DCM「マイボ」会員情報管理システムへの不正アクセス（会員419人分のメール・ポイント残高等が漏えい、アプリ全面停止）
公表日
DCMグループのマイボフェローズが運営する会員サービス「マイボ」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、会員419人分のメールアドレスやポイント残高などが外部に漏れました。マイボアプリは10月9日から全面停止しています。
対象者は？
「マイボ」の会員のうち、漏えいが確認された419人分（人数は精査中）。漏れた情報は、会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数、失効予定日の7項目です。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれていません。
対象の会員には、マイボフェローズ（info@myvot.fun）からメール等で順次個別に連絡されます。気になる場合は、マイボの公式問い合わせフォームか、マイボコンタクトセンター（0570-069-868、受付9:00～18:00）に問い合わせてください。
いますぐできること
- 「ポイントが失効します」などのメールやSMS、電話に注意し、メール内のリンクは開かないでください。
- 会社側はポイント失効などを理由にパスワードやクレジットカード番号を尋ねないと説明しています。聞かれても答えないでください。
- 不安な場合は、マイボコンタクトセンター（0570-069-868、受付9:00～18:00）に問い合わせてください。
何が起きたのか
マイボの会員情報を管理するシステムに、9月21日、通常とは異なる多数のアクセスがありました。10月8日、サイバー攻撃に関する注意喚起を受けてアクセスの記録を点検したところ、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。だとわかりました。会社はすぐに不正アクセス元からの通信を止め、10月9日からマイボアプリのすべてのサービスを停止しました。調べた結果、一部の会員情報が漏れたことが確認され、10月13日に発表されました。別の「DCMアプリ」への被害は確認されていません。
なぜ起きたのか・なぜ広がったのか
侵入された経路や、悪用された弱点、攻撃の方法は、まだ発表されていません。
いまの状況2026-10-13 時点続報待ち
10月13日時点で、漏れた情報が公開されたことや悪用されたことは確認されていません。会社は対象人数と影響範囲を引き続き調べています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。を進め、アクセス制御の強化などの再発防止策を行っています。マイボアプリの再開時期は、安全が確認できてから発表される予定で、まだ発表されていません。
企業として考えたいこと
自社の会員情報を持つシステムのうち、外部から見える管理用の入口はどこにあり、不審なアクセスに気づく仕組みはありますか。
技術的な要約
DCMホールディングスは2026年10月13日、子会社マイボフェローズが運営する会員サービス「マイボ」の会員情報管理システムに第三者による不正アクセスがあり、会員419人分の情報が外部に漏えいしたと発表した。9月21日に通常とは異なる多数のアクセスが発生しており、10月8日にサイバー攻撃に関する注意喚起を受けてアクセス記録を点検した結果、不正アクセスが判明した。同社は直ちに不正アクセス元からの通信を遮断し、翌10月9日からマイボアプリの全サービスを停止した。漏えいしたのは会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数、失効予定日の7項目で、氏名・住所・電話番号・生年月日・パスワード・クレジットカード情報は含まれない。10月13日時点で情報の公開や悪用は確認されておらず、侵入経路や悪用された脆弱性は公表されていない。対象人数と影響範囲は引き続き精査中で、サービス再開時期は安全確認後に公表される。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表資料では「今回の侵入経路や悪用された脆弱性、攻撃手法の詳細は発表されていません」。公式発表は「会員情報を管理するシステムに対し、第三者による不正アクセスが行われ」としている。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年10月9日から「マイボアプリ」のすべてのサービスを一時停止。再開時期は安全性の確認後に公表するとしている。「DCMアプリ」への被害は確認されていない。期間：2026-10-09から10月13日時点も停止中（再開時期未定）
- データ
