MAMAMOO 公式ファンクラブ「MOOMOO JAPAN」委託先に不正アクセス　有料会員の個人情報漏洩の可能性

MAMAMOO JAPAN OFFICIAL FANCLUB「MOOMOO JAPAN」は2026年9月3日、システム管理委託会社のサーバーに外部からの不正アクセスがあったとして、一部の有料会員のメールアドレスとパスワードが外部へ漏えいした可能性があると公表しました。

不正アクセスの形跡が確認されたのは9月1日です。クレジットカード情報などの決済情報は今回の対象に含まれていません。

運営元の株式会社RBW JAPANは、不正アクセス経路をすでに遮断して対策を完了し、現在はサイトを通常通り利用できる状態だと説明しています。対象会員には順次、パスワード再設定の案内を送付しています。

MOOMOO JAPAN不正アクセスのサマリー

• MOOMOO JAPANは2026年9月3日、不正アクセスによる個人情報漏えいの可能性を公表しました。
• 不正アクセスの形跡が確認されたのは9月1日です。
• 侵害が確認されたのは、ファンクラブのシステム管理委託会社のサーバーです。
• 漏えいした可能性があるのは、有料会員のメールアドレスとパスワードです。
• 対象件数は公表されていません。
• クレジットカード情報などの決済情報は対象に含まれていません。
• パスワードの保存形式や、平文・ハッシュ値のどちらが影響したのかは公表されていません。
• 具体的な侵入経路、悪用された脆弱性、攻撃者の情報は公表されていません。
• 不正アクセス経路は遮断済みで、運営側は対策を完了したとしています。
• 対象会員には順次、パスワード再設定メールを送付しています。
• 同じメールアドレスとパスワードを他サービスでも使い回している場合、他サービスでもパスワード変更が推奨されています。
• 本件に起因する不正ログインや二次被害について、公式発表では確認されていません。

項目	内容
公表日	2026年9月3日
発覚日	2026年9月1日
対象組織	株式会社RBW JAPAN
対象サービス	MAMAMOO JAPAN OFFICIAL FANCLUB「MOOMOO JAPAN」
発生箇所	システム管理委託会社のサーバー
インシデント	第三者による不正アクセス
漏えいの可能性がある情報	有料会員のメールアドレス、パスワード
対象件数	公表されていません
決済情報	対象外
パスワード保存形式	公表されていません
侵入経路	詳細は公表されていません
攻撃者	公表されていません
対応状況	不正アクセス経路を遮断、対策完了、パスワード再設定を案内
個人情報保護委員会への報告	公表資料では確認できませんでした

システム管理委託会社のサーバーで不正アクセス

MOOMOO JAPANによると、不正アクセスが発生したのはファンクラブのシステム管理を委託している外部事業者のサーバーです。

9月1日に外部からの不正アクセスの形跡が確認され、その後の確認で一部の顧客情報が外部へ漏えいした可能性があることが判明しました。

現時点では、委託会社名、不正アクセスが始まった時期、具体的な侵入経路、悪用された脆弱性や認証情報などは公表されていません。

そのため、RBW JAPAN本体のネットワークが侵害されたのか、委託先の特定システムだけが侵害されたのかなど、被害範囲を公式発表以上に広げて解釈することはできません。

有料会員のメールアドレスとパスワードに漏えいの可能性

今回、漏えいした可能性があると公表された情報は、有料会員のメールアドレスとパスワードです。

クレジットカード番号などの決済情報は含まれていません。

一方、パスワードがどのような形式で保存されていたのかは公表されていません。平文のパスワード自体が閲覧されたのか、ハッシュ化された認証情報が対象だったのかも確認できません。

したがって、「パスワードが平文で漏えいした」と断定することはできません。

また、対象件数も明らかにされていません。

対象会員へパスワード再設定を案内

RBW JAPANは二次被害防止のため、対象会員へ順次、パスワード再設定の案内をメールで送付しています。

さらに、同じメールアドレスとパスワードの組み合わせを他社サービスでも利用している場合は、他のサービスについても異なるパスワードへ変更するよう強く呼びかけています。

メールアドレスとパスワードの組み合わせが第三者に取得された場合、他のWebサービスへのログインを試みる「リスト型アカウントハッキング」に悪用される可能性があります。

セキュリティ対策Labでは、他サービスから流出した認証情報を悪用した不正ログインについても過去に整理しています。

関連記事：不正ログイン、2025年で過去最多-IPA発表

不正アクセス経路を遮断、サイトは通常利用可能

RBW JAPANは、今回確認された不正アクセス経路について、すでに遮断して対策を完了したとしています。

現在は安全な状態が確保され、MOOMOO JAPANのWebサイトは通常通り利用できると説明しています。

同社は今後、セキュリティ強化と監視体制の徹底を進め、再発防止に取り組む方針です。

ただし、具体的にどのような対策を追加したのか、委託先のシステム構成をどのように見直したのかといった技術的な内容は公表されていません。

パスワード漏えいの可能性がある場合に注意すべき二次被害

今回の事案では、メールアドレスとパスワードが同時に漏えいした可能性があります。

この組み合わせが実際に第三者へ取得されていた場合、MOOMOO JAPANだけでなく、同じ認証情報を利用している別サービスへの不正ログインが今後想定されます。

また、ファンクラブ会員であることや登録メールアドレスを利用し、MAMAMOOやMOOMOO JAPANを装ったパスワード再設定メール、チケット案内、会員更新通知などを送るフィッシングメールにも注意が必要です。

現時点でこうした二次被害が確認されたという公式発表はありません。あくまで今後想定されるリスクとして警戒する必要があります。

情報システム・サービス運営者への示唆

今回の事案では、自社が直接運用するサーバーではなく、システム管理を委託している外部事業者のサーバーで不正アクセスが確認されました。

会員制サイトやファンクラブ、EC、チケットサービスなどでは、Webシステムの構築・運用を外部事業者へ委託するケースが一般的です。

その場合でも、委託元は委託先に保存される認証情報の種類、暗号化・ハッシュ化方式、アクセス権限、ログ保存、脆弱性管理、インシデント発生時の通知手順を把握しておく必要があります。

特にパスワードを扱うサービスでは、パスワードそのものを復元できない形で保存することに加え、多要素認証、異常ログイン検知、レート制限、既知の漏えいパスワードの利用防止などを組み合わせることが重要です。

また、インシデント発生後に利用者へパスワード変更を求める場合は、攻撃者が同じタイミングで偽のパスワード再設定メールを送信する可能性も考慮する必要があります。正規メールの送信元や、公式サイトから直接再設定する方法を明確に案内することが二次被害防止につながります。

今後の続報では、対象会員数、実際に情報が外部へ取得されたか、パスワードの保存形式、具体的な侵入経路、委託先での原因、個人情報保護委員会など関係機関への報告状況が確認ポイントになります。

出典

• 【重要】［MOOMOO JAPAN］不正アクセスによる個人情報漏洩の可能性とお詫び・パスワード再設定のお願い – MAMAMOO JAPAN OFFICIAL FANCLUB「MOOMOO JAPAN」
• 不正ログイン、2025年で過去最多-IPA発表 – セキュリティ対策Lab