primeNumberのWeb広告へのフォルダURL誤掲載による個人情報閲覧可能状態（267件）
公表日
株式会社primeNumberのWeb広告に、個人情報を含むフォルダのリンクが誤って載り、セミナー参加者の個人情報が最大267件、外部から閲覧可能な状態になりました（アクセスの可能性が確認されたのは最大3名）。
対象者は？
同社のセミナー参加者です。閲覧可能になったファイルには、会社名・氏名・職種・メールアドレス・電話番号・アンケート回答が含まれていました。これ以外の情報が含まれていたかは、報道では示されていません。
同社は対象者へ個別に連絡し、謝罪を行っているとされています。同社からの連絡が届いているかを確認してください。連絡先や問い合わせ窓口は、今回の出典からは分かりません。
いますぐできること
- 同社から個別連絡が届いていないか、メールなどを確認する。
- セミナー参加時に登録した会社名やメールアドレス、電話番号を使った、見覚えのないメールや電話に注意する。
- 不審な連絡を受けたら、返信やリンクを開く前に、同社や自社の担当部署に相談する。
何が起きたのか
2025年9月2日14時20分ごろから、同社のWeb広告に、本来載せるはずだった個別のファイルではなく、個人情報が入ったフォルダのリンクが設定されていました。そのため、9月4日7時30分までの間、セミナー参加者の情報が入ったファイルが外部から見られる状態でした。9月4日未明に外部から指摘があり、同日早朝に広告を止め、そのリンクへの社外からのアクセスを遮断しました。同社は9月5日にこの件を発表しました。
なぜ起きたのか・なぜ広がったのか
報道によると、公開するファイルのリンクを共有すべきところ、そのファイルと個人情報のファイルが入ったフォルダのリンクを共有してしまったことが原因です。外部からの侵入ではなく、リンクの範囲の設定の誤りと伝えられています。より詳しい背景は、まだ発表されていません。
いまの状況2025-09-18 時点続報待ち
2025年9月18日時点の報道では、同社は対象者への個別連絡と謝罪を行い、共有手順の見直しやダブルチェックの徹底など再発防止策に着手しているとされています。実際にアクセスがあったかどうかは確定しておらず、最大3名にアクセスの可能性があったとされるだけです。当局への報告や補償などは、まだ発表されていません。
企業として考えたいこと
自社が広告やお知らせに載せているリンクの先には、見せるつもりのないファイルや個人情報が同じ場所に置かれていませんか。
技術的な要約
株式会社primeNumberは、2025年9月2日〜4日に出稿したWeb広告上に、共有すべき個別ファイルではなく個人情報を含む親フォルダのURLを誤って掲載したと公表した。広告掲載中の9月2日14時20分から9月4日7時30分まで、セミナー参加者の会社名・氏名・職種・メールアドレス・電話番号・アンケート回答を含むファイルが外部から閲覧可能で、計267件が影響を受け得る。最大3名によるアクセスの可能性が確認されている。9月4日未明に外部から指摘があり、同日早朝に広告を停止して当該リンクへの社外アクセスを遮断した。対象者への個別連絡と謝罪を行い、共有手順の見直しやダブルチェックの徹底など再発防止策に着手している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、Web広告に個別ファイルではなく個人情報を含む親フォルダのリンクを誤って設定したことで、フォルダ内の個人情報が閲覧できる状態となった（公表上の原因はヒューマンエラー）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 広告を停止し、当該リンクへの社外アクセスを遮断した。中核業務の停止は公表されていない。
- データ
- おそれ上限 267確定 —件氏名メール電話その他セミナー参加者の会社名・氏名・職種・メールアドレス・電話番号・アンケート回答を含むファイルが閲覧可能。最大3名によるアクセスの可能性が確認され、計267件が影響を受け得ると公表。その他は会社名・職種・アンケート回答。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-09-02 14:20個人情報を含む親フォルダのURLを設定したWeb広告の掲載が開始され、フォルダ内ファイルが外部から閲覧可能な状態となった。1
- 2025-09-04未明に外部から指摘があった。1
- 2025-09-04同日早朝に広告を停止し、緊急対策委員会を設置した。1
- 2025-09-04当該リンクを特定し、社外アクセスを遮断した。1
- 2025-09-04 07:30広告掲載が終了し、閲覧可能な状態が解消された（閲覧可能期間の終点）。1
- 2025-09-05primeNumberがマーケティング活動に起因した個人情報漏えいについて発表した。2
- 2025-09-08セキュリティ対策Labが、最大3名によるアクセス可能性、計267件が影響を受け得ることなどを報じた。1
- 2025-09-18ScanNetSecurityが、フォルダURLの誤共有が原因で267件の個人情報が閲覧可能となったと報じた。2
技術解説
何が閲覧可能になったか 事実
