日テレWands「FaveConnect」に不正ログイン、11万7,392アカウントの個人情報が閲覧された可能性―高嶺のなでしこ・HEROINESが対象

株式会社日テレWandsは2026年10月14日、同社が運営するファンコミュニケーションサービス「FaveConnect（フェイブコネクト）」で、管理者アカウントへの第三者による不正ログインが発生したと発表しました。「高嶺のなでしこオフィシャルファンクラブ」と「HEROINES OFFICIAL WEBSITE」の会員・一部の元会員について、計11万7,392アカウントの個人情報が外部から閲覧された可能性があります。

第三者が管理画面を通じて会員情報を閲覧した形跡は確認されていますが、個々の情報が実際に閲覧された範囲や外部への持ち出しについて、11万7,392件すべてで確認されたという発表ではありません。同社はデータベースサーバーへの直接侵入、情報の改ざん、不特定多数への情報公開、不正利用などは確認していないと説明しています。

FaveConnectへの不正アクセスの概要

• 公表日：2026年10月14日
• 対象：日テレWands運営のファンコミュニケーションサービス「FaveConnect」上の2サービス
• 対象サービス：「高嶺のなでしこオフィシャルファンクラブ」「HEROINES OFFICIAL WEBSITE」
• 不正アクセス：ファンクラブ運営管理者向け画面への第三者による不正ログイン
• 閲覧の痕跡が確認された期間：2026年10月11日～13日
• 検知日：2026年10月13日
• 個人情報が閲覧された可能性のある規模：2サービス合計11万7,392アカウント
• 対象者：対象ファンクラブの会員、および退会後6か月以内の一部元会員
• 対応：不正ログインに利用された管理者アカウントの削除、不正アクセス元の遮断、セキュリティ対策の強化
• 調査：同じ手口による他のFaveConnectサービスへの被害は確認されていないと発表

管理画面への不正ログイン、10月11日から13日に会員情報を閲覧した形跡

日テレWandsによると、10月13日にファンクラブサイトの運営管理者向け画面で不審なアクセスを検知し、調査を開始しました。その結果、第三者が管理者アカウントに不正ログインし、10月11日から13日にかけて管理画面を通じて会員情報を閲覧した形跡が判明しました。

同社は問題の管理者アカウントを削除し、不正アクセス元からの接続を遮断。現在は同じ手口による不正ログインができない状態になったとしています。不正ログインした第三者の管理画面上の操作はすべて特定しており、情報の改ざんやシステムへの不正な変更は確認されていません。

今回の公表は、データベースそのものへの侵入やサービス全体の乗っ取りを確認したという内容ではありません。一方で、管理画面を通じた個人情報へのアクセスが可能だった点は、会員情報を取り扱う運営権限の管理にかかわる事案です。管理者の認証情報が第三者に渡った経路などの詳細は、10月14日付発表では明らかにされていません。

高嶺のなでしこ・HEROINESの2サービス、退会後6か月以内の元会員も対象

今回対象となったのは、次の2つのファンクラブです。

日テレWandsが示した11万7,392件は、両サービスを合わせた「アカウント件数」です。2サービスそれぞれの内訳や、重複を除いた実人数は発表されていないため、「11万7,392人の情報漏えいが確定」とは表現できません。

閲覧された可能性がある情報には、氏名や連絡先だけでなく、職業、生年月日、性別、ニックネーム、サイト上で任意に入力したコメントやアンケート回答も含まれています。ただし、各アカウントにすべての項目が登録されていたことを意味するものではありません。

同社はクレジットカード番号などの決済に関する機微情報は対象に含まれないと説明しています。また、10月14日時点で、閲覧された可能性がある情報の不特定多数への公開や不正利用、これらの情報を悪用した二次被害は確認していないとしています。

TWIN PLANETも公表、所属アーティストを名乗る偽連絡に注意

「高嶺のなでしこ」の所属事務所でありファンクラブの共同サービス提供者でもあるTWIN PLANETは、10月14日に別途お詫びとお知らせを公開しました。日テレWandsから会員情報が閲覧された可能性について報告を受けたことを説明し、ファンクラブ運営者、事務所、グループやメンバーを名乗る不審なメール・SMS・電話・SNSのダイレクトメッセージに注意するよう呼びかけています。

とくに、アーティスト本人や運営関係者を装って個別に連絡し、ログイン情報や決済情報を要求する行為には警戒が必要です。TWIN PLANETは、メンバーがSNSのダイレクトメッセージでファンに個別連絡することはないと説明しています。

会員向けの対策―フィッシングメール・偽DM・電話への注意

日テレWandsは、閲覧された可能性のある氏名、メールアドレス、住所、電話番号、ニックネームなどが、なりすましやフィッシングに悪用されるおそれがあるとして注意を呼びかけています。10月14日時点で、今回の情報を悪用した二次被害が確認されたという発表ではありません。

ファンクラブでは、会員更新、先行チケット、抽選当選、限定イベント、グッズ発送、決済エラーといった連絡を日常的に受け取る場合があります。攻撃者がファンクラブ名、氏名やニックネームを記載していても、正規の連絡とは限りません。次のような連絡を受け取った場合は、本文のリンクにアクセスする前に確認してください。

