incidentlog.jp最終更新 2026-10-13
IncidentLogインシデントログ

2026-09-28 公表 · shueisha-20260928

集英社：「HAPPY PLUS COMMUNITY」への不正アクセスによる個人情報漏洩のお詫びとお知らせ

不正アクセス情報漏えい第1報AI関与: 未評価

要約

公表文の事実のみ

株式会社集英社は2026年9月28日、ブロガーの情報管理・連絡用システム「HAPPY PLUS COMMUNITY」が外部の第三者から不正アクセスを受け、個人情報が漏洩したと公表した。2026年9月9日の0時45分～1時25分と13時42分～16時46分にデータが閲覧・取得された可能性があり、同日14時53分にメールを受信したユーザーの通報で発覚した。対象は登録ブロガー2,835名の氏名や連絡先などの情報、案件情報630件、送信メール情報11,237件、取引先一覧10,780件である。原因はCMSの設定不備に起因するAPI認証情報を狙った攻撃で、特権アカウントが不正に作成されたことと同社は考えている。同社は不正アカウントを削除して設定を変更し、9月25日にブロガーへメールで通知した。外部会社によるフォレンジック調査を実施し、個人情報保護委員会に速報を報告した。

組織
株式会社集英社
発生（判明）期間
2026-09-09 〜 2026-09-09
検知日
2026-09-09
第1報の公表日
2026-09-28（検知から 19 日）
影響件数
登録ブロガーに関する情報 2,835人（確認済み） / 案件情報 630件（確認済み） / 本システムから送信したメール情報 11,237件（確認済み） / 取引先一覧 10,780件（確認済み） / 取引先一覧のメールアドレス 26件（確認済み） / 取引先一覧の電話番号 113件（確認済み）
対象となった情報
氏名、住所、電話番号、メールアドレス、生年月日、アカウント ID、勤務先・職務情報、その他
漏えいの確認状況
確認済み
侵入経路
API の不正操作 公表に明記
原因（公表の記述）
CMSの設定不備に起因するAPI認証情報を狙った攻撃を受け、特権ユーザーアカウントが不正に作成され、APIリクエストが繰り返し実行された。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

  • 漏えいが確認されている。公表文に記載された対象の範囲は「登録ブロガーに関する情報」、「案件情報」、「本システムから送信したメール情報」、「取引先一覧」、「取引先一覧のメールアドレス」、「取引先一覧の電話番号」。

すべきこと

  • その組織を名乗るメール・SMS・電話に注意する。リンクは開かず公式サイトから確認する。
  • そのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える。多要素認証が使えるなら有効にする。
  • 従業員・取引先向け: 社内の連絡経路で指示を確認する。組織を名乗る外部からの指示には応じない。
  • なりすましによる契約・申込に注意する。

公表文・続報

公表の時系列

各行に原文へのリンク
  1. 2026-09-28第1報｢HAPPY PLUS COMMUNITY」への不正アクセスによる個人情報漏洩のお詫びとお知らせ

    株式会社集英社は2026年9月28日、ブロガー向け情報管理システム「HAPPY PLUS COMMUNITY」への不正アクセスで個人情報が漏洩したと公表した。9月9日にデータが閲覧・取得された可能性があり、登録ブロガー2,835名の情報や案件情報630件などが対象である。原因はCMSの設定不備に起因するAPI認証情報を狙った攻撃とされる。

    原文

攻撃グループ

帰属の根拠と確度

攻撃グループに関する記録はありません。

手口と痕跡

痕跡は無効化表記

API の不正操作: アプリ解析で得た API キー、権限昇格、NoSQL インジェクション · ATT&CK T1190, T1078

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

出典

項目別の根拠引用（5）
  • disclosedAt: 「2026 年 9 月 28 日」s1
  • counts[0]: 「登録されていたブロガーに関する下記情報（2,835 件）」s1
  • occurredFrom: 「2026 年 9 月 9 日（水）0 時 45 分～1 時 25 分」s1
  • detectedAt: 「2026 年 9 月 9 日（水）14 時 53 分」s1
  • cause.initialAccess: 「CMS の設定の不備に起因する API 認証情報を狙った攻撃を受け」s1

更新 2026-10-13 · 履歴: 2026-10-13 更新: 要約と抽出項目を現在の基準で書き直し（三人称、引用調の整理、侵入経路と対象情報の再判定） · この記録の訂正・削除を依頼する