電通デジタル「TONARIWA」に不正アクセス、個人情報漏えいの恐れ

電通デジタルは2026年11月11日、同社が提供するマーケティングプラットフォーム「TONARIWA」が第三者から不正アクセスを受け、サービスを一時止めたと公表しました。サービス上で管理していた個人情報の一部と、LINE公式アカウントと連携するためのアクセストークンなどが、外部に漏えいした可能性があります。対象のクライアント企業と件数は調査中です。

何が起きたのか

同社は11月10日、TONARIWAのシステム基盤で使っている管理アカウントで、第三者による不正アクセスと権限昇格が行われていたことを確認しました。権限昇格とは、入り込んだアカウントで操作できる範囲を広げることです。原因は、この管理アカウントの認証情報が漏えいしたことだと説明しています。認証情報がどこから、どのように漏えいしたかは書かれていません。

同社は被害の広がりを防ぐことを優先して、サービスを一時止めました。止める作業と並行してログを調べる中で、サービス上で管理していた個人情報の一部が外部に漏えいした可能性が分かりました。公表は翌日の11月11日です。

漏えいした可能性がある情報

同社が挙げているのは次の2つです。

• 一部のクライアント企業が扱うエンドユーザーの個人情報（氏名、生年月日、連絡先などの属性情報）
• TONARIWAの管理用アカウント情報（LINE公式アカウント連携用のアクセストークンなど）

クレジットカード情報や金融機関の口座情報などの決済に関する情報は、これまでの調査で、漏えいの対象に含まれていないことを確認したとしています。対象のクライアント企業、件数、詳しいデータ項目は、特定の作業を続けている段階です。

不正に取得された情報が悪用された事実は、11月11日の時点で確認されていません。ただし同社は、LINE公式アカウントの連携情報が含まれていた可能性があるため、第三者による不正なメッセージ配信などのリスクを排除できないとしています。

アクセストークンは一般に、外部のツールが本人の代わりにサービスを操作するときに使う、鍵に当たる文字列です。IDとパスワードを知らなくても、トークンがあれば許された範囲の操作ができます。漏えいした可能性があるトークンは、無効にして新しいものに切り替えることになります。

会社の対応

同社は事態が分かってから、次の対応をとったとしています。

1. 不正アクセスに使われた認証情報をすぐに失効させ、通信の経路を遮断した
2. すべてのサーバーを止めて、システムを完全に隔離した
3. 外部の専門調査機関（フォレンジック調査会社）を選び、ログの解析を進めている
4. 個人情報保護委員会などへの報告に向けて、クライアント企業各社と連携と調整をしている
5. 対象のクライアント企業各社に個別に状況を説明し、安全措置を要請している

LINE公式アカウント関連の認証情報の再発行と切り替えは、他のシステムへの影響と管理権限の所在を確かめたうえで、同社の側でできるものから順に進めています。利用している会社の側で対応が要るものは、個別に案内と相談をしているとのことです。

サービスの再開は外部の専門調査機関による安全性の検証と、必要な対策を終えてからになります。再開の見通しが立ったら案内するとしていて、時期は示されていません。再発防止として、原因の調査結果を踏まえて、セキュリティ対策の強化と、管理と運用の方法の改善を進めるとしています。問い合わせは同社サイトの問い合わせフォームで受けています。

利用している会社と、そのお客様がすること

TONARIWAを使っている会社は、同社からの個別の説明で、自社が対象かどうかと、LINE関連の認証情報を自社で切り替える必要があるかを確かめます。個人情報保護委員会への報告は、同社とクライアント企業が連携して進めるとされているため、自社の側で報告や本人への通知が要るかも、あわせて相談することになります。

企業のLINE公式アカウントからメッセージを受け取っている利用者は、いつもと違う内容のメッセージが届いても、リンクを開いたり個人情報を入力したりする前に、その企業の公式サイトで確かめてください。どの企業のアカウントが対象かは、まだ公表されていません。

中小企業が学べること

今回の入り口は管理アカウントの認証情報でした。管理アカウントは操作できる範囲が広いため、1つ漏れると被害も広い範囲に及びやすくなります。クラウドや業務システムの管理アカウントには多要素認証をかけ、ふだんの作業は権限を絞った別のアカウントで行うようにしておくと、認証情報が漏れても使われにくく、使われたときの範囲も狭くなります。

もう1つは、外部のツールに預けている連携用の鍵です。LINE公式アカウントやネットショップ、会計ソフトなどを外部のツールにつなぐと、そのツールの側に自社のアカウントを操作できるトークンやAPIキーが保存されます。ツールの提供元で事故が起きたときに自社ですることは、この鍵の切り替えです。どのツールにどの鍵を預けているか、どの画面で誰が再発行できるかを一覧にしておけば、連絡を受けた日のうちに切り替えられます。

預けた鍵が漏れて悪用された例は、アイル「CROSS POINT」、漏れたAPIキーで会員情報を取得でも紹介しています。