晴れる屋2のポケモンカード抽選で2万8,490件の個人情報が閲覧可能に、対象データへのアクセス4件を確認

株式会社晴れる屋は2026年7月30日、ポケモンカードゲーム専門店「晴れる屋2」が実施した「スタートデッキ100 バトルコレクション購入抽選」で、応募者2万8,490件の個人情報が外部から閲覧可能な状態になっていたと公表しました。

設定の不備により、通常とは異なる操作を行うと、氏名、メールアドレス、電話番号、会員番号、申込店舗、当落結果を閲覧できる状態でした。閲覧可能だった期間は2026年7月23日午後3時20分から午後10時28分までの約7時間8分です。

アクセス記録では対象データへのアクセスが4件確認されましたが、操作記録上、データの複製やダウンロードは行われておらず、個人情報の不正利用や具体的な被害も確認されていません。晴れる屋は個人情報保護委員会へ速報を行い、対象者へのメール通知と500ポイントの付与を進めます。

晴れる屋2の購入抽選における個人情報閲覧問題の概要サマリー

• 晴れる屋は2026年7月30日、晴れる屋2の購入抽選で個人情報が閲覧可能だったと公表しました
• 対象は「スタートデッキ100 バトルコレクション購入抽選」への応募2万8,490件です
• 閲覧可能だった情報は氏名、メールアドレス、電話番号、会員番号、申込店舗、当落結果です
• クレジットカード情報とパスワードは含まれていません
• 原因は当落確認ページと対象データに関する設定の不備です
• 通常の利用で表示されるものではなく、想定していない操作によって閲覧可能な状態でした
• 閲覧可能だった期間は2026年7月23日15時20分から22時28分までの約7時間8分です
• アクセス記録では対象データへのアクセスが4件確認されました
• 4件が4人によるアクセスを意味するか、同一人物による複数回のアクセスを含むかは公表されていません
• 操作記録上、対象データの複製やダウンロードは確認されていません
• 個人情報の不正利用や具体的な被害は現時点で確認されていません
• 晴れる屋は発覚後に当落確認ページと対象データの公開を停止しました
• 個人情報保護委員会への速報を実施済みです
• 対象者には個別にメールを送り、晴れる屋2で利用できる500ポイントを付与します
• 再発防止策としてアクセス制御、承認フロー、公開前検証、権限監査を強化します

項目	内容
公表日	2026年7月30日
被害企業	株式会社晴れる屋
対象サービス	ポケモンカードゲーム専門店「晴れる屋2」
対象企画	スタートデッキ100 バトルコレクション購入抽選
抽選受付期間	2026年7月20日～7月23日
閲覧可能だった期間	2026年7月23日15時20分～22時28分
閲覧可能時間	約7時間8分
対象件数	抽選応募2万8,490件
漏えい情報の内容	氏名、メールアドレス、電話番号、会員番号、申込店舗、当落結果
対象外の情報	クレジットカード情報、パスワード
原因	設定の不備
閲覧条件	晴れる屋が想定していない操作
確認されたアクセス	対象データへのアクセス4件
複製・ダウンロード	操作記録上は確認されていない
不正利用・具体的被害	現時点で確認されていない
対応状況	当落確認ページと対象データの公開停止
個人情報保護委員会への報告	発覚後、速報を実施済み
対象者への通知	メールで個別に案内
利用者への対応	晴れる屋2で利用できる500ポイントを付与
再発防止策	アクセス制御強化、承認フロー徹底、事前アクセス検証、権限設定の定期監査

