Globeeの英語学習サービス「abceed」関連システムへの不正アクセス（最大10,834アカウント情報漏えいのおそれ）
公表日
株式会社Globeeの英語学習サービス「abceed」関連システムが設定の悪用による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大10,834アカウント分のメールアドレスとハッシュ化されたパスワードが漏えいした可能性があることが判明しました。
対象者は？
英語学習サービス「abceed」を利用しているユーザーのうち、最大10,834アカウント（内数としてユーザー名90アカウントを含む。実人数は未確認）。クレジットカード情報や平文のパスワードは含まれていません。
対象となる利用者には、株式会社Globeeより電子メールにて個別連絡が順次行われています。
いますぐできること
- 「abceed」と同じパスワードを他のWebサイトやWebサービスでも使い回している場合は、悪用を防ぐため他サービスのパスワードを速やかに変更してください。
- 株式会社Globeeや関係企業を装った不審なメールやSMSに注意し、本文中のリンクや添付ファイルを開かず、必ず公式サイトや公式アプリから確認してください。なお、同社がメールや電話でパスワードやクレジットカード情報を尋ねることはありません。
何が起きたのか
2026年10月17日、株式会社Globeeが提供する英語学習サービス「abceed」の関連システムにおいて、不審なアクセスが検知されました。同社が調査を行ったところ、システムの設定などを悪用した不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。であることが判明しました。この不正アクセスにより、最大10,834アカウント分のメールアドレスおよびハッシュ化されたパスワード（内数としてユーザー名90アカウント分を含む）が外部に漏えいした可能性があることが確認されました。
なぜ起きたのか・なぜ広がったのか
関連システムの設定などに不備があり、それを第三者に悪用されたことによって不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が行われました。具体的な技術的詳細や脆弱性の詳細は現時点で公表されていません。
いまの状況2026-10-20 時点続報待ち
株式会社Globeeは検知後、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の経路を遮断し、該当する機能を停止したほか、アクセス権限の見直し、認証情報の変更、不正利用が疑われるログイン状態の解除を実施しました。2026年10月20日には個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。を行い、対象者へメールでの個別連絡を開始しています。原因や影響範囲、不正利用の有無については引き続き調査中とされています。
企業として考えたいこと
自社のクラウドサービスや外部連携システムにおいて、意図しない設定の不備や過剰なアクセス権限が放置されていないかを定期的に自動点検・監査できていますか？
技術的な要約
株式会社Globeeは2026年10月17日、運営する英語学習サービス「abceed」の関連システムに対する不正アクセスを検知した。調査の結果、関連システムの設定などを悪用した不正アクセスが行われたことが確認された。これにより、メールアドレスおよびハッシュ化されたパスワード最大10,834アカウント分（内数としてユーザー名90アカウント分を含む）が漏えいした可能性がある。同社は不正アクセス経路の遮断、該当機能の停止、アクセス権限見直し、認証情報の変更、およびログイン状態の解除を実施した。2026年10月20日に公表および個人情報保護委員会への報告を行い、対象顧客への個別連絡を進めている。
攻撃の分類
- 侵入口
- クラウド設定不備公表で確認関連システムにおける設定等を悪用した不正アクセス
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセス経路の遮断に伴い、該当機能を停止した。
- データ
- おそれ上限 10,834確定 —アカウントメールハッシュ化PWその他メールアドレスおよびハッシュ化されたパスワードが10,834アカウント、内数としてユーザー名が90アカウント。実人数は未確認。パスワードやクレジットカード情報を同社が尋ねることはないとしている。
- 波及先
- —
- 金銭影響
- 業績に与える影響については現在精査中。
- サプライチェーン
- —
時系列
- 2026-10-17
- 2026-10-17
- 2026-10-17
- 2026-10-17
- 2026-10-17
- 2026-10-17
- 2026-10-20
- 2026-10-20
- 2026-10-20 18:30
- 2026-10-20同社や関係企業を装う不審メールに関する注意喚起を利用者に向けて周知2
技術解説
検知と初動対応の事実経緯 事実
株式会社Globeeは2026年10月17日に、運営する英語学習サービス「abceed」の関連システムに対する不正アクセスを検知した。社内調査により、関連システムの設定などを悪用した不正アクセスが行われたことが確認された。漏えいした可能性がある個人情報は、メールアドレスおよびハッシュ化されたパスワードが最大10,834アカウント分で、その内数としてユーザー名90アカウント分が含まれる（実人数は未確認）。同社は検知当日に不正アクセスの経路を遮断し、該当機能を停止するとともに、アクセス権限の見直し、認証情報の変更、不正利用が疑われるログイン状態の解除を実施した。その後、2026年10月20日に個人情報保護委員会への報告と開示を行い、対象顧客への個別メール連絡を進めている。
