machicon JAPANでのシステム改修不備による他利用者情報の表示・なりすまし状態（約50名の個人情報漏洩）
公表日
イベントECサイト「machicon JAPAN」で、システム改修の不具合により他の利用者の個人情報が表示され、約50名分の個人情報が漏洩したと、運営のリンクバルが公表しました。
対象者は？
2026年8月4日15時25分頃から8月8日21時00分頃までに、他の利用者の画面に情報が表示された約50名です。対象の情報は氏名、電話番号、メールアドレス、年齢、購入（利用）履歴、イベント主催者とのメッセージ履歴です。ログインIDとパスワード（このサービスでは使いません）と、クレジットカード等の決済情報（決済代行事業者のみが保管）は含まれません。
対象のお客様には、リンクバルが順次個別に連絡しています。連絡の有無と、公式のお知らせの内容を確認してください。
いますぐできること
- リンクバルからの個別連絡が届いていないか、メールなどを確認する。
- この期間に利用した場合は、身に覚えのない購入や退会がないか、購入履歴などを確認する。
- 公式のお知らせを読み、案内に従う。
何が起きたのか
リンクバルは2026年8月4日15時25分頃にシステムを改修しました。その後、一部の利用者のマイページに、別の利用者の個人情報が表示されるようになりました。一部のブラウザでは、別の利用者としてログインした状態になり、その利用者の決済手段での購入や、意図しない退会も起きました。8月8日21時00分頃に原因箇所を改修前に戻し、8月14日に公表しました。
なぜ起きたのか・なぜ広がったのか
2026年8月4日のシステム改修に不備があり、サーバーが複数の利用者のリクエストを同時に処理する際に、利用者ごとに分けるべき情報を取り違えたためと説明されています。発生の大半は、アクセスが集中した8月8日17時58分頃から19時30分頃でした。リンクバルは、外部からの攻撃や不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。ではないと説明しています。
いまの状況2026-08-14 時点続報待ち
原因プログラムの修正と、全利用者のログインセッションのクリアが行われ、現在は正常に利用できる状態とされています。個人情報保護委員会への速報報告と、対象者への個別連絡も進められています。サービス外への流出や不正利用の痕跡は確認されておらず、運営やイベント開催への影響はないとされています。業績への影響は現時点で軽微と見込まれています。再発防止策は3つ公表されています。補償については、まだ発表されていません。
企業として考えたいこと
自社のサービスで、同時に多くの人が使ったときにも、別の人の情報が画面に出ないことを、リリース前にどう確認していますか。
技術的な要約
株式会社リンクバルは2026年8月14日、運営するイベントECサイト「machicon JAPAN」で、システム改修の不具合により一部利用者のマイページに別の利用者の個人情報が表示される事象が発生したと公表した。2026年8月4日15時25分頃の改修を契機に、サーバー側で複数利用者のリクエストを同時処理する際に利用者ごとに分離すべき情報を取り違えた。一部ブラウザではログイン状態を証明する情報も取り違えられ、他人としてログインした状態になり、別の利用者の決済手段での購入処理や意図しない退会も確認された。事象が発生し得た期間は8月4日15時25分頃から原因箇所を改修前に戻した8月8日21時00分頃までで、個人情報が漏洩した利用者は約50名である。外部からの攻撃や不正アクセスではないと説明しており、原因プログラムの修正、全利用者のログインセッションのクリア、個人情報保護委員会への速報報告、対象者への個別連絡を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではない。公式は「外部からの攻撃又は不正アクセスによるものではありません」と説明しており、2026年8月4日15時25分頃のシステム改修の不備が原因とされる。
- 脆弱性
- CVE 非公表公表で確認machicon JAPAN（自社システムの改修箇所）サーバーが複数利用者のリクエストを同時処理する際に、利用者ごとに用意すべき情報を取り違えた。一部ブラウザではログイン状態を証明する情報も取り違えられた。製品名・CVEは非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 運営およびその後のイベント開催への影響なしとされている。一方、他の利用者の決済手段での購入処理や意図しない退会がサービス内で確認された。
- データ
- 確定上限 50確定 50人氏名電話メール購入履歴その他漏洩した利用者は約50名。対象は氏名、電話番号、メールアドレス、年齢、イベント主催者とのメッセージ履歴、購入・利用履歴。ログインID・パスワードは保有せず、クレジットカード等の決済情報は決済代行事業者のみが保管。サービス外への流出や不正利用の痕跡は確認されていない。
- 波及先
- —
- 金銭影響
- 業績への影響は現時点では軽微と見込まれている。他の利用者の決済手段で購入処理が行われた事例が確認されているが、金額は非公表。
- サプライチェーン
- —
時系列
- 2026-08-04 15:25
- 2026-08-08 17:58
- 2026-08-08 19:30
- 2026-08-08 21:00
- 2026-08-14リンクバルが「システムの不具合による個人情報の表示に関するお詫びとお知らせ」を公表（第1報）。3
- 2026-08-14セキュリティ対策Labが本件を報道。1
- 2026-08-14原因プログラムの修正と全利用者のログインセッションのクリアを実施済みと公表。3
- 2026-08-14個人情報保護委員会へ速報報告を行い、対象利用者への個別連絡を順次進めていると公表。3
