東宝・ホリプロ『ジキル＆ハイド』製作発表オーディエンス募集フォームの設定不備（322名分の個人情報が閲覧可能に）
公表日
ミュージカル『ジキル＆ハイド』製作発表の観覧募集フォームで、申込者322名分の氏名・連絡先などが他の申込者から見える状態になりました。
対象者は？
「オーディエンス募集」に申し込んだ人のうち、最大322名分。閲覧された可能性がある情報は氏名、メールアドレス、電話番号、SNSのアカウントです。パスワードや決済情報は、公表された内容には含まれていません。
対象の方には、両社から個別にメールでお詫びと報告が送られたとされています。メールの有無で確認できます。問い合わせ窓口は、まだ確認できていません。
いますぐできること
- 両社からのお詫びのメールが届いていないか確認する
- 身に覚えのないメール、電話、SNSのメッセージには返信やリンクを開くことを控える
- SNSアカウントの公開範囲や、ダイレクトメッセージの受信設定を見直す
何が起きたのか
2025年12月26日12時16分から1時間17分の間、ミュージカル『ジキル＆ハイド』製作発表の観覧募集の申込フォームで、申込者の個人情報が他の申込者から見える状態になっていました。見える可能性があったのは322名分です。ホリプロが12月26日に発表し、東宝とホリプロの公表は12月31日に報じられました。両社は気づいてすぐにフォームの設定を変え、他の人の情報が見えないよう直したとしています。
なぜ起きたのか・なぜ広がったのか
原因は、申込受付フォームの設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。と公表されています。具体的にどの設定だったかは、確認できた範囲では示されていません。
いまの状況2026-01-20 時点
両社は修正を終え、対象の申込者にはメールで連絡したとしています。現時点で不正利用などの報告は受けていないとのことです。再発防止として、フォーム公開前に複数名で設定を確認することと、個人情報の管理体制の強化を挙げています。
企業として考えたいこと
自分の会社で公開しているお申し込みフォームは、公開前に複数の人が、ほかの人の回答が見えないことを実際に確かめていますか。
技術的な要約
東宝とホリプロは、ミュージカル『ジキル＆ハイド』製作発表の「オーディエンス募集」申込受付フォームの設定不備により、申込者の個人情報が他の申込者から閲覧できる状態になっていたと公表した。閲覧可能だったのは322名分で、2025年12月26日12時16分から1時間17分の間に発生したとされる。閲覧された可能性がある情報は氏名、メールアドレス、電話番号、SNSのアカウントである。事態発覚後、両社は直ちにフォーム設定を変更し、修正を完了したとしている。対象者には個別にメールでお詫びと報告を行っており、現時点で不正利用などの報告は受けていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、申込受付フォームの設定不備により申込者情報が他の申込者から閲覧できる状態となった。攻撃者による侵入口は公表されていない。
- 脆弱性
- CVE 非公表公表で確認申込受付フォーム（製品名は非公表）原因は申込受付フォームの設定不備と公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 322確定 —人氏名メール電話その他閲覧可能だったのは322名分。閲覧された可能性がある情報は氏名、メールアドレス、電話番号、SNSのアカウント（SNSアカウントは「その他」に分類）。現時点で不正利用などの報告は受けていないとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事実関係 事実
東宝株式会社とホリプロは、ミュージカル『ジキル＆ハイド』製作発表の「オーディエンス募集」申込受付フォームで、設定不備により申込者の個人情報が他の申込者から閲覧できる状態になっていたと公表した。閲覧可能だったのは322名分で、2025年12月26日12時16分から1時間17分の間に発生したとされる。閲覧された可能性がある情報は氏名、メールアドレス、電話番号、SNSのアカウントである。原因は申込受付フォームの設定不備と記されている。ホリプロは2025年12月26日に発表したと報じられている。
対応と再発防止策の公表内容 事実
