バンダイチャンネルへの不正アクセス（会員約4.7万アカウントの意図しない退会、最大136.6万件の漏えいのおそれ、全サービス約6週間停止）
公表日
動画配信サービス「バンダイチャンネル」が2025年11月に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員4万6812アカウントが勝手に退会させられたと報じられています。最大約136.6万件の会員情報が漏れたおそれがあり（流出が確定した件数は発表されておらず、ネット上への公開も確認されていません）、全サービスが約6週間止まりました。
対象者は？
バンダイチャンネルの会員（すでに退会した人も含む）。漏れたおそれがある情報は、メールアドレス、ニックネーム、バンダイナムココインの残高、選んだ支払い方法です。ログインパスワードとクレジットカード番号は含まれていません。最大約136.6万件は人数ではなく、情報の件数で数えたものです。
同社は、対象の会員に（退会済みの人も含めて）個別に連絡するとしています。お知らせは「バンダイチャンネルからのおしらせ」サイトで案内されています。
いますぐできること
- バンダイチャンネルを名乗るメールが届いても、リンクをすぐ開かないでください。同社は、なりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。やフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に注意するよう呼びかけています。
- 勝手に退会させられていて、これからも使いたい場合は、公式サイトから登録し直してください。
何が起きたのか
2025年11月4日、バンダイチャンネルで、一部の会員が自分では何もしていないのに退会させられる障害が起きました。11月6日、会社は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性が高く情報が漏れたおそれもあるとして、同日夜11時30分に全サービスを止めました。11月19日には、漏れたおそれのある情報の種類を発表しました。外部の専門機関による調査と対策を経て、12月19日昼12時にサービスを再開し、漏れたおそれのある情報は最大約136.6万件と発表しました。2026年6月と7月には、警視庁が当時中学3年だった15歳の男子生徒を逮捕したと報じられました。
なぜ起きたのか・なぜ広がったのか
報道によると、生徒はサービスの通信を自分で調べて弱点を見つけ、会員を退会させるプログラムを自分で作りました。処理を速くするためにChatGPTに尋ねてプログラムを書き換えたとされます。アクセスを止められた後も、接続元のIPアドレスを約30回変えて退会させ続けたといいます。どんな弱点だったのかは発表されていません。
いまの状況2026-07-07 時点
サービスは2025年12月19日に再開しています。止まっていた期間の料金は返金の対象とされ、返金の申請期限は2026年3月31日でした。会社は個人情報保護委員会へ報告（確報）を提出し、対象の会員へ個別に連絡するとしています。漏れた情報が悪用された被害は確認されていません。2026年7月、生徒は会社の業務を妨げた疑い（偽計業務妨害）で再逮捕されたと報じられています。
企業として考えたいこと
自社のサービスで、退会や削除のような取り消せない操作が他人のアカウントに対して大量に行われたら、どれくらい早く気づき、その機能だけを止めて元に戻せるでしょうか？
技術的な要約
バンダイナムコフィルムワークスが運営する動画配信サービス「バンダイチャンネル」で、2025年11月4日に不正アクセスにより一部会員が意図せず退会処理される障害が発生した。同社は11月6日23時30分から全サービスを緊急停止し、外部専門機関の調査と再発防止策を経て12月19日12時に再開した。漏えいのおそれがある個人情報は最大約136.6万件で、メールアドレス、ニックネーム、バンダイナムココイン残高情報、選択した支払い方法が含まれる一方、ログインパスワードとクレジットカード番号は含まれず、公開や二次被害は確認されていない。報道によれば、会員4万6812アカウントが退会させられた。2026年7月には警視庁が、当時中学3年だった15歳の男子生徒を偽計業務妨害の疑いで逮捕したと報じられ、同社は個人情報保護委員会へ確報を提出済みである。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者同社の公表では原因は不正アクセスとされ、侵入口は facts に記載がない。報道では、逮捕された生徒がサービスのネットワーク通信を解析して脆弱性を特定し、自作プログラムで不正アクセスを自動化したとされる。脆弱性の具体的な種別や箇所は報じられていない。
- 脆弱性
- CVE 非公表報道・研究者サービスの通信（サーバー）の脆弱性を生徒が見つけたと報じられている。製品名・CVE・脆弱性の種別は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年11月6日23時30分から全サービスを一時停止した。停止中はトップページや作品紹介ページは閲覧できたが、入会・ログインページへは遷移できなかった。退会させられた会員が継続利用するには再登録が必要。期間：2025-11-06から2025-12-19まで（報道では約6週間）