設定悪用による認証情報・アカウント情報の窃取リスク 解釈
本件の初期アクセスおよび情報流出要因として「関連システムにおける設定等の悪用」が挙げられている。クラウド環境や外部連携システム、API基盤などの設定不備は、公開されたエンドポイントや過剰な権限設定を通じて、内部データへの直接アクセスを許す契機となりやすい。特にデータベースや認証ストア周辺の設定において、ネットワーク境界でのアクセス制限やIAM（Identity and Access Management）による最小権限の原則が厳格に適用されていない場合、第三者に正規の権限や機能の隙を突かれてデータを持ち出されるリスクが生じる。今回のアカウント情報漏えいにおいても、該当機能の停止とアクセス権限見直しが迅速に実施されていることから、一部の連携機能や権限管理の設計に脆弱な設定が存在していた可能性が考えられる。
二次被害防止に向けたセッション無効化と利用者保護 解釈
インシデント検知後の対応として、経路遮断だけでなく「関連システムの認証情報の変更」および「不正利用が疑われるログイン状態（セッション）の解除」を即座に実施した点は、二次被害防止の観点から重要である。漏えいした疑いのある情報はハッシュ化されたパスワードとメールアドレスであるが、攻撃者が取得済みのセッションや認証トークンを保持している場合、パスワードを変更してもセッションハイジャックによる不正ログインが継続するリスクがある。セッションの一括失効やトークンの無効化を初動で行うことで、攻撃者による既存セッションの悪用を封じ込めることができる。また、利用者に向けたフィッシング詐欺注意喚起を速やかに行うことも、漏えいしたメールアドレスが悪用されることへの有効な備えとなる。
対応
- 封じ込め
- 確認された不正アクセス経路を遮断し、該当機能の停止およびアクセス権限の見直しを実施した。また、関連システムの認証情報を変更し、不正利用が疑われるログイン状態を解除した。
- 公表の仕方
- 2026年10月20日18時30分に「第三者による不正アクセスおよび個人情報漏えいのおそれに関するお詫びとお知らせ」を開示。対象顧客に対して電子メールで個別連絡を行うとともに、不審メールへの注意喚起を実施した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウドインフラおよび関連サービスの設定不備を防止する構成管理 | クラウド環境や関連サーバの定義をTerraformやCloudFormation等でコード化し、変更時にはプルリクエスト上でCheckovやTrivy等の静的解析ツールを実行して、不要な外部公開や過剰なアクセス権限の設定ミスをマージ前に自動検出・ブロックする。またCSPMツールを常時稼働させ設定の逸脱を即座にアラートする。 |
| 侵害検知時のセッション即時失効およびトークン無効化プロセスの自動化 | 認証認可サービスにおいて、特定ユーザーや全ユーザーのセッション・リフレッシュトークンを即時に無効化するエンドポイントまたは運用スクリプトを事前配備し、インシデント対応手順書にセッション強制リセットの自動実行フローを組み込む。 |
| 最小権限の原則に基づくIAMポリシーとネットワークアクセス制御の徹底 | IAMロールやサービスクレデンシャルに付与する権限をActionおよびResource単位で絞り込み、ワイルドカード（*）の使用を禁止する。また、データベースや内部APIへの接続はプライベートサブネット内に限定し、セキュリティグループやアクセス制御リスト（ACL）で送信元IP/VPCを制限する。 |
| ハッシュ化アルゴリズムの堅牢化と認証情報漏えい時の利用者保護 | パスワード保存にはArgon2idやbcrypt等のストレッチングおよびソルト付与を前提とした低速ハッシュアルゴリズムを採用し、十分なコストパラメータを設定する。併せて、漏えい疑い時には利用者へのパスワードリセット要求や多要素認証（MFA）の導入を促す。 |
自組織などでの確認項目
- 自社のWebサービスや関連システムにおいて、クラウドリソースやAPIエンドポイントのアクセス権限・公開設定が意図せず過剰になっていないか、直近で設定レビューを実施しているか。
- 不正アクセスや認証情報の漏えい疑いを検知した際、対象アカウントの有効セッションやアクセストークンを即座に一括失効させる手順・仕組みが運用可能になっているか。
- 万が一アカウント情報（メールアドレスやハッシュ化パスワード）が流出した疑いがある場合、該当ユーザーへの個別通知や注意喚起を迅速に行える体制・連絡手段が準備されているか。
未解明点
- 不正アクセスで悪用された「関連システムにおける設定等」の具体的な内容（どのようなクラウド・ネットワーク設定や権限不備が悪用されたのか）。
- パスワードのハッシュ化に用いられていた具体的なアルゴリズムやソルト・ストレッチングの仕様、および第三者による不正アクセスの継続期間（いつからアクセスされていたのか）。
出典
- 1BigGo ファイナンス2026-10-20報道本文確認済
- 2日本インタビュ新聞社2026-10-20報道本文確認済
- 3日本インタビュ新聞社2026-10-20報道本文確認済
- 4日本経済新聞2026-10-20報道本文確認済