incidentlog.jp最終更新 2026-11-06
IncidentLogインシデントログ

2026-11-04 公表 · dentsu-soken-20261104

電通総研：【重要】当社サービスを利用する特定企業の環境下における個人情報流出の可能性に関するお知らせとお詫び

不正アクセス情報漏えい第1報AI関与: 未評価
公開データ JSON（CC BY 4.0）
影響件数
公表に記載なし
対象となった情報
記載なし
侵入経路
設定不備・公開不備
公表に明記
漏えいの確認
可能性あり
第1報

要約

公表文の事実のみ

株式会社電通総研は2026年11月4日、同社が提供する「FACERE」を利用する特定の企業の環境下に保管されていたデータが、FACEREのアクセス権限の設定不備により第三者が閲覧できる状態にあったことが10月29日に判明したと公表した。調査の結果、9月10日に第三者による不正アクセスが行われていたことが分かり、個人情報が流出した可能性があるとしている。同社は当該企業に報告し、設定の変更や不正経路の遮断などの対策を講じた。11月3日時点で個人情報の不正利用や二次被害は確認されていないという。同社はFACEREを利用する全ての企業の環境調査を実施しており、同日時点で他の設定不備は見つかっていないとしている。

組織
株式会社電通総研企業
業種
情報通信業 · 情報サービス・SaaS
所在地
東京都
上場
東証プライム 4812
発生（判明）期間
2026-09-10 〜
根拠:「2026 年 9 月 10 日（木）に第三者による不正アクセスが行われた」[s1]
検知日
2026-10-29
根拠:「2026年10月29日（木）、「FACERE」を利用する特定の企業環境下に」[s1]
第1報の公表日
2026-11-04
根拠:「2026年11月04日」[s1]
影響件数
公表に記載なし
対象となった情報
記載なし
漏えいの確認状況
可能性あり
根拠:「個人情報流出の可能性に関するお知らせとお詫び」[s1]
侵入経路
設定不備・公開不備 公表に明記
根拠:「「FACERE」のアクセス権限の設定不備があり」[s1]
原因（公表の記述）
FACEREを利用する特定企業の環境下でアクセス権限の設定不備があり、第三者による不正アクセスが行われた
公表文の記載項目
原因 あり件数 なし時系列 あり最終報告 なし

経過

日数差は全事案の中央値と並べる（統計 §初動の相場）
  1. 発生2026-09-10
  2. 49 日中央値 2 日検知2026-10-29
  3. 6 日中央値 3 日第1報2026-11-04
  4. 最終報告未公表

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

  • 漏えいの可能性があるとされている。公表文に対象の範囲の記載はありません。

すべきこと

  • 漏えいした情報の種類は公表文に記載がない、または当サイトが読み取れていません。
  • その組織を名乗る連絡に注意する。
  • 公式サイトの案内を確認する。

公表文・続報

公表の時系列

各行に原文と保存版へのリンク
  1. 2026-11-04第1報【重要】当社サービスを利用する特定企業の環境下における個人情報流出の可能性に関するお知らせとお詫び

    株式会社電通総研は、FACEREを利用する特定企業の環境下でアクセス権限の設定不備により保管データが第三者に閲覧できる状態だったことが10月29日に判明し、9月10日に不正アクセスがあったと公表した。個人情報が流出した可能性があるとし、設定変更と不正経路の遮断を実施した。

    原文

背景と関連情報

報道・分析・公的機関の出典から · 2026-11-05

電通総研が提供する「FACERE」および開発プラットフォーム「iPLAss」をめぐる不正アクセスについて、ローソンエンタテインメントの通知と電通総研自身の脆弱性告知から、公表文の要約を補う事実が読み取れる。

まず経緯である。ローソンエンタテインメントの通知によれば、同社は2026年11月2日に電通総研から、FACEREで保管していた「エンタ GO」関連データが、電通総研が保持・運用するアクセス権限の設定不備によって第三者に閲覧可能な状態にあり、9月10日に不正アクセスがあったとの報告を受けた [s5]。同通知によれば、同社は個人情報保護委員会へ11月2日に第一報を報告済みである [s5]。一方、電通総研の告知では、11月2日に監視システムのアラートを検知して調査したところ、iPLAss Ver.2を利用する顧客のシステム環境で、脆弱性により第三者による不正アクセスと情報のダウンロードが行われていたことが判明したという [s4]。つまり、FACEREの件（9月10日のアクセス）とは別に、iPLAssでも不正アクセスが起きていた。ローソンエンタテインメントの通知によれば、iPLAss側の不正アクセスは11月1日早朝から11月2日午前にかけて行われ、11月2日夕方以降は確認されていない [s5]。FACERE側については、9月11日以降の不正アクセスは確認されていないとされる [s5]。

