円谷プロ「ULTRA MART」の抽選システムに不正アクセス　133名の当選結果を「落選」へ改ざん

円谷プロダクションは2026年9月11日、直営店「ULTRA MART」が利用していたLINEアプリ上のデジタル整理券システム「mogily」で不正アクセスが発生し、一部利用者の抽選結果が改ざんされたと公表しました。

システム提供元のmogilyによると、不正アクセスは9月9日から10日にかけて管理システムに対して行われました。本来「当選」だった利用者の当落ステータスが第三者によって「落選」へ書き換えられ、影響を受けた利用者は133名です。

mogilyはログ調査によって対象者を特定し、133名全員のステータスを本来の「当選」へ復旧しました。

今回の事案では、氏名や連絡先などの個人情報漏えいは確認されていません。一方で、不正アクセスによって業務データそのものが変更され、利用者に表示される抽選結果へ直接影響した点が特徴です。

ULTRA MARTの抽選結果改ざん事案のサマリー

• 円谷プロダクションは9月11日、「ULTRA MART」が利用するデジタル整理券システム「mogily」で不正アクセスが発生したと公表しました。
• 不正アクセスは2026年9月9日から10日にかけて、mogilyの管理システムに対して行われました。
• 本来「当選」だった利用者の抽選ステータスが、第三者によって「落選」へ改ざんされました。
• 影響したクライアントは1社、利用者は133名です。
• mogilyは対象133名を特定し、全員のステータスを本来の「当選」へ復旧しました。
• 氏名、連絡先などの個人情報漏えいは発生していないことを、mogilyが調査で確認しています。
• mogilyは侵入経路となった箇所を特定し、システム上のセキュリティ強化対策を完了しました。
• 9月11日の公表時点で、新たな不正アクセスは確認されていません。
• mogilyは警察などの関係機関と連携し、法的措置を含む対応を進める方針です。

項目	内容
公表日	2026年9月11日
発生期間	2026年9月9日～10日
対象サービス	デジタル整理券システム「mogily」
利用企業	円谷プロダクション「ULTRA MART」
インシデント	管理システムへの不正アクセス、抽選結果の改ざん
影響したクライアント	1社
影響した利用者	133名
改ざん内容	本来「当選」のステータスを「落選」へ変更
個人情報漏えい	確認されていません
データ復旧	133名全員を本来の「当選」へ復旧済み
セキュリティ対応	侵入経路となった箇所を特定し、強化対策を実施済み
今後の対応	警察などと連携し、法的措置を含めて対応

