OCS、FAMILY LINK SERVICEの情報流出は脆弱性が原因 DB直接アクセス・改ざんの痕跡なし|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

ANAグループの株式会社OCSは2026年8月12日、海外居住者向けショッピングサイト「OCS FAMILY LINK SERVICE」で発生した不正アクセスと個人情報流出について、第4報を公表しました。

外部専門機関による調査の結果、原因は「OCS FAMILY LINK SERVICE」の一部機能に存在したプログラム脆弱性で、不正アクセスによる外部からの攻撃を防げなかったことが判明しました。

一方、データベースへの直接アクセス、不正プログラムの設置、データ改ざんなどの痕跡は検出されていません。流出した情報は7月28日の第3報から変更はなく、氏名、海外お届け先住所、メールアドレス、電話番号などが対象となっています。クレジットカードなどの金融情報は含まれていません。

OCS FAMILY LINK SERVICE不正アクセス事案のサマリー

OCSは2026年8月12日、「OCS FAMILY LINK SERVICE」の不正アクセスに関する第4報を公表しました。
原因は、同サービスの一部機能に存在したプログラム脆弱性であったことが判明しました。
この脆弱性により、外部からの不正アクセスを防ぐことができなかったとしています。
外部専門機関の調査では、データベースへの直接アクセスの痕跡は検出されていません。
不正プログラムの設置やデータ改ざんの痕跡も確認されていません。
7月28日の第3報では、第三者による不正アクセスにより顧客および利用企業の管理者情報が流出したことが確認されています。
顧客情報では、氏名、海外お届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号が対象です。
利用企業の管理者情報では、会社名、管理者氏名、担当部署所在地、電話番号・FAX番号、メールアドレス、暗号化されたログイン用パスワードが対象です。
暗号化されたログイン用パスワードについて、OCSは解読・復元は不可能と説明しています。
クレジットカードなどの金融情報は流出情報に含まれていません。
個人情報保護委員会には2026年7月24日に報告済みです。
脆弱性の改修、セキュリティ機器の設定見直し、外部専門機関と連携した再発防止策を進めています。
サービス再開時期は現時点で未定です。
悪用された脆弱性の具体的な内容、CVE番号、対象プログラムの名称やバージョンは公表されていません。

項目	内容
第4報公表日	2026年8月12日
対象組織	株式会社OCS
対象サービス	OCS FAMILY LINK SERVICE
事案	外部からの第三者による不正アクセス、個人情報流出
原因	サービスの一部機能に存在したプログラム脆弱性
漏えい情報の内容	顧客の氏名、海外お届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号。利用企業管理者の会社名、氏名、担当部署所在地、電話番号・FAX番号、メールアドレス、暗号化されたログイン用パスワード
件数	公表資料では確認できませんでした
金融情報	クレジットカードなどの金融情報は含まれていません
調査結果	データベースへの直接アクセス、不正プログラム設置、データ改ざん等の痕跡は検出されていません
対応状況	脆弱性の改修、セキュリティ機器設定の見直し、外部専門機関と連携した安全対策・再発防止体制の構築を実施
サービス再開	安全性確認完了まで新規受付・サービス提供を停止。再開時期は未定
個人情報保護委員会への報告状況	2026年7月24日に報告済み
警察への対応	警察および関係機関と連携して対応中

不正アクセスの原因は一部機能のプログラム脆弱性

OCSは2026年7月23日、「OCS FAMILY LINK SERVICE」でシステム不具合が発生したとしてサービスを停止しました。

翌7月24日の第2報では、同社が管理・運用するサーバーに外部から第三者によるサイバー攻撃が行われ、一部の個人情報・データが外部へ流出した可能性があることを公表しています。

セキュリティ対策Labでも、第2報までの状況をOCS FAMILY LINK SERVICEへのシステム障害はサイバー攻撃が原因、個人情報流出の恐れで取り上げています。

その後、7月28日の第3報で個人情報が実際に流出したことが判明し、今回の第4報で不正アクセスの原因が明らかになりました。

外部専門機関による調査の結果、「OCS FAMILY LINK SERVICE」の一部機能に存在したプログラム脆弱性によって、外部からの不正アクセスを防ぐことができなかったとしています。

ただし、OCSは脆弱性の具体的な内容や対象となったプログラム、製品名、バージョン、CVE番号などを公表していません。

このため、既知の脆弱性だったのか、未知の脆弱性だったのか、どのような種類の脆弱性が悪用されたのかについては確認できません。

顧客と利用企業管理者の個人情報が流出

OCSは7月28日の第3報で、第三者による不正アクセスによって顧客の個人情報が流出したことを確認しています。

一般の利用者について流出した情報は、氏名、海外お届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号です。

