くふう Zaimに不正アクセス｜14人の登録情報が書き換えられる

くふうカンパニーが2026年9月22日、家計簿アプリ「くふう Zaim」に第三者が不正なデータを書き込み、一部の利用者の登録情報が書き換えられたと公表しました。 対象は14人です（くふうカンパニーの2026年9月22日の発表）。 情報の漏えいや不正ログインは確認されていないとしていますが、自社でアプリや会員サイトを運営する会社にとって、処理の不具合が悪用された例として参考になります。

公表された内容

• 件数：14人（2026年9月22日の発表）
• 書き換えられた情報：名前（ニックネーム）、メールアドレス、以前の認証方式で使っていたパスワードに関する情報（現在のログインには使っていないもの）
• 時期：9月18日20時09分から19日1時42分にかけて、不正なデータが書き込まれたとしています。9月21日の午後、システムのエラーの通知をきっかけに調べて把握しました
• 原因：システムの一部の処理に不具合があり、第三者がそれを悪用してデータを書き込んだとしています。不具合の具体的な中身は公表されていません
• 影響：書き換えだけで、元の情報を第三者が読み取れる仕組みではなかったため、情報の漏えいはないとしています。ログインに使う「くふうアカウント」は影響を受けておらず、不正ログインもないとしています。収支の記録や金融機関との連携の情報、予算も書き換えられていないとしています
• ほかの影響：9月19日〜21日に新しく登録した一部の利用者で、家計簿の記録が一時的に保存できないエラーが起きていました（データへの影響はなく、復旧済み）

会社の対応

• 9月21日のうちに、保存のエラーの解消、悪用された箇所の修正、14人分のデータの復旧を完了
• 監督官庁へ報告し、対象の利用者に個別に連絡
• 同じような箇所がないかシステム全体を確かめ直し、異常を早く見つける仕組みと監視を強めるとしています

中小企業が今日からできること

• 会員情報を変える処理を確かめる：自社のサイトやアプリで、名前・メールアドレス・パスワードを変える処理が、本人のログインを確かめてから動くようになっているかを、開発会社と一緒に確かめる
• エラーの通知を見る人を決める：今回はエラーの通知がきっかけで気づいた。システムのエラーや異常の通知が誰に届き、誰が見るのかを決めておく
• 使っていない古い情報を消す：以前の認証方式のパスワード情報のように、もう使っていないデータが残っていないかを確かめ、要らないものは消す
• 登録情報の変更を本人に知らせる：メールアドレスやパスワードが変わったときに、変更前のアドレスへ通知が届くようにしておくと、不正な書き換えに早く気づける
• 報告と連絡の手順を決めておく：監督官庁への報告と、対象の利用者への個別の連絡を、誰がいつ行うかを前もって決めておく