モニターサイト「ファンくる」に不正アクセス、約103万件が流出

何が起きたのか

ファンくるは2026年11月4日、モニター体験サイト「ファンくる」への不正アクセスについて第二報を出しました。第一報は11月2日です。

11月1日の午前0時ごろ、社内で普段と違うアクセスのパターンを検知し、同社は通信を遮断して午前1時36分までに封じ込めました。分析で、会員情報を取り出すAPI（プログラム同士がデータをやり取りする窓口）への不正アクセスが分かり、同じ日の午前10時43分にシステムを止めました。

ログを調べたところ、情報が漏れたのは10月30日の午前10時52分から10月31日の午後7時45分までと分かりました。検知より前の期間です。

第一報では、漏れたのは「一部のモニター会員」で、件数や範囲は明らかにされていませんでした。第二報で、件数と期間が示されました。対応後の不正アクセスは確認されていないと、第一報の時点で説明しています。

漏れた情報

対象は103万741件で、退会した人は含まれません。

項目は会員ID、メールアドレス、ハッシュ化されたパスワード、姓名、性別、郵便番号、電話番号の下4桁です。ハッシュ化は、元の文字列に戻せない形にする処理です。電話番号は下4桁以外が伏せられており、パスワードの平文は漏れていません。

同社は、漏れた情報を使った不正ログインや不正なポイント交換は確認されていないとしています。

会社の対応

原因は会員情報取得APIの脆弱性で、同社は修正とアクセス制御の強化を済ませました。脆弱性の中身は公表されていません。社内インフラの不正侵入の検知と監視も強化し、全システムを緊急で点検して、安全を確かめてからサービスを再開します。停止は11月5日の午前11時までの予定でしたが、再開は安全が完全に確認された段階で行うとされ、変更の可能性があります。

個人情報保護委員会に報告し、警察にも相談しています。対象の会員には登録のメールアドレス宛てに順次連絡します。問い合わせは、専用のお問い合わせフォームで受け付けています。

会員には、次のことを求めています。

• 同社や実在の企業を装った不審なメールが届くおそれがあるため、URLを開いたり、添付ファイルを開いたり、個人情報やパスワードを入力したりしない
• メンテナンス中はマイページ、アンケート、レシートの提出ができないため、調査の実施は控える
• すでに実施した調査のレシートや証明の画像は捨てずに保管し、再開後に提出する

メンテナンス中に期限を迎える提出物と、ポイントの有効期限は、11月9日（月）まで延長されました。

中小企業が学べること

この件で漏れた項目は、メールアドレスと氏名のほかは、ハッシュ化されたパスワードと電話番号の下4桁でした。パスワードを元に戻せない形で保存することと、電話番号を一部だけ返すことは、漏れたときに被害を小さくする設計の例です。

会員情報を返すAPIがある会社は、開発会社に次のことを聞いておけます。

• APIが、ログインした本人や許可した相手以外にも情報を返さないか。会員IDを書き換えて呼び出すと、ほかの会員の情報が返らないか
• 画面に出さない項目まで返していないか。返す項目は、画面で使う分だけに絞る
• 短い時間に大量のアクセスがあったとき、担当者に通知が届くか。この件は、同社が普段と違うアクセスのパターンを検知したことが、封じ込めにつながりました
• アクセスのログを、期間を決めて残しているか。この件は、ログの分析で、漏れた時間帯を絞れました