Sally、2件の不正アクセスで個人情報漏えいの恐れ―「ウズ」544人、Studio経由で404人が対象

マーダーミステリーアプリ「ウズ」などを手がける株式会社Sallyは2026年10月21日、異なる2件の不正アクセスによって問い合わせ情報の一部が外部に漏えいした恐れがあると発表しました。対象となるのは、「ウズ」への問い合わせを行った544人と、同社の旧Webサイトのフォームを利用した404人です。

「ウズ」に関する事案では、Sallyのメールアカウントが不正利用され、第三者が社員になりすまして問い合わせ管理システムにログインしました。もう一方は、過去に同社がWebサイト制作に利用していた「Studio」のクラウド環境への不正アクセスによるものです。両者は原因と影響を受ける情報が異なり、Sallyは情報の公開や悪用は確認していないと説明しています。

Sallyの不正アクセスと情報漏えいの恐れに関するサマリー

• 公表日：2026年10月21日。
• 事案は2件。Sallyのメールアカウントの不正利用と、Studio株式会社のクラウド環境への不正アクセスです。
• 「ウズ」への問い合わせについては、2026年3月30日～10月14日に連絡した544人が対象です。
• 「ウズ」側で対象となる情報には、メールアドレス、電話番号、問い合わせ内容、ユーザーID、問い合わせに添付されたファイルが含まれます。
• Sallyの旧Webサイトのフォームについては、2026年4月までの利用者404人が対象です。氏名、メールアドレス、問い合わせ内容のほか、フォームによって会社名や役職などが含まれます。
• 「ウズ」の登録連絡先、アプリ内メッセージ、クレジットカード情報は対象に含まれないとしています。
• 不正アクセスは2件とも遮断済み。対象者にメールで個別通知する方針です。
• Sallyは10月17日に個人情報保護委員会へ報告し、Studioの件については同社と連名で報告すると説明しています。

※544人と404人は異なる問い合わせ経路ごとの対象者数です。両方に問い合わせた人が重複している可能性があるため、合算して948人の実人数や漏えい確定人数とはしていません。

社員のメールアカウントを悪用、「ウズ」問い合わせ544人が対象

Sallyによると、2026年10月14日、同社のメールアカウントが第三者に不正に利用されました。攻撃者は社員になりすまして問い合わせ管理システムにログインしたとしています。

影響を受ける恐れがあるのは、3月30日から10月14日までに「ウズ」へ問い合わせた544人です。問い合わせ内容にはユーザーIDや添付ファイルも含まれるため、利用者が相談時に記載・送信した情報が対象となります。一方、アプリに登録した連絡先やアプリ内メッセージなど、問い合わせとは別に管理される情報まで影響を受けたとする発表ではありません。

会社は社員アカウントの保護とシステムの修正を実施し、今後は社員アカウントの多要素認証の徹底や監視強化を進めるとしています。

Studioへの不正アクセスで旧Webサイトの問い合わせ404人にも影響

2件目は、Sallyが以前Webサイト制作に使用していた「Studio」に関する事案です。Studio株式会社は、クラウド環境への第三者による不正アクセスが2026年9月30日から10月1日にかけて発生したと発表しています。Sallyは10月16日にStudio側から報告を受けました。

Sally側で対象となるのは、2026年4月までに同社Webサイト「sally-inc.jp」のフォームから問い合わせた404人です。氏名、メールアドレス、問い合わせ内容に加え、利用したフォームによっては会社名、部署名、役職、電話番号が含まれます。現在のSally公式サイトはStudioを利用していませんが、以前のフォーム送信情報が今回の影響対象となりました。

Studioは、一部機能の脆弱性を悪用した不正アクセスにより、保存されたデータを外部から取得できる状態にあったと説明しています。10月14日までに脆弱性を修正し、侵入経路を遮断しました。第三者が実際に情報を取得した事実は確認できていないものの、取得されたものとみなして対応しています。

Studioのクラウド環境に対する不正アクセスの経緯や影響情報の種類については、Studioへの不正アクセスに関する既報で整理しています。Sallyの404人は同じStudio事案に伴う影響先であり、新たにStudioへ別の攻撃が発生したことを示すものではありません。

対象者に個別メールで連絡、個人情報保護委員会にも報告

Sallyは2件の不正アクセスについて、いずれも遮断済みであると説明しました。10月21日の公表時点で、対象情報が公開されたり悪用されたりした事実は確認していません。

影響を受ける可能性がある人には、[email protected] から個別にメールを送る方針です。個人情報保護委員会への報告については10月17日に実施したとし、Studioの事案についてはStudio株式会社との連名で報告すると案内しています。

Sallyは同社や関係者を装ったメール、SMS、電話に注意を呼びかけています。不審な連絡のURLや添付ファイルを開かないよう求めるとともに、同社がメールや電話でパスワードやクレジットカード番号を尋ねることはないと説明しています。

問い合わせ窓口は株式会社Sallyの個人情報に関するお問い合わせ窓口で、メールアドレスは [email protected]、受付時間は平日10時～18時です。

出典

• 【重要】お問い合わせ情報の漏えいのおそれに関するお詫びとお知らせ – 株式会社Sally（2026年10月21日）
• 【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報） – Studio株式会社（2026年10月16日）

関連記事

サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表 ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円 WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表 福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)