くふうカンパニーのまちトークβ版に不正アクセス 最終報告｜308人に影響

くふうカンパニーは2026年10月27日、「くふう まちトークβ版」への第三者の不正アクセスについて最終報告を公表し、同日にサービスを再開しました（くふうカンパニーの2026年10月27日の発表）。 308人の生年月日・性別が外から見られる状態にあり、そのうち1人はメールアドレスも取得され、ほかの情報と結び付けられた状態だったとしています。 「くふう まちトークβ版」を使っていた人に関係します。

公表された内容

• 件数：308人（2026年10月13日・27日の発表）
• 情報の種類：生年月日・性別が見られる状態にあった。1人はメールアドレスも取得された。残る307人はメールアドレスが見られたり取得されたりした痕跡は確認されていないとしています
• 原因：システムにあった脆弱性と、アクセス制御の設定の不備を第三者が悪用したと判断したとしています。攻撃の手法の詳細は、二次被害を防ぐため公表していません
• 二次被害：これらの情報が不正に使われた事実は、現時点で確認されていないとしています
• 不正アクセスが始まった時期：公表されていません

経緯

• 2026年10月2日：不審なアクセスを確認し、調査を開始
• 2026年10月5日：第三者の不正アクセスを確認し、サービスを停止。個人情報保護委員会へ報告し、公表（少なくとも1人のメールアドレスの漏えいを確認）
• 2026年10月13日：原因の箇所の修正を終え、調査結果（対象308人）を公表
• 2026年10月15日〜21日：外部の専門機関による脆弱性の診断
• 2026年10月23日〜26日：診断の結果にもとづく対策を終え、再診断で指摘の解消を確認
• 2026年10月27日：最終報告を公表し、サービスを再開。全アカウントをログアウトさせ、アプリの更新と再ログインを求めています

会社の対応

• 脆弱性の修正、アクセス制御の設定の見直し、外部の診断と指摘への対応を実施
• セキュリティの設定とアクセス権限の点検、開発・変更のときのセキュリティのレビューとテスト、不審なアクセスの監視、インシデントの対応と復旧の手順を強めるとしています
• 個人情報保護委員会への最終の報告は11月上旬の予定としています

中小企業が今日からできること

• β版・試験公開のサービスも本番と同じに扱う：試しに公開しているアプリや Web サービスにも、利用者の情報が入っていれば、公開前に脆弱性の診断を受ける
• 画面に出していない情報が API から取れないか確かめる：アプリが裏で受け取っているデータに、画面に出さない利用者の情報が含まれていないかを、開発会社に確かめてもらう
• アクセス制御の設定を変えたときに、他人のデータが見えないか試す：別のアカウントでログインし、他の利用者の情報が見えないことを確かめる手順を、リリースのたびに入れる
• 不審なアクセスに気づける仕組みを用意する：今回は会社が不審なアクセスを見つけて調査を始めています。アクセスの記録を残し、普段と違う量や場所からのアクセスを知らせる設定を入れる