- データ
- おそれ上限 1,366,000確定 —件メールその他最大約136.6万件は人数ではなく件（データ項目）での数え方と報じられている。内訳はメールアドレス、ニックネーム、バンダイナムココイン残高情報、選択した支払い方法。ログインパスワードとクレジットカード番号は含まれない。インターネット上への公開や二次被害は確認されていない。別に、プログラムにより会員4万6812アカウントが退会させられたと報じられている（報道により約4万6000人とも）。
- 波及先
- —
- 金銭影響
- 停止期間中の利用料金は返金対応（月額有料会員は11月・12月分のうち利用できなかった期間に応じて返金、都度課金は視聴期間が停止期間にかかる作品が対象）。返金の総額は facts に記載がない。
- サプライチェーン
- —
時系列
技術解説
発生から再開までの経緯 事実
2025年11月4日、バンダイチャンネルで一部会員が意図せず退会処理される障害が発生し、同社は情報を公開した。11月6日には公式Xで「重要なお知らせ」があると投稿した。同社は、障害が不正アクセスによる可能性が高く情報漏えいの可能性もあるとして、同日23時30分から緊急措置として全サービスを止めた。停止中もトップページや作品紹介ページは見られたが、入会やログインのページには進めなかった。11月19日には、漏えいのおそれがある情報の種類を公表し、ランサムウェア被害ではないことを確認したとした。この時点では、再開までに時間がかかる見込みと説明していた。その後、外部専門機関の調査を実施した。調査結果を踏まえたシステムの安全性向上と再発防止策が完了したとして、12月19日12時にサービスを再開した。報道では、停止はおよそ6週間に及んだとされる。
被害の範囲と数え方 事実
漏えいのおそれがある個人情報は最大約136.6万件。内容はメールアドレス、ニックネーム、バンダイナムココイン残高情報、会員が選んだ支払い方法で、ログインパスワードとクレジットカード番号は含まれない。報道によると、この件数は人数ではなく「件（データ項目）」で数えたもの。流出が確定した件数は公表されておらず、インターネット上への公開や二次被害も確認されていない。退会処理の被害は、報道で会員4万6812アカウント（別の報道では約4万6000人）とされる。退会させられた会員が使い続けるには再登録が必要。停止期間中の料金は返金の対象とされた。月額有料会員は11月・12月分のうち使えなかった期間に応じて返金され、都度課金は視聴期間が停止期間にかかった作品が対象。同社は個人情報保護委員会へ確報を提出済みで、退会済みの会員を含む対象会員に個別に連絡するとした。
報じられた攻撃者と手口 事実
警視庁は2026年6月13日、埼玉県所沢市に住む男子生徒（15、攻撃当時は中学3年）を不正アクセス禁止法違反の疑いで逮捕し、いったん処分保留で釈放した。7月4日に偽計業務妨害の疑いで再逮捕し、7月6日までに発表した。報道によると、生徒は同社のネットワーク通信を自分で解析して脆弱性を見つけ、退会処理のプログラムも自作した。処理に時間がかかったため、ChatGPTに尋ねて別のプログラミング言語に書き換え、完成度を高めたとされる。アクセスを遮断された後も、約30回IPアドレスを変えながら退会処理を続けたという。生徒は容疑を認め、会社に恨みはないと述べたと報じられている。脆弱性の種別や場所、製品名は公表されていない。
被害が広がった構造（推定） 解釈
報道からは、外から見える通信を手がかりに、「退会」という取り消しにくい操作を他人のアカウントに対して自動で繰り返せる状態だった可能性がうかがえる。具体的な欠陥は公表されていないため断定はできない。一般にこの種の被害は、API側の認可確認（操作の対象が本人のものか）が足りない場合や、短時間の大量操作を止める仕組みが足りない場合に起きやすい。IPアドレス単位の遮断が約30回の付け替えで回避されたとされる点は、送信元だけを見る防御では自動化された攻撃を止めにくいことを示している。また、退会がすぐに確定して元に戻せない作りだったとすると、会員に再登録を求める形になったことが影響を大きくした一因と考えられる。
全面停止と段階的な公表の評価 解釈
同社は障害発生から2日後の深夜に全サービスの停止に踏み切った。原因が特定できていない段階で攻撃される入口を閉じる判断は、利用者への影響と引き換えに被害の拡大を止めるものだ。遮断を回避して攻撃が続いていたとされる状況を考えると、妥当な選択肢の一つだったとみられる。一方、停止は約6週間に及び、返金手続きや再登録の負担が利用者に生じた。退会機能など一部だけを止められれば影響を小さくできた可能性はあるが、当時の判断材料は公表されていない。公表は第1報、詳細、再開と段階を踏み、件数を「最大」と明示したうえで、含まれない情報も示しており、利用者が自分のリスクを判断する材料になった。ただ、侵入口の技術的な詳細は報道を通じてしか分からず、他社が教訓を得るための情報は限られる。
生成AIの役割をどう捉えるか 解釈