- 確定上限 419確定 419人会員IDメールその他漏えい項目は会員番号、メールアドレス、会員ステータス（登録状態）、会員ステージ、保有ポイント数、失効予定ポイント数、失効予定日の7項目。氏名・住所・電話番号・生年月日・パスワード・クレジットカード情報は含まれない。対象人数と影響範囲は引き続き精査中。10月13日時点で公開・悪用の事実は確認されていない。core_daysは10/9〜10/13を数えた値。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 親会社DCMホールディングスの子会社マイボフェローズが運営するサービスでの事案。別サービスの「DCMアプリ」への被害は確認されていない。
時系列
- 2026-03-23DCMホールディングスが、マイボフェローズ運営のポイントサービス「マイボ」を2026年秋から「DCM会員制度」へ名称変更し制度内容を刷新すると発表した（本事案とは別の制度変更）。2
- 2026-09-21
- 2026-10-01DCMが従来のマイボ会員証はそのまま使えると発表。三井住友カードがDCMマイボカードの新規申込受付を終了（制度変更に関する情報で、本事案とは別）。2
- 2026-10-08
- 2026-10-08
- 2026-10-09
- 2026-10-13
- 2026-10-13
- 2026-10-31（予定）マイボ公式サイトが会員証「マイボアプリ」の提供を終了すると案内している日。2
- 2026-11-01（予定）DCM会員制度への正式な切替日として案内されている日。2
技術解説
公表された事実の経過 事実
DCMホールディングスは2026年10月13日、子会社の株式会社マイボフェローズが運営する会員サービス「マイボ」の会員情報管理システムに第三者による不正アクセスがあり、会員419人分の情報が外部に漏えいしたと発表した。公式発表によると、9月21日に通常とは異なる多数のアクセスがあった。10月8日にサイバー攻撃に関する注意喚起を受けてアクセス記録を点検したところ、不正アクセスが判明した。判明後は直ちに不正アクセス元からの通信を遮断し、翌10月9日から「マイボアプリ」のすべてのサービスを一時停止した。調査の結果、一部の会員情報の漏えいを確認したとしている。ＤＣＭ株式会社も同日付でニュース欄にお詫びとお知らせを掲載した。「DCMアプリ」への被害は確認されていない。
漏えい項目と確認状況 事実
漏えいしたのは、会員番号、メールアドレス、会員ステータス（会員登録の状態）、会員ステージ、保有ポイント数、失効予定ポイント数、失効予定日の7項目である。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれていないと説明されている。10月13日時点で、漏えいした情報が外部に公開された事実や悪用された事実は確認されていない。同社は引き続き対象人数と影響範囲を精査している。対象会員にはマイボフェローズ（info@myvot.fun）からメール等で順次個別に連絡する。個人情報保護委員会への報告など必要な対応を進め、アクセス制御の強化など再発防止策を講じているとしている。また、ポイントの失効などを理由にパスワードやクレジットカード番号を尋ねることはないとして、不審なメール・SMS・電話への注意を呼びかけている。
未公表の事項と並行する制度変更 事実
今回の侵入経路や悪用された脆弱性、攻撃手法の詳細は発表されていない。攻撃者に関する情報も公表資料には見当たらない。マイボアプリの全サービスは10月9日から停止されており、再開時期は安全性の確認後に公表するとされている。なお、本事案とは別の動きとして、DCMホールディングスは2026年3月23日に、マイボを2026年秋からDCM会員制度へ名称変更し制度内容を刷新すると発表している。マイボ公式サイトは会員証「マイボアプリ」の提供を2026年10月31日で終了すると案内しており、DCM会員制度への正式な切替日は2026年11月1日と案内されている。これらの案内と不正アクセスとの関係は、公表されている範囲では示されていない。
検知の契機と空白期間の読み方 解釈
公式発表によれば、異常なアクセスの発生は9月21日、不正アクセスの判明は10月8日であり、間は約2.5週間ある。判明の契機は外部の注意喚起を受けたアクセス記録の点検だった。この点は、外部情報を受けて過去ログを遡って確認する運用が有効に働いた例と読める。ただし、9月21日は公式に「通常とは異なる多数のアクセス」があった日とされるだけで、侵入成立日や情報取得日と確定しているわけではない。点検前に自動検知が働いたかどうかも公表されていない。したがって、空白期間の長さを単純に評価することはできず、アラート設計の実態は続報を待つ必要がある。
影響の大きさと二次被害の見方 解釈