購入抽選の当落確認ページで設定不備

問題が発生したのは、晴れる屋2が2026年7月20日から23日まで実施した「スタートデッキ100 バトルコレクション購入抽選」です。

抽選へ応募した利用者が当落結果を確認するためのページと、そのページで扱う対象データに設定上の不備がありました。

晴れる屋が想定していない操作を行うことで、応募者の個人情報を外部から閲覧できる状態だったと説明しています。

公表資料では、通常の利用者認証を回避できたのか、URLやパラメーターの変更でデータへ到達できたのか、ファイル自体が公開状態だったのかは明らかにされていません。

そのため、IDOR、認証回避、公開範囲の誤設定など、具体的な脆弱性の種類を断定することはできません。

確定しているのは、当落確認ページと対象データの公開設定に不備があり、通常とは異なる操作を通じて外部からアクセスできたという点です。

約7時間8分にわたり外部から閲覧可能

個人情報が閲覧可能だった期間は、2026年7月23日午後3時20分から午後10時28分までです。

晴れる屋は午後10時28分に当落確認ページと対象データの公開を停止し、現在は外部から閲覧できない状態としています。

閲覧可能だった時間は約7時間8分です。

期間としては半日未満ですが、抽選結果の発表直後は、応募者が当落確認ページへ集中してアクセスする時間帯です。

多くの応募者が正規の目的でページを利用する中に、通常とは異なる操作によるアクセスが混在した場合、アクセスの意図を判断するには、URL、リクエスト内容、取得対象、アクセス元、操作の連続性などを詳細に確認する必要があります。

短時間の公開でも、対象データを一括表示できる構成や機械的な取得が可能な構成であれば、大量の個人情報を短時間で取得される可能性があります。

晴れる屋は操作記録を確認し、複製とダウンロードは行われていなかったと説明していますが、表示された情報が画面保存や手作業で記録された可能性まで技術的に否定できるかは公表資料から判断できません。

対象は抽選応募2万8,490件

閲覧可能だった情報は、購入抽選へ応募した2万8,490件分です。

対象情報は次の6項目です。

• 氏名
• メールアドレス
• 電話番号
• 会員番号
• 抽選の申込店舗
• 当落結果

クレジットカード情報とパスワードは含まれていません。

公表では対象を2万8,490件と表現しており、重複応募の有無や、重複を除いた実人数は示されていません。

そのため、2万8,490人と断定するのではなく、応募情報2万8,490件が対象だったと捉えるのが適切です。

当落結果は単独では機微性が高い情報とはいえませんが、氏名、電話番号、メールアドレス、会員番号、申込店舗と組み合わされることで、本人への連絡や店舗での本人確認を装う材料になります。

対象データへのアクセスを4件確認

晴れる屋がアクセス記録を確認したところ、対象データへのアクセスが4件確認されました。

4件のアクセスが、4人の異なる利用者によるものか、同一人物が複数回アクセスしたものかは公表されていません。

アクセス元IPアドレス、利用端末、閲覧した範囲、アクセス時刻の内訳も明らかにされていません。

晴れる屋は、操作記録上、対象データの複製とダウンロードは行われていないとしています。

現時点で、本件に起因する個人情報の不正利用や具体的な被害も確認されていません。

ただし、アクセスが4件あったことから、閲覧可能な状態が存在しただけで、誰も対象データへ到達していなかった事案ではありません。

今後の調査では、4件のアクセスについて、どの情報が画面へ表示されたのか、閲覧時間、操作内容、正規利用者との関係を確認する必要があります。

同様に設定不備で個人情報が外部公開され、アクセス件数が確認された事例として、セキュリティ対策Labでは熊本日日新聞社の電子版で25万人超の個人情報が閲覧可能になった事案を取り上げています。

アクセス件数が少なくても、対象情報の件数や表示方式によって影響は変わります。件数だけでリスクを過小評価せず、1回のアクセスでどの範囲を取得できたかを確認することが重要です。

クレジットカード情報とパスワードは対象外

今回閲覧可能だったデータに、クレジットカード情報とパスワードは含まれていません。

そのため、今回のデータだけを使って、クレジットカードの不正利用や晴れる屋2のアカウントへの直接ログインが成立する事実は確認されていません。

一方、メールアドレス、電話番号、会員番号、申込店舗、当落結果が組み合わされると、抽選応募者を狙うフィッシングやなりすましに悪用される可能性があります。

攻撃者が「○○店で申し込んだ抽選に当選しています」「会員番号の確認が必要です」など、本人しか知らないと思わせる情報を含めて連絡すれば、受信者が正規の案内と誤認する危険性があります。