• 「不正アクセス対策のため、今すぐパスワードを再登録してください」「会員資格を停止します」と期限を設けてログインを急がせるメールやSMS。
• 「先行チケットの当選確認」「限定イベントの本人確認」「グッズの再配達・追加送料」などを口実に、外部サイトへのログインや支払いを促す連絡。
• 事務所、ファンクラブ運営者、所属アーティストやメンバーを名乗り、SNSのDMで個別に「本人確認」「会員限定の案内」「特別な招待」などを持ちかけるアカウント。
• 氏名、住所、生年月日、会員のニックネームやアンケート回答に言及し、あたかも事情を知る関係者であるかのように振る舞う連絡。
• 「情報漏えいの補償」「返金」「お詫びポイントの付与」などを装い、銀行口座、カード番号、パスワード、SMS認証コードの提出を求める連絡。

これらは想定される悪用例であり、今回の事件で実際に確認された攻撃手口を示すものではありません。

不審な連絡を受けたときの確認方法

1. メールやSMSの本文にあるリンク、添付ファイル、QRコードを使わず、普段利用している公式サイト・公式アプリを自分で開き、公式のお知らせと照合します。検索結果の広告表示も公式サイトと決めつけず、アクセス先を確認します。
2. 送信者の表示名、ロゴ、認証マーク、差出人アドレスの見た目だけで判断しません。表示名やアドレスの一部を似せた偽装もあります。本文のURLが公式ドメインと異なる、途中で見慣れないサイトへ移動する場合は操作を止めます。
3. メッセージに返信して本人確認せず、公式サイトに掲載された問い合わせ窓口から真偽を確認します。メッセージ記載の電話番号へそのまま折り返すことも避けます。
4. パスワード、ログイン用のワンタイムコード、クレジットカード番号などを、メール・DM・電話で伝えません。日テレWandsは、運営側がこうした情報をメール、SMS、電話等で尋ねることはないと説明しています。
5. FaveConnectと他のサイトで同じパスワードを使っている場合は、使い回しを解消します。利用サービスに多要素認証が用意されていれば有効化します。ただし今回、会員のパスワード自体が漏えいしたとの発表はありません。

高嶺のなでしこの共同サービス提供者であるTWIN PLANETは、メンバーがSNSのDMでファンに個別連絡することはないと説明しています。メンバー本人を名乗るDMでチケット購入や金銭の振込を誘導された場合も応じないでください。

不審なリンクを開いた・個人情報を入力した場合の対処

状況によって必要な対応が異なります。メッセージを受け取っただけ、リンクを開いただけで直ちにパスワードやカード情報が相手に渡ったと断定する必要はありません。一方、ファイルのダウンロードや入力、送金まで行った場合は別途確認が必要です。

詐欺が疑われるメールやDMは、削除する前に送信日時、送信元、本文、URLなどを記録しておくと、公式窓口や警察へ相談する際の資料になります。ただし、個人情報を含むスクリーンショットをSNS上に公開しないよう注意してください。

対象ファンクラブの会員は、日テレWandsの公式発表に掲載された各ファンクラブの問い合わせ窓口を利用できます。退会後6か月以内の元会員向けには、専用窓口「[email protected]」が案内されており、件名に「不正アクセスに関する問い合わせ」を記載するよう求めています。電話やメールで金銭被害に遭った場合は、警察相談専用電話「#9110」や消費者ホットライン「188」も相談先となります。

ほかのFaveConnectサービスへの影響と運営側の確認事項

FaveConnectは、日テレWandsが提供するファンコミュニケーション・プラットフォームです。ファンクラブサイトの構築・運営や会員情報の管理などを支援しています。

日テレWandsは、FaveConnectで運用する他のサービスについても同じ手口による不正アクセスを調査し、今回の2サービス以外に同様の被害はなかったとしています。プラットフォーム全体で11万7,392件の情報漏えいが確定した、あるいは利用するすべてのファンクラブが侵害されたという発表ではありません。

企業やファンクラブ運営者にとっては、管理画面の権限設計と不審なログインの早期検知が確認事項となります。具体的には、管理者アカウントの棚卸し、退職・異動時の権限失効、多要素認証の適用状況、ログイン履歴と管理画面操作ログの保存、共同運営先とのインシデント通知手順を点検する余地があります。これらは一般的な確認項目であり、今回の環境で未実施だったと断定するものではありません。

今回、同社が管理画面での操作を特定できたと説明している点も、事後調査でログを確保・分析できる体制の観点から参考になります。

出典

• 「FaveConnect」への不正アクセスによる個人情報閲覧の可能性について（2026年10月14日）－株式会社日テレWands
• 「高嶺のなでしこオフィシャルファンクラブ」会員様の個人情報が閲覧された可能性に関するお詫びとお知らせ（2026年10月14日）－株式会社TWIN PLANET
• 「FaveConnect」を活用したファンクラブ開設に関する説明－株式会社日テレWands