2.5次元アイドル「いれいす」事務所のVOISING、不正アクセスによるサイバー攻撃で個人情報漏洩　対象は最大約17万人、パスワード漏えいなし

株式会社VOISINGは2026年8月20日、同社が利用するBIツールへの不正アクセスと個人情報漏えいについて第二報を公表し、現時点で想定される対象人数の最大値が約17万人に上ると明らかにしました。

約17万人は精査途中の暫定値であり、確定した漏えい人数ではありません。正確な件数は調査完了後に公表するとしています。

同社は8月18日の第一報で、顧客の氏名、住所、電話番号、メールアドレス、生年月日、性別、購買履歴、決済金額の記録、サービス加入状況、応援対象タレントの選択情報などが漏えいしたことを公表していました。一方、顧客のアカウントパスワードは漏えいしていないと改めて説明しています。

漏えいが確認された対象者には8月18日12時頃から順次、個別に案内メールを送信しています。8月20日時点で、所轄警察署などの関係機関から本件に関連する被害の報告や連絡は届いていません。

VOISINGの個人情報漏えい第二報のサマリー

• 【確認済み】VOISINGは2026年8月20日、BIツールへの不正アクセスと個人情報漏えいについて第二報を公表しました。
• 【確認済み】現時点で想定される対象人数の最大値は約17万人です。
• 【確認済み】約17万人は精査途中の暫定値であり、確定件数ではありません。
• 【確認済み】個人情報の漏えいが確認された対象者には、8月18日12時頃から順次案内メールを送信しています。
• 【確認済み】不正アクセスの原因とみられる脆弱性への修正プログラム適用を完了しています。
• 【確認済み】関連するすべてのパスワードとアクセスキーの無効化・変更を完了しています。
• 【確認済み】不正アクセスの遮断とサービス利用に関する安全対策を完了しています。
• 【確認済み】所轄警察署への相談・被害通報、個人情報保護委員会への速報提出を完了しています。
• 【確認済み】顧客のアカウントパスワードは漏えいしていません。
• 【確認済み】8月20日時点で、所轄警察署などの関係機関から本件に関連する被害の報告や連絡は届いていません。
• 【確認できず】対象人数の確定値、影響範囲の最終結果、脆弱性の具体的な内容は調査中です。
• 【確認できず】攻撃者や脅威アクター、悪用された具体的なCVE、流出データが第三者に公開された事実は公表されていません。

項目	内容
第二報公表日	2026年8月20日
第一報公表日	2026年8月18日
対象組織	株式会社VOISING
インシデント	利用中のBIツールへの不正アクセス、個人情報・プライバシー情報の漏えい
想定対象人数	最大約17万人（暫定値）
確定件数	調査中
漏えい情報	氏名、住所、電話番号、メールアドレス、生年月日、性別、購買履歴、決済金額の記録、サービス加入状況、応援対象タレントの選択情報など
アカウントパスワード	漏えいなし
原因	脆弱性が原因とみられるが、詳細は調査中
対応	修正プログラム適用、関連パスワード・アクセスキーの無効化・変更、不正アクセス遮断
二次被害	関係機関から被害報告・連絡なし
警察への相談・通報	実施済み
個人情報保護委員会への報告	速報提出済み。確報を法定期限内に提出予定
再発防止策	調査完了後に策定・公表予定

第二報で対象人数が最大約17万人と判明

8月18日の第一報では、漏えい対象となる情報の種類は公表されていたものの、対象件数については調査中とされていました。

8月20日の第二報で、VOISINGは現時点で想定される対象人数の最大値を「約17万人」と公表しました。

ただし、これは影響範囲を精査している途中の暫定値です。

したがって、「17万人の個人情報が漏えいした」と確定値として扱うのではなく、「対象は最大約17万人」「想定される最大値は約17万人」と表現する必要があります。

VOISINGは正確な確定件数について、調査完了後に報告するとしています。

漏えいが確認された対象者へ個別メールを送信

VOISINGは、個人情報の漏えいが確認された対象者に対し、8月18日12時頃から順次、本件に関するお詫びと案内のメールを送信しています。

第二報では、対象者全員への通知が完了したとは記載されておらず、引き続き順次送信しているとしています。

同社は、漏えいした情報を悪用したフィッシングメールやSMS、迷惑電話などに注意するよう呼びかけています。

また、同社から送信された案内メールの本文や画面スクリーンショットをSNSなどへ投稿しないよう要請しています。

これは、正規の案内メールの文面やデザインが第三者に取得され、VOISINGを装ったフィッシングメールの模倣に利用されることを防ぐ目的です。

アカウントパスワードの漏えいはなし

VOISINGは第二報で、顧客のアカウントパスワードについて「漏えいは一切ない」と明記しました。

一方、第一報で公表された漏えい情報には、生年月日や電話番号などが含まれています。

そのため、これらの情報から推測されやすい文字列をVOISINGや他社サービスのパスワード、暗証番号として使用している場合には、推測されにくいものへ変更するよう求めています。

これは「パスワードそのものが漏えいしたため変更を求めている」という意味ではありません。

生年月日や電話番号などの周辺情報が漏えいしたことで、攻撃者によるパスワード推測やソーシャルエンジニアリングに悪用される可能性を考慮した注意喚起です。

漏えいした情報には購買履歴や「推し」の選択情報も

8月18日の第一報でVOISINGは、同社が利用するデータ分析システムへの不正アクセスにより、顧客の個人情報とプライバシーに関する情報が漏えいしたと公表しています。