9月9日から10日にmogilyの管理システムへ不正アクセス

mogilyの公式発表によると、不正アクセスは9月9日から10日にかけて発生しました。

対象となったのは、同社が提供するデジタル整理券システム「mogily」の管理システムです。

第三者がシステムへ不正にアクセスした結果、一部利用者の抽選結果を示す当落ステータスが変更されました。

改ざんされたのは、本来「当選」していた利用者のデータです。

第三者によってステータスが「落選」へ書き換えられていました。

mogilyは事象の発覚後、詳細なログ調査を行い、影響を受けた133名を特定しました。対象者についてはすべて本来の「当選」状態へ戻しています。

ULTRA MARTではLINE上のデジタル整理券を購入時に使用

ULTRA MARTでは、商品の抽選販売にmogilyを利用していました。

同店の公式案内では、利用者がLINEアプリから抽選を申し込み、当選した場合にデジタル整理券が届く仕組みになっています。

当選者は整理券に記載された日時に店舗を訪れ、購入時にデジタル整理券を提示します。

抽選は先着順ではなくランダム方式で、デジタル整理券は当選者本人のLINEアカウントで利用する設計です。

この運用では、管理システム上の「当選」「落選」というステータスが、利用者が商品を購入できるかどうかを判断する基礎データになります。

今回の不正アクセスは、その抽選ロジックを操作したと公表されているわけではありません。

確認されているのは、すでに「当選」となっていた利用者のステータスが、管理システム上で「落選」へ書き換えられたことです。

個人情報漏えいは確認されず、問題はデータの「完全性」

今回の事案では、個人情報が外部へ流出したとは確認されていません。

mogilyは詳細な調査の結果、氏名や連絡先などの個人情報漏えいは「一切発生していない」と説明しています。

一方、情報セキュリティ上の問題は情報漏えいだけではありません。

今回侵害されたのは、システムに保存された抽選結果の正しさです。

情報セキュリティでは一般に、情報を許可されていない相手へ見せない「機密性」、必要なときに利用できる「可用性」に加え、データが正しい状態に保たれる「完全性」が管理対象になります。

本件では、第三者が正規の業務データを書き換え、利用者に提示される結果を変更しました。

顧客情報を盗み出さなくても、予約、抽選、在庫、ポイント、決済、注文、権限などの業務データを書き換えられれば、サービス利用者や企業活動へ直接影響します。

侵入経路となった箇所は特定、具体的な手法は非公表

mogilyは、不正アクセスの侵入経路となった箇所を特定したとしています。

そのうえでシステム上のセキュリティ強化対策を完了し、9月11日の公表時点では新たな不正アクセスは発生していないと説明しました。

一方、侵入に使われた具体的な脆弱性、認証情報、設定不備などの技術的な内容は公表していません。

攻撃者についても明らかにされていません。

mogilyは今回の行為を悪質な犯罪行為とし、警察などの関係機関と連携して調査を続け、法的措置を含めて対応する方針です。

SaaSや外部システムでは「漏えいの有無」だけでなく改ざんも確認する

今回の事案は、外部SaaSやクラウドサービスを利用する企業がインシデント発生時に確認する範囲を示しています。

委託先から「個人情報漏えいは確認されていない」と報告された場合でも、それだけで業務影響がないとは判断できません。

抽選システムであれば当落結果、ECであれば注文情報や価格、勤怠システムであれば勤務記録、経費システムであれば振込先、ID管理システムであれば権限設定など、改ざんされることで業務へ影響するデータがあります。

情報システム部門では、不正アクセスが判明した際に少なくとも次を確認します。

• 閲覧されたデータだけでなく、変更されたデータがないか
• 管理画面から行われた操作履歴を追跡できるか
• 正規管理者による変更と不正操作をログで区別できるか
• 改ざん前の状態をバックアップや監査ログから復元できるか
• 外部サービス側の管理者権限が必要以上に広くなっていないか
• 重要な設定変更や大量変更を検知・通知する仕組みがあるか

今回、mogilyは詳細なログ調査から対象133名を特定し、正しい状態へ復旧しています。

業務データの完全性を守るには、侵入防止だけでなく「誰が、いつ、どのデータを変更したか」を後から確認できる監査ログが復旧時にも必要になります。

情報システム部門への示唆

SaaSや外部サービスを導入する際、個人情報の保存場所や暗号化、アクセス制御は確認されやすい項目です。

一方、業務データの改ざん検知や復旧方法は見落とされる場合があります。

今回のように、漏えいが発生していなくてもサービスの判定結果そのものが書き換えられると、顧客対応や販売機会へ影響します。

抽選、予約、チケット、EC、ポイント、会員管理など、利用者の権利や金銭に関わるシステムでは、契約・導入時に管理操作ログの保存期間、バックアップ、変更履歴、管理者認証、インシデント時のログ提供範囲まで確認しておく必要があります。

不正アクセスの基本的な手口や企業側の対策については「不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説」でも整理しています。

出典

• 【重要なお知らせ】「ULTRA MART」チケット抽選システムへの不正アクセスに関するお詫びと今後の対応について – 円谷プロダクション
• 【重要】弊社デジタル整理券システム「mogily」への不正アクセスおよびデータ改ざんに関するお詫びとご報告 – mogily株式会社
• 「M78ウルトラマン ふわふわお座りぬいぐるみ」の購入方法について – ULTRA MART