漏えい人数は419人で、公表された項目にはパスワードやクレジットカード情報などの高機微データは含まれていない。個人情報としての深刻度は限定的に見える。一方で、メールアドレスと会員番号、ポイント残高・失効予定日が組み合わさっているため、ポイント失効を口実にしたフィッシングには使われやすい情報とも考えられる。公式が「ポイント失効を理由にパスワード等を尋ねない」と明記したのは、この点を意識した注意喚起と読める。事業面ではアプリ全面停止が10月13日時点で5日続いており、10月31日のアプリ提供終了予定と時期が近い。利用者への影響がどう扱われるかは、今後の案内次第である。人数は精査中とされており、数値が変わる可能性は残る。
対応
- 封じ込め
- 不正アクセス判明後（2026-10-08）に直ちに不正アクセス元からの通信を遮断。翌10月9日から「マイボアプリ」の全サービスを一時停止。アクセス制御の強化などの再発防止策を実施。サービス再開は安全性の確認後に改めて公表する。
- 公表の仕方
- 2026-10-13にDCMホールディングスが発表（DCM株式会社サイトにもお詫びとお知らせを掲載）。対象会員にはマイボフェローズからメール等で順次個別連絡する。当社グループはポイント失効などを理由にパスワードやクレジットカード番号を尋ねないとして、不審なメール・SMS・電話への注意を呼びかけた。問い合わせ先はマイボ公式問い合わせフォームまたはマイボコンタクトセンター（0570-069-868、受付9:00～18:00）。対象人数と影響範囲は引き続き精査中。
- 当局対応
- 個人情報保護委員会（報告を進めている）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部の注意喚起を受けたログ点検が、侵害の発見につながった。 | JPCERT/CC等の注意喚起に載るIPアドレスやUser-Agentを、WAF・APIゲートウェイ・アプリログへ遡及検索する手順を用意する。ログは最低90日分を検索可能な状態で保持し、注意喚起の受領から点検完了までの担当と期限を決めておく。 |
| 会員情報を持つ管理系システムへのアクセスは、一般向け機能と同水準かそれ以上の制御が要る。 | 管理用・内部用APIとBIツールを公開範囲から外すか、IP制限・VPN・認証必須にする。各エンドポイントで認可を検証し、トークンには有効期限と最小権限を設定する。漏えいが疑われるトークンは即時無効化できるようにする。 |
| 通常と異なる大量アクセスは、検知して初めて対処できる。 | 会員情報の参照・一覧取得APIに、単位時間あたりのリクエスト数と取得件数の閾値アラートを設定する。高リスク機能は個別にレート制限し、超過時は自動で一時遮断してオンコールへ通知する。 |
| 漏えい項目が限定的でも、二次被害としてのフィッシングを想定した告知が要る。 | 自社ドメインにSPF・DKIM・DMARC（p=quarantine以上）を設定する。告知文には正規の連絡元アドレスと、聞かない情報の具体例を明記する。公式サイトに偽メール注意の固定ページを用意する。 |
| サービス単位で遮断・停止できる構成と手順が、被害の切り分けに役立つ。 | アプリやシステムごとに認証基盤とデータストアを分け、一部を止めても他方へ影響しないことを定期演習で確認する。停止・再開の判断基準と、再開前の安全確認チェックリストをあらかじめ文書化する。 |
自組織などでの確認項目
- 会員情報やポイント残高を扱う管理系システム（管理画面、内部API、BIツール）のうち、インターネットから到達できるものを、直近で棚卸ししていますか。
- 外部機関の注意喚起を受けたとき、過去ログを何日分まで遡って確認できますか。確認の担当者と完了期限は決まっていますか。
- 会員情報の参照APIに対して、短時間の大量アクセスを検知して通知する仕組みはありますか。通知を受ける担当者は決まっていますか。
- 漏えいしたメールアドレスを使ったフィッシングを想定した告知文と、送信ドメイン認証の設定は整っていますか。
未解明点
- 侵入経路、悪用された脆弱性の有無、攻撃手法はどのようなものだったのか（公表資料では未発表）。
- 9月21日の多数のアクセスと、実際の情報取得の時期・方法はどう対応するのか。
- 対象人数419人は精査後に変わるのか。影響範囲の最終的な確定内容はどうなるのか。
- マイボアプリの再開時期と、10月31日のアプリ提供終了予定、11月1日のDCM会員制度切替との関係はどう扱われるのか。
- 攻撃者の特定や、犯行声明の有無はどうなっているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-13報道本文確認済
- 2つぶログ2026-10-03報道本文確認済
- 3ＤＣＭ株式会社2026-10-13公式本文確認済
- 4ＤＣＭホールディングス株式会社2026-10-13公式本文確認済
- 5JPCERT/CC2026-10-09当局本文確認済