【インシデント速報】８月２１日｜VOISING最大17万件・大阪関西万博の再委託先・同志社大学
secure【インシデント速報】8月21日｜VOISING最大17万件・大阪関西万博の再委託先・同志社大学
8月20日は、アイドル事務所のBIツール（分析基盤）から最大17万件が流出、大阪・関西万博は再委託先経由の被害と、いずれも「委託先・外部サービスの穴」が発端です。取引先やクラウド分析ツールにも自社の顧客データが渡っていないか、まず棚卸しから始めてください。
VOISING — BIツールへの不正アクセスでファン情報が最大約17万件流出
2.5次元アイドルグループ「いれいす」などを運営する株式会社VOISINGは8月20日、同社が利用するBIツール（データ分析基盤）が不正アクセスを受け、顧客・ファンの個人情報が外部にダウンロードされたと公表しました。影響を受けた可能性がある人数は最大で約17万人です。
同社の説明によると、不正アクセスは8月10日午前1時ごろから始まり、8月16日の夜（18時47分〜20時21分ごろ）にデータが不正にダウンロードされました。同日23時55分に事態を把握し、翌17日未明までに該当システムを停止・ネットワークから遮断しています。漏えいの可能性がある情報は、氏名・住所・電話番号・メールアドレス・生年月日・性別などの基本情報に加え、購入日時や商品名などの購買履歴、決済金額、サービス加入状況、応援しているタレント（いわゆる「推し」）の選択情報などです。クレジットカード番号や口座情報、パスワードは漏えいしていないとしています。
中小企業への影響
顧客管理や売上分析のためにBIツール・データ分析SaaSへ顧客データを丸ごと連携している企業は多く、この事案はその「分析基盤」が狙われた点が特徴です。基幹システムを守っていても、分析用に複製したデータが手薄な設定のまま放置されていれば、そこから一括で抜かれます。購買履歴や「好み」の情報は、標的型のなりすまし詐欺に転用されやすい点も注意が必要です。
推奨対応
- 自社が使うBIツール・分析SaaSに、どの顧客データがどこまで連携されているかを棚卸しする
- 分析基盤にも多要素認証・IPアドレス制限・アクセスログ監視を適用し、深夜の大量ダウンロードを検知・遮断できるようにする
- 分析用データは必要な項目だけに絞り、氏名や連絡先はマスキング（匿名化）してから連携する
公益社団法人2025年日本国際博覧会協会 — 再委託先のMicrosoft 365が不正アクセス、関係者・出演者情報が流出の可能性
大阪・関西万博を運営する公益社団法人2025年日本国際博覧会協会は8月20日、催事運営業務の再委託先でMicrosoft 365アカウントへの不正アクセスが発生し、関係者やイベント出演者の個人情報が流出した可能性があると公表しました。発端は2026年5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信したことでした。再委託先は同日中に不正アクセスを確認し、アカウントへのアクセスを遮断しています。
不正アクセスの対象になった可能性があるのは、業務でやり取りしたメールと添付ファイルです。メール送受信者の氏名・所属・役職・メールアドレス・電話番号のほか、イベント出演者の氏名・肩書・写真・スピーチ原稿・進行台本・登壇動線などが含まれていました。協会は現時点で一般来場者の個人情報が含まれていたことは確認されておらず、二次被害も確認されていないとしています。
中小企業への影響
今回の起点は、発注元でも一次委託先でもなく「再委託先」の1通のフィッシングメールでした。業務を外部に出す側の企業から見れば、自社の情報が委託先→再委託先へと渡り、そのどこか1社の設定不備やメール1通で漏れるということです。委託契約に情報管理を書いていても、再委託先の実態まで把握していなければ守れません。
推奨対応
- 業務委託の際は「再委託の可否」と「再委託先の情報管理体制」を契約と実地で確認する
- 委託先・再委託先を含めMicrosoft 365などのメール基盤に多要素認証を必須化する
- 取引先を装うフィッシングメールの見分け方を、委託先も含めて定期的に周知・訓練する
同志社大学 — 就活生向け試験対策ポータルがランサムウェア被害、学生のメールアドレスが流出の可能性
同志社大学キャリアセンターは8月19日、学生向けに提供している筆記試験対策ポータル「SMART SPI」でランサムウェアによる不正アクセスが発生し、サービスを停止したと公表しました。不正アクセスは2026年4月19日に確認され、サービスが稼働していたサーバには、学生が登録時に入力した大学発行のメールアドレスが保存されていたため、大学は情報が流出した可能性を否定できないとしています。
公表時点で、対象情報がインターネット上に公開された事実は確認されていません。影響を受けた人数、侵入経路、ランサムウェアの種別、攻撃者などの詳細は公表されていません。学生向けの外部サービス（SaaS）がランサムウェアに感染し、登録データが巻き込まれた構図です。
中小企業への影響
自社が提供するWebサービスや、外部に構築を委託したポータルサイトも、ランサムウェアに感染すればサービス停止と顧客データ流出が同時に起きます。特に「登録フォームでメールアドレスだけ預かっている」ような軽いサービスでも、感染すれば立派な漏えい事故です。感染確認（4月）から公表（8月）まで時間がかかっている点も、初動と調査の難しさを示しています。
推奨対応
- 外部に構築・運用を委託しているWebサービスのバックアップ取得状況と復旧手順を確認する
- 登録フォームで預かる情報を最小限に絞り、不要になったデータは定期的に削除する
- サービス停止・データ流出を想定した公表・連絡フローをあらかじめ決めておく
編集部まとめ
今日の3件はいずれも、自社の基幹システムではなく「分析ツール・委託先・外部サービス」という周辺から情報が漏れています。守るべきデータが社外のどこに、どれだけ渡っているかを一度棚卸しし、そこに多要素認証とログ監視を届かせることが、中小企業の現実的な第一歩です。
