キリン2社、OWNLY不正アクセスでSNS参加者情報1,825件漏えい

キリンビールとキリンビバレッジは2026年11月10日、SNSのキャンペーンで使っていた外部のツール「OWNLY」が第三者の不正アクセスを受け、参加者の情報が漏えいしたと公表しました。漏えいしたのはLINEの表示名とXのユーザー名の1,825件で、このうち実名のフルネームなど個人を特定できるLINEの表示名329件を個人情報として扱っています。メールアドレスや住所、電話番号の漏えいは確認されていません。

何が起きたのか

OWNLYはスマートシェア株式会社が提供するツールで、両社はLINEやXでのキャンペーンに使っていました。両社の発表による経緯は次のとおりです。

• 10月18日：OWNLYで不正アクセスが確認される。当初の調査では、両社のキャンペーンの参加者情報へのアクセスは見つからなかった
• 10月28日：調査を続けた結果、参加者情報へのアクセスの形跡が見つかり、対象のアカウントをすぐに無効にした
• 11月6日：両社のキャンペーンの参加者情報が漏えいしたことを確認

不正アクセスの手口や経路は、両社の発表には書かれていません。ScanNetSecurityの記事によると、スマートシェア社は10月27日に、OWNLYのファイルのアップロード機能の不備から入られ、ほかの企業のキャンペーンを含む参加者情報1万4,034件が漏えいしたと公表していました。同社の監視の仕組みが侵入を検知したのは10月16日未明としていて、両社の発表の10月18日とは日付が異なります。

漏えいした情報

項目はLINEの表示名とXのユーザー名で、件数は1,825件です。内訳は、個人を特定できない表示名やユーザー名が1,496件、実名のフルネームなど個人を特定できるLINEの表示名が329件です。両社は個人情報保護法のガイドラインに沿って、表示名が実名のものを個人情報として扱うとしています。

対象は2021年10月から2026年2月にかけて始まった37のキャンペーンです。キリンビールが31、キリンビバレッジが6で、多くはコンビニの無料引き換えクーポンが当たるキャンペーンでした。キリンビバレッジの6つはすべてXでの参加で、個人情報に当たる件数は0件です。一覧にないキャンペーンでは、参加者情報が閲覧やダウンロードされた形跡は確認されていないとしています。11月10日の時点で、不正利用などの二次被害は確認されていません。

会社の対応

両社は対応として、不正アクセスの経路の遮断と対象アカウントの無効化、ログなどの保全、外部の専門機関による調査を挙げています。スマートシェア社が外部の専門機関の協力を得て原因と影響の範囲を調べていて、個人情報保護委員会などへの報告を予定しています。

利用者にはこの件に便乗した不審な案内に注意し、心当たりのないメールのURLや添付ファイルを開かず、パスワードなどを入れないよう求めています。両社が電話やメールでパスワードやカード番号を聞いたり、外部のサイトに誘って個人情報を入れ直させたりすることはないとしています。問い合わせ先は両社のお客様相談室です。

中小企業が学べること

漏えいの対象には2021年に始まったキャンペーンの参加者も含まれていました。キャンペーンが終わったあとも、参加者の情報が外部のツールに残っていたことになります。

SNSのキャンペーンを外部のツールで行う会社は、終わったキャンペーンの参加者情報をいつまでツールに残すかを、契約のときと終了のときに提供元と決めておきます。ツールの管理画面に入れるアカウントも一覧にして、担当を外れた人や使っていないアカウントを止めておくと、入られたときに見られる範囲を狭められます。外部のサービスに預けたデータの扱いを確かめる質問は、システムの委託先に聞くべき5つのことにまとめています。