また、「OCS FAMILY LINK SERVICE」を利用する企業の管理者については、会社名、管理者氏名、担当部署所在地、電話番号・FAX番号、メールアドレス、ログイン用パスワードが流出しています。

ログイン用パスワードは暗号化されており、OCSは解読・復元は不可能と説明しています。

一方、クレジットカードなどの金融情報は流出した情報には含まれていません。

第4報では、流出した情報について第3報から変更はないとしています。対象となる利用者数や流出したレコード件数については、今回までの公式発表では確認できませんでした。

データベースへの直接アクセスや改ざんの痕跡は検出されず

今回の外部専門機関による調査では、データベースへの直接アクセスの痕跡は検出されていません。

また、不正プログラムが設置された痕跡や、データが改ざんされた痕跡も確認されなかったとしています。

一方で、第3報では顧客情報などが実際に流出したことが確認されています。

このため、「データベースへの直接アクセスがなかった」ことと「情報流出がなかった」ことは同じ意味ではありません。Webアプリケーションなどの正規機能を経由して情報が取得される場合、攻撃者がデータベースへ直接接続していなくても情報流出が発生する可能性があります。

ただし、OCSは具体的にどの機能から、どのような方法で情報が取得されたのかを公表していないため、今回の情報流出経路についてこれ以上を断定することはできません。

脆弱性の改修とセキュリティ機器の設定を見直し

OCSは再発防止策として、今回判明したサービスの脆弱性に対する改修作業を進めています。

あわせて、セキュリティ機器などの設定も見直しています。

さらに外部専門機関の協力のもとで安全対策を講じ、再発防止に向けた体制構築を進めるとしています。

外部公開されるWebサービスでは、アプリケーションの脆弱性への対応だけでなく、WAFなどのセキュリティ機器の設定、アクセスログの監視、異常なリクエストの検知などを組み合わせることが重要です。

サービス再開時期は引き続き未定

「OCS FAMILY LINK SERVICE」は、2026年7月23日からサービス提供を停止しています。

第4報でも、プログラム脆弱性への対応と第三者機関による安全性の確認が完了するまで、新規受付とサービス提供を引き続き停止するとしています。

サービス再開時期は現時点で未定です。OCSは再開時期が決定した場合、公式サイトなどを通じて改めて案内する方針です。

OCSを装ったフィッシングやなりすましに注意

今回流出した情報には、氏名、海外の配送先住所、メールアドレス、電話番号、サイト会員番号などが含まれています。

これらの情報が悪用された場合、OCSや配送会社、勤務先の管理者などを装い、「配送状況の確認」「住所の確認」「追加料金や関税の支払い」「パスワード再設定」などを理由として偽サイトへ誘導するフィッシングにつながる可能性があります。

また、利用企業の管理者については、会社名、氏名、部署所在地、メールアドレスなども流出しています。これらを組み合わせた取引先や社内担当者を装うなりすましメールにも注意が必要です。

現時点で、本事案に起因するフィッシングやなりすましなどの具体的な二次被害について、OCSの公式発表では確認できませんでした。

情報システム部門への示唆

今回の事案では、Webサービスの一部機能に存在したプログラム脆弱性が、不正アクセスと情報流出につながりました。

情報システム部門では、OSやミドルウェアだけでなく、自社開発・委託開発したWebアプリケーションの脆弱性も継続的に管理する必要があります。

特に、個人情報を扱う機能については、リリース前の脆弱性診断だけでなく、機能追加や改修後の定期的な診断、コードレビュー、SAST・DASTなどを組み合わせ、運用中にも脆弱性が入り込む可能性を前提とすることが重要です。

また、今回の調査ではデータベースへの直接アクセスや不正プログラム設置の痕跡がなかった一方で、個人情報の流出は確認されています。インシデント調査では「DBへの侵入がなかった」「マルウェアが見つからなかった」という結果だけで影響なしと判断せず、WebアプリケーションのアクセスログやAPIログ、レスポンス量、不自然な検索・取得処理なども含めて確認する必要があります。

さらに、脆弱性が存在しても攻撃を早期に検知・遮断できるよう、WAFやIDS/IPS、ログ監視、レート制限、異常アクセス検知など多層的な対策を組み合わせることが求められます。