影響の規模について、ローソンエンタテインメントの通知によれば、「エンタ GO」は最大12,196名分の氏名、電話番号、メールアドレス、予約内容が閲覧された可能性がある [s5]。「LAWSON DO! SPORTS」では、個人情報を含むパスワード付きZIPファイル57件のうち56件、25,858名分が対象となり、氏名、住所、電話番号、メールアドレス、性別、生年月日、大会エントリー時の体調等のアンケート情報が含まれる [s5]。残る1件はファイル破損の可能性があり確認中とされている [s5]。同社はクレジットカード情報などの決済情報やパスワードは保持していないとしている [s5]。取得されたZIPファイルにはパスワードが設定されていたという [s5]。

侵入経路と原因について、電通総研の告知によれば、アプリケーションサーバー等のアクセス制御が適切に設定されていない場合、iPLAss Ver.2の認証を経ずに、外部から想定されていない管理機能へ到達できる場合がある [s4]。この事象は、iPLAss Ver.2の機能・挙動と、利用環境側のアクセス制御設定との組み合わせで発生しうるもので、詳細は調査中とされる [s4]。iPLAss Ver.3以降では同様の脆弱性が生じないことを確認しているといい、電通総研は利用者に最新版への至急のバージョンアップを検討するよう呼びかけた [s4]。ローソンエンタテインメントの通知は、原因をアクセス権限の初期構築時の設定不備に起因する脆弱性としている [s5]。同社はあわせて、自社システムへの不正アクセスは確認されていないとしている [s5]。

対応と注意喚起として、ローソンエンタテインメントは対象者へメールで個別に連絡するほか、本件に便乗した不審なメールやメッセージへの注意を呼びかけ、電通総研を含む全委託先のシステム安全性の確認を進めるとしている [s5]。

攻撃グループ

帰属の根拠と確度

この事案に結びついた攻撃グループの記録はありません。

手口と痕跡

設定不備・公開不備: アクセス制御の欠落、公開ストレージ、環境設定ファイルやバックアップの露出 · ATT&CK T1530

アクセス制御の欠落や公開設定の不備、環境設定ファイル・バックアップの露出を突く手口。管理が行き届かない公開資産から、認証なしまたは過大な権限で情報を取り出せる点が弱点となる s3s7

兆候と見分け方

  • IPA は、外部公開アプリやサービスのログでエラー出力量や平時との差を見て、直近1ヵ月から3ヵ月へ段階的に範囲を広げて調べるよう求めている s6
  • IPA は、サービス単位でログイン失敗の量、ログイン元 IP アドレス、ログイン時間を平時と比べるよう求めている s6
  • IPA は、作った覚えのないアカウントや、無効化したはずなのに有効なアカウントの有無の確認を求めている s6
  • JPCERT/CC は、curl や python-requests など特徴的な User-Agent（接続元ソフトの識別文字列）からの API アクセスを、不審な送信元 IP とともに例示している s1

備えの要点

  • IPA は、外部公開範囲の見直しと、API 連携など構成要素単位での管理状況や権限付与の見直しを勧めている s6
  • 国家サイバー統括室は、クラウド利用時にサービス仕様を理解し、保存領域やデータベースの公開設定とアクセス権限設定をよく確認するよう求めている s2
  • JPCERT/CC は、非公開 API を含む各 API でアクセス制御を行い、許可された利用者と HTTP メソッドだけを受け付けるよう勧めている s1
  • 国家サイバー統括室は、バックアップデータも適切に保護し、保存データと通信経路を暗号化するよう求めている s2

この手口に共通する一般的な解説で、この事案の公表内容ではありません。出典番号（sN）は手口ページの出典一覧を指し、全文も同ページに。

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

関連

同じ組織・委託先・製品・業種・手口の記録

一覧で探す: 2026年の統計 · 情報通信業の事案 · 東京都の事案 · 設定不備・公開不備の事案

出典

項目別の根拠引用（7）
  • disclosedAt: 「2026年11月04日」[s1]
  • detectedAt: 「2026年10月29日（木）、「FACERE」を利用する特定の企業環境下に」[s1]
  • occurredFrom: 「2026 年 9 月 10 日（木）に第三者による不正アクセスが行われた」[s1]
  • cause.initialAccess: 「「FACERE」のアクセス権限の設定不備があり」[s1]
  • affected.confirmation: 「個人情報流出の可能性に関するお知らせとお詫び」[s1]
  • summary: 「設定の変更、不正経路の遮断などの対策を講じており」[s1]
  • summary: 「個人情報の不正利用や二次被害は確認されておりません」[s1]

この記録について

記録の作成
2026-11-05
更新
2026-11-06
出典の最終取得
2026-11-06
識別子
dentsu-soken-20261104
  • 2026-11-05更新: Claude Code（intake-review）が一次公表（sources の s1）から下書きを更新。公開の判断は人
  • 2026-11-06更新: 背景と関連情報を出典 4 件で追加（自動）

当サイトが書いた要約・分類・突合の結果は CC BY 4.0 で利用できます（出典と利用条件）。 この記録の訂正・削除を依頼する