漏えい対象として公表された情報には、氏名、住所、電話番号、メールアドレス、生年月日、性別などの基本情報に加え、購買履歴、決済金額の記録、サービス加入状況、応援対象タレントの選択情報などが含まれていました。

特に「誰を応援しているか」という情報とメールアドレス、電話番号、購買履歴が組み合わされた場合、ファンクラブ更新、限定グッズ、イベント、特典などを装ったフィッシングの精度が高まる可能性があります。

例えば、実際に利用しているサービスやタレント名を含むメールが届いた場合、一般的な迷惑メールよりも正規の案内と誤認しやすくなります。

現時点でこうした二次被害が確認されたわけではありませんが、今後想定されるリスクとして注意が必要です。

決済を保護者や家族が行っている場合は情報共有を要請

第二報では、サービス利用者本人以外の保護者や家族が決済を行っている場合、今回の事案と案内メールの内容を決済者へ共有するよう求めています。

VOISINGは2.5次元アイドルグループを運営しており、サービスには未成年の利用者も含まれるとみられます。

本人名義のアカウントであっても、商品購入やサービス料金の支払いを保護者が行っているケースでは、漏えい情報に含まれる配送先住所や電話番号などが家族の情報と重なる可能性があります。

第二報では、クレジットカード番号などの決済情報が漏えいしたとの新たな公表はありません。

一方、決済者を含む関係者に対し、VOISINGや関連企業を装った連絡への警戒を求めています。

脆弱性への修正プログラム適用を完了

VOISINGは、不正アクセスの原因とみられる脆弱性への修正プログラム適用を完了したとしています。

また、関連するすべてのパスワードとアクセスキーについて無効化・変更を実施し、不正アクセスの遮断とサービス利用に関する安全対策も完了しました。

ただし、今回の公表では脆弱性の具体的な内容や対象製品、CVE番号は明らかにされていません。

そのため、現段階で特定のBI製品や既知脆弱性が悪用されたと断定することはできません。

今後、調査結果の公表時に、脆弱性がBIツール本体に存在したのか、周辺システムや設定、認証機構などに存在したのかが明らかになるかが確認ポイントになります。

個人情報保護委員会へ速報、警察にも被害を通報

VOISINGは、所轄警察署への相談と被害の通報、個人情報保護委員会への速報提出を完了しています。

今後、外部専門機関と連携して影響範囲の調査と原因分析を進め、未確定事項が判明した場合には順次追記して報告するとしています。

個人情報保護委員会に対しては、法定期限内に確報を提出する予定です。

再発防止策については、被害状況の調査完了後に策定し、改めて公表する方針です。

8月20日時点で二次被害の報告は確認されず

第二報によると、8月20日時点で所轄警察署などの関係機関から、本件に関連する被害の報告や連絡は届いていません。

これは、二次被害が今後発生しないことを保証するものではありません。

漏えいが確認された情報にはメールアドレスや電話番号、購買履歴、応援対象タレントなどが含まれるため、今後、VOISINGや関連企業、所属タレント、オンラインストアを装ったフィッシングやSMS、詐欺電話などに利用される可能性があります。

VOISINGは、不審なメールやSMSを受信した場合、本文中のURLをクリックしたり添付ファイルを開いたりせず、削除するよう呼びかけています。

悪質な詐欺などが疑われる場合には、最寄りの警察または警察相談専用電話「#9110」への相談も案内しています。

情報システム部門への示唆

今回の事案では、顧客向けサービスそのものではなく、社内で利用するBIツールが不正アクセスを受けました。

BIツールやデータ分析基盤には、複数サービスから収集した顧客情報、購買情報、利用履歴、属性情報などが集約されることがあります。

個別のサービスでは分散している情報も、分析基盤では一つの利用者に紐づけられているため、侵害された場合の情報価値と影響範囲が大きくなる点に注意が必要です。

情報システム部門では、BIツールを単なる社内分析ツールとして扱うのではなく、重要な顧客データを保有するシステムとして資産管理、脆弱性管理、アクセス制御、ログ監視を行う必要があります。

また、分析に利用するデータについて、氏名や住所など直接識別子を常時保持する必要があるか、匿名化や仮名化、データ項目の削減が可能かを確認することも重要です。

アクセスキーやAPIキーについては、漏えい時に即座に失効・ローテーションできる運用を準備し、過剰な権限を付与しないことが求められます。

さらに、大量データの閲覧やエクスポート、通常と異なる時間帯や接続元からのアクセスなどを検知できる仕組みを整備し、インシデント発生時に「どのデータが実際に取得されたか」を追跡できる監査ログを保持する必要があります。

今回のVOISINGの事案では対象人数が最大約17万人まで拡大する可能性が示されました。顧客データを集約する分析基盤は、基幹システムやECサイトと同等に高い優先度で防御する必要があります。

出典

• 当社が利用するBIツールへの不正アクセスおよび個人情報漏えいに関する現在の対応状況および対象のお客様へのお願い（第二報） – 株式会社VOISING
• 当社が利用するBIツールへの不正アクセスおよび個人情報漏えいに関するお詫びとお知らせ並びに不審な連絡等への注意のお願い – 株式会社VOISING