晴れる屋2やカード会社、配送事業者を装い、再決済、本人確認、受取店舗の変更、配送先登録などを求めるメールやSMSにも注意が必要です。

抽選結果を悪用したなりすまし購入のリスク

抽選販売では、人気商品の購入権そのものに価値があります。

氏名、会員番号、当選店舗、当落結果が分かれば、第三者が当選者を装って商品を受け取ろうとする可能性があります。

晴れる屋は、今回の事案に起因する不正利用や具体的被害は確認されていないと説明しています。

一方、セキュリティ対策Labが取り上げたトイザらスのポケモンカード抽選販売における当選者情報の不正取得事案では、当選リストが無断撮影され、当選者になりすました商品購入が疑われるケースが発生しました。

抽選販売では、情報漏えいによるプライバシー侵害だけでなく、当選権の不正利用という直接的な被害も想定する必要があります。

店舗での商品引き渡しでは、会員番号や氏名だけに依存せず、正規アプリへのログイン、動的な引換表示、本人確認書類などを組み合わせることが有効です。

当選結果を一覧形式で管理する場合は、店舗スタッフが必要な対象だけを検索できるようにし、全店舗・全応募者の一覧を表示しない設計も検討する必要があります。

個人情報保護委員会へ速報を実施

晴れる屋は、事案の発覚後、個人情報保護委員会へ速報を実施しました。

個人情報保護委員会は、漏えい等報告の対象事案について、発覚後3～5日以内に速報し、原則30日以内に確報するよう案内しています。不正目的で行われたおそれがある場合の確報期限は60日以内です。

本人の数が1,000人を超える個人データの漏えいまたは漏えいのおそれも、報告が必要な事案に含まれます。

今回の対象は2万8,490件であり、晴れる屋は公表文で速報済みであることを明確にしました。

今後は個人情報保護委員会への確報で、原因、影響範囲、アクセス4件の調査結果、再発防止策などを報告するとみられます。

確報を提出したか、対象件数や影響評価に変更があったかについては、続報で確認する必要があります。

対象者へメール通知し500ポイントを付与

晴れる屋は、対象となった応募者に対し、事案のお詫びと内容をメールで個別に案内します。

加えて、心配と迷惑をかけたことへのお詫びとして、晴れる屋2で利用できる500ポイントを付与するとしています。

対象者への個別通知は、利用者が自分の情報が対象だったかを把握し、不審な連絡へ警戒するために重要です。

一方、ポイント付与やお詫びメールを装ったフィッシングが送られる可能性があります。

「500ポイントを受け取るためログインが必要」「ポイント付与先を確認するため会員番号とパスワードを入力してください」などと案内するメールやSMSには注意が必要です。

晴れる屋の案内内容を確認する場合は、メール内のリンクを直接開かず、晴れる屋2の公式サイトや公式アプリからログインしてください。

不審なメール・SMS・電話に注意

晴れる屋は、不審なメール、SMS、電話を受けた場合、記載されたリンクを開いたり、個人情報を伝えたりしないよう注意を呼びかけています。

メールとSMSは削除し、電話には応じないよう案内しています。

想定される不審な連絡には次のようなものがあります。

• 抽選結果の再確認を求める
• 当選商品の受け取り期限が迫っていると通知する
• 店舗変更や配送への切り替えを案内する
• 500ポイントの受け取り手続きを求める
• 会員番号やパスワードの入力を求める
• クレジットカード情報の再登録を求める
• 本人確認を理由にSMS認証コードを聞き出す
• キャンセル分の繰り上げ当選を装う
• 限定商品の優先購入権を案内する