報道の見出しでは「ChatGPTで自作プログラム」が強調された。しかし伝えられた事実関係では、脆弱性の発見と退会処理プログラムの作成は生徒自身が行い、生成AIは処理を速くするための書き換えに使われたとされる。このため、生成AIが攻撃能力をゼロから生んだというより、すでに見つかっていた弱点を突く自動化の効率を高める補助だったと見るのが報道内容に近い。防御側にとっての示唆は、攻撃者の年齢や技術力を前提にした脅威の想定は成り立ちにくいということだ。一つの欠陥が自動化によって短時間で大規模な被害につながることを前提に、破壊的な操作の守りや異常の検知を設計する必要がある。
対応
- 封じ込め
- 2025年11月6日23時30分に全サービスを緊急停止した。外部専門機関による調査を実施し、システムの安全性向上と再発防止策を講じて12月19日12時に再開した。個人情報保護管理・情報管理・情報セキュリティ管理に関する安全管理措置を強化し、定期的な確認を継続するとしている。報道ではアクセス遮断後に約30回IPアドレスを変えて退会処理が続けられたとされる。
- 公表の仕方
- 2025年11月6日にサービス一時停止を告知し、11月19日に不正アクセスによる退会処理と会員情報漏えいのおそれを公表した。12月19日にサービス再開と調査結果を発表した。メールアドレスを悪用したなりすましやフィッシング詐欺への注意を呼びかけ、対象会員には退会済みの会員を含め個別に連絡するとした。停止期間中の料金は返金対応とし、返金完了までバンダイナムコIDを退会しないよう呼びかけた。
- 当局対応
- 個人情報保護委員会（確報を提出済み）
- 警視庁（偽計業務妨害・不正アクセス禁止法違反の疑いで男子生徒を逮捕）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 退会・削除など取り消しにくい操作を受け付けるAPIは、他人のアカウントを対象にされると一度に大きな被害が出る。 | サーバー側で、セッションの主体と操作対象のアカウントIDが一致するかを毎回確認する。退会時にはパスワード再入力やメール確認などの再認証を必須にする。BOLA（オブジェクト単位の認可不備）を確認する項目をAPIの脆弱性診断とCIのテストに入れる。 |
| IPアドレス単位の遮断は、送信元を付け替える自動化攻撃に回避されやすい（報道では約30回の変更で継続）。 | レート制限をIP単位だけでなく、アカウント・セッション・操作種別の単位でもかける。WAFやbot対策で自動化の特徴を検知する。退会件数などの業務指標を時間ごとに監視し、平常時から大きく外れたら自動でアラートを出す。 |
| 退会がすぐ確定して元に戻せないと、不正操作の被害者に再登録の負担がかかる。 | 退会は論理削除にして一定の猶予期間（例: 30日）を設ける。不正操作が判明したときに、対象アカウントを一括で元に戻すスクリプトと手順書を用意し、定期的に訓練する。 |
| 全サービスの停止は被害の拡大を止められるが、長引くと利用者と事業への影響が大きい。 | 退会・会員情報変更・決済などの機能ごとに、フィーチャーフラグやキルスイッチで個別に止められるようにする。どの条件でどの範囲を止めるかを事前に決めた手順書を作る。 |
| 漏えい件数は「人」と「件（データ項目）」の違いや、上限と確定の違いで受け止め方が変わる。 | 公表文のテンプレートに、件数の単位、最大値か確定値か、含まれない情報、二次被害の確認状況を書く欄を設け、法務・広報と事前に合意しておく。 |
| メールアドレスが漏れたおそれがあると、事業者を装ったフィッシングの足がかりになりうる。 | 公式の送信ドメインにSPF・DKIM・DMARC（p=reject）を設定する。公式メールに必ず含める要素（会員番号の一部など）と、メールでは求めない情報を利用者に周知する。 |
自組織などでの確認項目
- 自社サービスの退会・削除・設定変更などのAPIで、リクエスト中の対象IDを書き換えたとき、他人のアカウントへの操作がサーバー側で拒否されることをテストで確認しているか。
- 退会や削除の件数が急に増えたときに、何分で気づけるか。その指標に監視とアラートは設定されているか。
- IPアドレスを付け替える自動化攻撃に対して、アカウント単位や操作単位のレート制限、bot検知は効いているか。
- 不正操作が起きたとき、サービス全体を止めずに該当機能だけを止める手段と、影響を受けたアカウントを元に戻す手順はあるか。
未解明点
- 悪用された脆弱性の種別・場所（API・機能）と、それがどの再発防止策で解消されたのか。
- 最大約136.6万件（データ項目）が会員の人数で何人分に当たるのか。実際に外部へ取り出された情報があったのか。
- 退会させられた4万6812アカウントについて、データの復元や救済策が検討されたのか。
- 異常をどう検知したのか、検知から全面停止まで約2日かかった理由。
- 返金の総額と、停止による売上への影響。
出典
- 1Innovatopia2026-07-07報道本文確認済
- 2INTERNET Watch2025-11-19報道本文確認済
- 3電ファミニコゲーマー2025-11-07報道本文確認済
- 4電ファミニコゲーマー2025-11-19報道本文確認済
- 5電ファミニコゲーマー2025-12-19報道本文確認済
- 6電ファミニコゲーマー2026-07-06報道本文確認済
- 7ScanNetSecurity2025-12-23報道本文確認済
- 8ScanNetSecurity2026-02-26報道本文確認済
- 9PHILE WEB2025-12-19報道本文確認済