事態発覚後、両社は直ちにフォーム設定を変更し、他の人の情報が閲覧できないよう修正を完了したとしている。対象となる申込者には個別にメールでお詫びと報告を行っている。現時点で情報の不正利用などの報告は受けていないとしている。再発防止策として、フォーム公開前に複数名で設定確認を徹底することと、個人情報の管理体制を強化することを挙げている。以上は報道（出典0・1）に基づく記述である。
設定不備型の事案としての構造 解釈
この事案は、攻撃者の侵入ではなくフォームの公開設定そのものが原因とされており、外部攻撃の事案とは性質が異なると考えられる。閲覧できたのは他の申込者であり、範囲は申込者に限られた可能性があるが、実際に誰がどれだけ閲覧したかは公表されていない。77分という短時間でも、322名分が対象となり得る点は、イベント募集のように一斉に公開する場面では設定一つの影響が人数分に及ぶことを示す。再発防止策が公開前の複数名確認に置かれているのも、この構造に沿った対応と読める。
数字の読み方と残るリスク 解釈
322名は閲覧が可能だった人数であり、実際に閲覧された人数ではない。「閲覧された可能性がある」という表現から、閲覧の事実そのものは確認されていないと読める。不正利用の報告がないという点も、被害がないことの証明ではなく、現時点で報告を受けていないという意味にとどまる。氏名・連絡先にSNSのアカウントが加わると本人の特定や接触が容易になる可能性があるため、対象者は不審な連絡に注意する余地がある。一方、公表された情報の種類にパスワードや決済情報は含まれていない。
対応
- 封じ込め
- 事態発覚後、両社は直ちにフォーム設定を変更し、他の人の情報が閲覧できないよう修正を完了したとしている。
- 公表の仕方
- ホリプロが2025年12月26日に発表。東宝とホリプロが公表。対象となる申込者には個別にメールでお詫びと報告を行っている。再発防止策として、フォーム公開前に複数名で設定確認を徹底することと、個人情報の管理体制の強化を挙げている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開前の設定確認が1人の目視に頼ると見落としが残る | フォーム公開前チェックリストを作り、2名以上のレビューと承認記録を必須にする。申込フォームの閲覧権限・回答の公開範囲を項目化する。 |
| 本番公開と同じ条件での事前テストが有効 | 公開前に別アカウント・未ログイン状態で申込を行い、他者の回答や一覧が見えないかをステージング環境で検証する手順を定める。 |
| 個人情報を扱う外部フォームサービスは既定の共有設定を把握する必要がある | 利用するフォームサービスの回答共有・閲覧権限の既定値を調べ、個人情報を扱うフォームの設定テンプレートを標準化する。 |
| 短時間の露出でも影響範囲を確定できるよう記録が要る | フォームのアクセスログ・変更履歴を保存し、公開時刻と修正時刻を突き合わせて閲覧可能だった時間と対象件数を算出できるようにする。 |
| 収集する個人情報は必要最小限にする | 募集目的に不要な項目（SNSアカウントなど）は必須入力から外す。項目ごとに利用目的を明記して棚卸しする。 |
自組織などでの確認項目
- 自組織で使っている申込・アンケートフォームのうち、個人情報を集めているものを一覧にできるか。それぞれの回答の閲覧権限は誰に与えられているか。
- フォームを公開する前に、未ログインの別アカウントで他者の回答が見えないことを確認する手順があるか。確認者は複数名か。
- 設定不備に気づいたとき、公開時刻・修正時刻・対象件数を何で確認できるか。ログや変更履歴は保存されているか。
- 個人情報を扱うフォームの設定を、担当者個人ではなく組織として標準化・承認する仕組みがあるか。
未解明点
- 使われていたフォームサービスの種類や、具体的にどの設定が誤っていたかは公表されているか。
- 実際に他の申込者が情報を閲覧・保存した形跡があったのか、確認方法と結果は公表されるか。
- 東宝とホリプロのどちらがフォームを運営・管理していたかなど、役割分担は明らかにされるか。
- 個人情報保護委員会への報告の有無は公表されているか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-31報道本文確認済
- 2ScanNetSecurity2026-01-20報道本文確認済