連絡に氏名、会員番号、申込店舗、当落結果が含まれていても、正規の連絡である証拠にはなりません。

心当たりのない連絡を受けた場合は、晴れる屋の公式サイトに記載された問い合わせ窓口から確認してください。

設定変更時の承認と事前検証を強化

晴れる屋は、再発防止策としてデータアクセス制御を中心としたセキュリティの見直しと強化を行います。

システム公開や設定変更における承認フローを徹底し、公開前のアクセス検証を義務化します。

権限設定の定期監査も実施し、組織的な管理プロセスを確立するとしています。

今回の事案はサイバー攻撃によるシステム侵入ではなく、設定の不備によって正規のシステムから個人情報へ到達できる状態になったものです。

ファイアウォールやマルウェア対策だけでは、公開設定やアクセス権限の不備を防ぐことはできません。

本番公開前に、ログインしていない状態、一般利用者の状態、別利用者の状態、URLやパラメーターを変更した状態など、想定外の操作を含むテストを行う必要があります。

セキュリティ対策Labでは、伊予市とNEXCO西日本四国支社のプレゼント抽選フォームで個人情報が閲覧可能になった事案も取り上げています。

抽選やキャンペーンは短期間で開設され、公開後すぐに大量のアクセスが集中するため、通常の業務システム以上に公開前確認と緊急停止手順が重要です。

情報システム部門への示唆

抽選販売やキャンペーンシステムでは、応募受付、当落判定、結果表示、店舗引き渡し、ポイント付与まで、複数のシステムと担当部署が関係します。

短期間だけ利用する特設ページでも、氏名や連絡先を扱う以上、通常の会員システムと同等のアクセス制御と変更管理が必要です。

情報システム部門は、次の対策を確認してください。

• 当落確認ページで本人の結果だけを返す認可処理を実装する
• URL、会員番号、申込番号を書き換えても他人の情報を取得できないことを確認する
• 対象データをインターネットから直接参照できない場所へ保存する
• 一覧ファイルやCSVを公開領域へ配置しない
• 本番公開前に未認証・別アカウント・想定外操作のテストを行う
• 設定変更を作業者1人で完結させず、別担当者が承認する
• 公開時刻と終了時刻を自動制御し、終了後はページだけでなくデータも非公開にする
• 個人情報へのアクセスを対象レコード単位で記録する
• 一括表示、大量取得、連続IDアクセスを検知する
• 1回の応答で返すデータ件数を制限する
• 管理者、店舗担当者、一般利用者の権限を分離する
• 店舗側に全応募者の一覧を配布せず、必要な当選者だけを確認できるようにする
• 抽選終了後に不要な応募情報を削除する
• 緊急停止、対象者通知、当局報告の手順を事前に準備する
• 委託先を利用する場合は公開前テストとログ提供の責任分界を明確にする

アクセス記録で4件が確認された場合、4件の総数だけで調査を終えず、各アクセスで表示された情報、滞在時間、画面遷移、同一送信元からの反復、スクレイピングの兆候を調べる必要があります。

ダウンロード操作が記録されていない場合も、ブラウザー表示、印刷、画面保存、開発者ツールを通じた取得の可能性を考慮します。

ログには、アクセス日時、認証済み利用者、送信元IPアドレス、端末情報、要求した対象、返却件数、操作種別を残してください。

設定変更の承認フローでは、設定値のレビューだけでなく、実際のインターネット環境から第三者としてアクセスする受け入れテストが重要です。

今回の事案は約7時間で公開を停止できた一方、2万8,490件の個人情報を扱う抽選システムが公開前検証をすり抜けた点が課題です。短期キャンペーンを例外扱いせず、データ量と影響に応じたセキュリティ審査を行う必要があります。

出典

• 個人情報の閲覧可能状態に関するお詫びとご報告 – 株式会社晴れる屋
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• 愛媛県伊予市、NEXCO西日本四国支社のプレゼント抽選申請フォームの設定ミスで個人情報流出 – セキュリティ対策Lab
• トイザらス、ポケモンカード抽選販売で当選リストの不正取得と利用が発覚 – セキュリティ対策Lab
• 熊本日日新聞社の電子版で設定ミスにより25万人の個人情報が閲覧可能な状態に – セキュリティ対策Lab