primeNumberは、2025年9月2日〜4日に出稿したWeb広告上に、共有すべき個別ファイルのリンクではなく、個人情報を含む親フォルダのリンクを誤って設定したと報じられている。公開ファイルのURLを共有すべきところ、そのファイルと個人情報を含むファイルが格納されたフォルダのURLを共有したことで、フォルダ内の個人情報が閲覧できる状態となった。広告が掲載されていた9月2日14時20分から9月4日7時30分までの間、セミナー参加者の会社名・氏名・職種・メールアドレス・電話番号・アンケート回答を含むファイルが外部から閲覧可能だった。閲覧可能となった個人情報は計267件とされている。
発覚から対応、公表まで 事実
2025年9月4日未明に外部から指摘が入り、同日早朝に広告を停止、緊急対策委員会を設置し、当該リンクを特定して社外アクセスを遮断したと報じられている。最大で3名によるアクセス可能性を確認し、計267件の個人情報が影響を受け得ることが判明したとされる。3名は可能性の上限であり、閲覧が確定した人数ではない。267件も影響を受け得る件数で、流出が確定した件数は示されていない。同社は2025年9月5日にこの件を発表した。対象者への個別連絡と謝罪を行い、共有手順の見直しやダブルチェックの徹底など再発防止策に着手している。
事案の構造（解釈） 解釈
本件は不正アクセスや脆弱性の悪用ではなく、共有リンクが指す範囲（粒度）を誤った運用上の事象と読み取れる。報道は原因をリンクの粒度の誤りというヒューマンエラーとしている。ただ、担当者個人の注意だけに帰する見方は適切でない。広告は不特定多数に届く経路である。そこに、アクセス範囲の広い共有リンクが載りうる状態だったことが、影響範囲を決めた構造と考えられる。個別ファイルとフォルダの区別が分かりにくいことや、入稿前に権限のない状態でリンク先を確認する工程の有無などが論点になる。これらの工程は公表されておらず、以上は一般的な推測である。
対応と公表の見方（解釈） 解釈
外部からの指摘を受けた当日の早朝に広告を停止し、リンクを特定して遮断した点は、閲覧可能期間の終点が明確になっているという意味で、影響範囲の説明に役立つ。発表も指摘の翌日で、対象者への個別連絡と謝罪、再発防止策の着手が伝えられている。一方、今回渡された出典は報道2件のみで、被害組織の公式発表は確認できていない。アクセスログから3名という可能性をどう判断したか、当局への報告の有無、再発防止策の具体的内容は、ここからは判断できない。評価は公式発表を確認したうえで行う必要がある。
対応
- 封じ込め
- 広告を停止し、緊急対策委員会を設置して、当該リンクを特定し社外アクセスを遮断した。
- 公表の仕方
- 2025年9月5日に発表。対象者への個別連絡と謝罪を行い、共有手順の見直しやダブルチェックの徹底など再発防止策に着手している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 広告や公開物に載せるURLは、共有範囲が最小の個別ファイル単位にする | 公開用資料は個人情報のあるフォルダと別のストレージ・別の共有ドライブに置き、広告・告知用のURLはその公開専用領域のものだけを使う。個人情報の格納場所と公開物の置き場を同一階層にしない運用ルールを設ける。 |
| 入稿前に、権限のない第三者の目線でリンク先を確認する | 広告入稿フローに、未ログインのブラウザ（シークレットウィンドウ）でリンクを開き、開けるのは意図したファイルだけであることを確認する手順を組み込む。確認者は作成者と別の担当者にして、結果をチケットに記録する。 |
| 「リンクを知っていれば誰でも閲覧可」の共有を既定で許さない | クラウドストレージの管理設定で、組織外への共有やリンク共有の既定値を制限する。個人情報を含むフォルダは外部共有を禁止し、例外は申請制にする。共有状況を定期的に棚卸しして、外部公開リンクを一覧化する。 |
| 外部からの指摘を受け付けて、すぐ動ける体制を用意する | 脆弱性や情報露出の連絡を受ける窓口（security.txtや問い合わせフォーム）を公開し、夜間・休日の一次対応者を決めておく。共有リンクの変更を即時に無効化する手順書を用意する。 |
| 影響範囲を確定できるよう、アクセスログを保全する | 共有ストレージの外部アクセスログ（アクセス元IP・時刻・対象ファイル）を保持し、保存期間を設定する。事案発生時にログを保全して閲覧の有無を確認できるようにし、公表時に「可能性」と「確認済み」を分けて書く。 |
自組織などでの確認項目
- 自組織のWeb広告やメール、SNS投稿に載せているURLは、すべて個別ファイル単位の公開用リンクになっていますか。フォルダ単位のリンクが混ざっていないか、直近の出稿分を確認してみてください。
- 個人情報を含むクラウドストレージの共有設定で、「リンクを知っている全員が閲覧可」にできる状態になっていませんか。管理者設定で外部共有を制限できるか確認してください。
- 外部の人から「情報が見えている」と指摘があったとき、誰が受け取り、どの手順でリンクを遮断し、何時間以内に経営層へ報告するか決まっていますか。
未解明点
- 最大3名によるアクセス可能性は、どのログや情報から判断したのか。アクセスが実際に確認されたかどうかは、今回の出典からは分からない。
- 被害組織の公式発表の原文で、対象者の範囲や影響を受けた件数の内訳（人数と件数の関係）はどう示されているか。
- 個人情報保護委員会など当局への報告の有無と、再発防止策の具体的な内容や実施時期は、まだ確認できていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-08報道本文確認済
- 2ScanNetSecurity2025-09-18報道本文確認済