- 2026-08-14再発防止策として自動検査・自動テスト・改修提案段階での自動検出の3つを公表。3
- 2026-09-04ScanNetSecurityが本件を報道。2
技術解説
不具合の仕組み：利用者ごとの情報の取り違え 事実
リンクバルの公表によると、2026年8月4日15時25分頃のシステム改修に不備があり、サーバーが複数の利用者のリクエストを同時に処理する際、利用者ごとに用意すべき情報を取り違える場合が生じた。machicon JAPANは、画面を開くたびにサーバー側で表示内容を組み立ててブラウザへ送信する仕組みを採用している。その結果、一部の利用者のマイページに他の利用者の氏名等が表示された。さらに一部のブラウザではログイン状態を証明する情報が取り違えられ、別の利用者としてログインした状態となった。閲覧だけでなく購入等の操作も当該利用者として実行された。リンクバルは、外部からの攻撃や不正アクセスによるものではないと説明している。
影響の範囲・期間・データの内訳 事実
事象が発生し得た期間は2026年8月4日15時25分頃から、原因箇所を改修前の状態に戻した8月8日21時00分頃まで。その大半はアクセスが集中した8月8日17時58分頃から19時30分頃に発生した。個人情報が漏洩したのは約50名で、対象は氏名、電話番号、メールアドレス、年齢、購入（利用）履歴、イベント主催者とのメッセージ履歴。ログインID・パスワードは認証方式上データがなく、クレジットカード等の決済情報は決済代行事業者のみが保管している。他の利用者が登録していた決済手段での決済や、意図しない退会の事例が確認された。サービス外への流出や不正利用の痕跡は確認されていない。運営やその後のイベント開催への影響はなく、業績への影響は現時点で軽微と見込まれている。
公表内容の読み取りと対応の見方 解釈
公表では、事象の大半がアクセス集中時に発生したとされる。解釈として、改修時の通常の動作確認では見えにくく、同時アクセスが増えて初めて表面化する種類の不備だった可能性がある。ただし具体的な技術的原因は公表されていない。対応面では、原因箇所を改修前に戻し、取り違えられたログイン情報を無効化し、続いて全利用者のセッションをクリアした。個人情報保護委員会への速報報告と個別連絡も進められ、再発防止策も3点示されている。被害の拡大を止める手順と、設計段階への対策の両方が公表に含まれている点は参考になる。一方、公表上は「約50名」で、最終確定値かは明記されていない。検知の経緯や、決済・退会の件数と金額も示されていない。
対応
- 封じ込め
- 2026年8月8日21時00分頃に原因箇所を改修前の状態へ戻し、取り違えられたログイン情報をすべて無効化。その後、原因プログラムの修正と全利用者のログインセッションのクリアを実施した。
- 公表の仕方
- 2026年8月14日にリンクバルが「システムの不具合による個人情報の表示に関するお詫びとお知らせ」を公表。再発防止策として、利用者間で共有される状態が生じる記述の自動検査、利用者ごとの情報が混在しないことを確認する自動テストの追加、改修提案段階での同種不備の自動検出の導入を挙げた。
- 当局対応
- 個人情報保護委員会（速報報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| リクエストをまたいで共有される状態に、利用者固有の情報を置かない。 | ユーザー情報・セッション情報はリクエストスコープで保持し、モジュール変数、グローバル変数、シングルトン、共有キャッシュへの格納を静的解析ルール（Lint等）で禁止または警告し、CIで落とす。 |
| 同時アクセス下で利用者間のデータが混ざらないことを、負荷を伴うテストで確認する。 | 複数の模擬ユーザーが並行してマイページ等にアクセスし、応答に含まれるユーザー識別子が自分のものだけであることを検証する並行テストをCI/CDに加え、リリース前にピーク時を想定した負荷をかける。 |
| セッションと表示内容の整合を、サーバー側で二重に確認する。 | 応答生成時にセッション主体と取得対象データの所有者IDを照合し、不一致なら応答せずエラーとして記録・アラートを出す。個人情報を含む応答には Cache-Control: private を付け、共有キャッシュに載らないようにする。 |
| 改修を速やかに戻す手順と、全セッションを一括で無効化する手順を備える。 | 機能フラグやブルーグリーン切替で改修前に戻せるようにし、全セッションの一括失効手順を運用手順書に書いて、定期的に演習する。 |
自組織などでの確認項目
- 自組織のWebシステムで、リクエスト間で共有されるオブジェクトやキャッシュに、利用者固有の情報が入っていないか。コードレビューや静的解析で確認できる仕組みはあるか。
- リリース前のテストに、複数ユーザーの同時アクセスで別人のデータが混ざらないことを確認する項目が入っているか。ピーク時に近い負荷での確認は行っているか。
- 不具合を検知した際、改修前に戻す手順と全利用者のセッションを無効化する手順が決まっているか。実際にどのくらいの時間で実行できるか。
未解明点
- 不具合に最初に気づいた日時と経緯は。8月4日の改修から8月8日の巻き戻しまでの間に、どう検知されたのか。
- 他の利用者の決済手段での購入処理や意図しない退会は、それぞれ何件で、金額はいくらか。被害を受けた利用者への補償や返金はどうなるのか。
- 「約50名」は最終的な確定値か。ログイン状態を証明する情報の取り違えが起きた利用者は何名か。
- 取り違えが起きた具体的な技術的原因と、どのような改修で生じたのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-14報道本文確認済
- 2ScanNetSecurity2026-09-04報道本文確認済
- 3株式会社リンクバル2026-08-14公式本文確認済