム・Webサイト運用部門への示唆

今回の事案でまず確認すべきなのは、CMSの脆弱性情報を誰が監視し、公開後どの程度の時間で更新判断を行うかという運用です。

CMS本体だけでなく、プラグイン、拡張機能、テーマ、ライブラリなども脆弱性の対象になります。Webサイトを制作会社や運用会社へ委託している場合でも、脆弱性情報の監視主体、パッチ適用の責任者、緊急更新時の承認手順を明確にする必要があります。

また、問い合わせフォームの入力データは必要以上にCMSへ保存しないことが重要です。

保存が必要な場合でも、保持期間を短く設定し、古い問い合わせデータを自動削除する、CMS管理者の閲覧権限を最小化する、管理画面への多要素認証やアクセス元制限を導入するといった対策が考えられます。

脆弱性の修正だけでなく、侵害された場合に取得可能なデータ量を減らす設計が必要です。

ログについても、CMS管理画面へのログインだけではなく、通常とは異なる管理APIへのアクセス、大量のデータ参照、不審なファイル作成や変更などを追跡できる状態にしておくことが重要です。

今回、カバーはCMSの脆弱性公表を契機として調査を行い、不正アクセスの痕跡を発見しました。これは、脆弱性修正時に単にアップデートするだけでなく、「修正前に既に侵害されていなかったか」をログやファイルから確認する必要性も示しています。

今後は、CMS製品名と脆弱性の詳細、実際の不正アクセス日時、対象件数、情報が外部へ取得されたかどうか、追加被害の有無が確認ポイントになります。

<!– SEOディスクリプション案: カバー株式会社は「hololive OFFICIAL CARD GAME」公式サイトのCMSに不正アクセスの痕跡を確認。7月4～19日の問い合わせフォーム利用者について、氏名、メールアドレス、電話番号、問い合わせ内容が外部取得されたおそれがあります。改ざんや実際の情報持ち出しは確認されていません。 –>