NEL株式会社への不正アクセスによる個人情報流出（最大235,329人）
公表日
NEL株式会社が利用するデータ分析ツールの脆弱性を悪用した不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生し、運営する「osina」の会員や取引先など最大235,329人分の個人情報が外部へ流出しました。
対象者は？
「osina」の会員、取引先の担当者、問い合わせ者、提携候補クリエイターなど最大235,329人（流出確認数235,329人）。会員の氏名・住所・口座情報・SNS連携用認証情報などが含まれますが、会員のメールアドレス・パスワードおよびクレジットカード情報は含まれていません。
2026年10月29日に対象者へ「osina」アプリ内の通知やプッシュ通知、メール等で個別に連絡が行われています。また、各SNSの「連携アプリ」設定でosinaとの連携状況を確認できます。
いますぐできること
- osinaと連携しているSNS（各公式アプリの「連携アプリ」設定）を確認し、身に覚えのない投稿や設定変更がある場合は連携を解除する
- 登録している銀行口座の取引明細に不審な出入金がないか確認する
何が起きたのか
2026年10月14日、NEL株式会社は利用していたデータ分析ツールの脆弱性を悪用された不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を発見しました。同社は直ちにアクセス制限などの対策を講じ、10月17日に個人情報保護委員会へ速報を提出しました。その後、10月29日に事態を公表し、対象となる関係者へアプリ内通知やメールで連絡を行いました。
なぜ起きたのか・なぜ広がったのか
同社が利用していたデータ分析ツールに存在した脆弱性が攻撃者に悪用されたことによります。具体的なツールの製品名や脆弱性の技術的詳細は公表されていません。
いまの状況2026-10-29 時点続報待ち
NEL株式会社は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の発見後直ちにアクセス制限等の措置を実施し、2026年10月29日時点で新たな不正アクセスや本件による二次被害の申告は確認されていません。対象者への個別連絡を進めるとともに、SNS連携の確認や解除を呼びかけています。
企業として考えたいこと
自社で利用しているデータ分析基盤や外部ツールに、不必要な機微情報や認証トークンが格納されていないか把握できていますか？
技術的な要約
NEL株式会社は2026年10月14日、利用していたデータ分析ツールの脆弱性を悪用した不正アクセスを検知した。調査の結果、同社が運営するプラットフォーム「osina」の会員や取引先、問い合わせ者など最大235,329人分の個人情報が外部へ流出したことを確認した。対象情報には氏名、住所、電話番号、口座情報のほか、SNS連携用の認証情報などが含まれている。同社は発見後直ちにアクセス制限等の措置を実施し、10月17日に個人情報保護委員会へ速報を提出した。2026年10月29日に公表を行い、対象者への連絡やSNS連携解除の呼びかけを進めている。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認利用していたデータ分析ツールの脆弱性を悪用した不正アクセス（公式発表）
- 脆弱性
- CVE 非公表公表で確認データ分析ツール利用していたデータ分析ツールの脆弱性と発表されているが、具体的な製品名およびCVE番号は非公表
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 235,329確定 235,329人氏名住所電話生年月日口座取引先情報その他2026年10月17日に個人情報保護委員会へ提出した速報に基づく対象者数。osina会員の氏名・住所・電話番号・生年月日・口座情報（名義含む）・報酬額・SNSアカウント名・SNS連携用認証情報・ログイン用外部サービスID（LINE・Apple）・利用履歴、取引先担当者の氏名・メールアドレス・ハッシュ化PW、問い合わせ者の情報、提携候補クリエイター情報、IPアドレス等の技術情報が含まれる。会員のメールアドレス・PWおよびクレジットカード情報は含まれない。
- 波及先
- —
- SNS連携用認証情報が流出した会員において、第三者によるSNSアカウントでの投稿や閲覧等が行われるおそれがある
- 金銭影響
- —
- サプライチェーン
- NEL株式会社が利用していたデータ分析ツールの脆弱性が悪用された。
時系列
- 2026-10-14NEL株式会社が不正アクセスを発見。直ちにアクセス制限等の必要な措置を実施4
- 2026-10-17個人情報保護委員会へ対象者数235,329人とする速報を提出4
- 2026-10-21セキュリティリサーチ記事において、秋以降の不正アクセス・会員情報流出の動向が整理される2
- 2026-10-23ウェステリアが2026年の情報漏洩・不正アクセス事案一覧（103件）を更新・公開2
- 2026-10-282026年の不正アクセスによる情報漏えい公表企業・団体が840件に達したとする調査が公開される1
- 2026-10-29
- 2026-10-29対象となる関係者に対し、osinaアプリ内のお知らせ・プッシュ通知、メール等で個別連絡を実施4
- 2026-10-29公表時点で新たな不正アクセスおよび本件に起因する二次被害の申告は確認されていないと発表4
技術解説
侵入経路とデータ分析ツールの脆弱性 事実
NEL株式会社における不正アクセスは、同社が利用していたデータ分析ツールの脆弱性を悪用して行われた。同社は2026年10月14日に不正アクセスを発見し、直ちにアクセス制限等の必要な措置を実施した。公式発表において、利用していたデータ分析ツールの具体的な製品名やCVE番号などの詳細は明らかにされていないが、この脆弱性を通じて外部への個人情報流出が発生したことが確認されている。公表時点（2026年10月29日）において、新たな不正アクセスは確認されていないと報告されている。
流出データの範囲とSNS連携認証情報に伴うリスク 解釈
流出した対象者数は235,329人にのぼり、osina会員の基本属性や銀行口座情報に加え、SNSアカウント名やSNS連携用認証情報、ログイン用外部サービスID（LINE・Apple）が含まれている。会員のメールアドレスやパスワード、クレジットカード情報は保有・取扱がないため流出対象に含まれていないが、SNS連携用認証情報が悪用された場合、第三者によってSNSアカウントの投稿や閲覧などの不正操作が行われるリスクが存在する。データ分析基盤に本番運用上の重要情報や外部連携トークンが集約されていた可能性が考えられ、分析環境におけるアクセス制御や格納データの最小化・暗号化などの管理が課題として浮き彫りになったとみられる。
検知後の初動対応と関係者への通知対応 事実
NEL株式会社は2026年10月14日に不正アクセスを検知した後、直ちにアクセス制限等の措置を実施した。発覚から3日後の10月17日には個人情報保護委員会へ対象者数を235,329人とする速報を提出した。その後、10月29日に公式ウェブサイト上で事案を公表するとともに、osinaアプリ内のお知らせやプッシュ通知、メール等を通じて対象者への個別連絡を実施した。また、SNS連携を利用している会員に対しては、各SNS設定での連携状況確認や身に覚えのない変更時の連携解除を要請し、公表時点では二次被害の申告は確認されていないと発表されている。
対応
- 封じ込め
- 不正アクセスの発見後直ちに、アクセス制限等の必要な措置を実施した。
- 公表の仕方
- 2026年10月29日に公式ウェブサイトでお詫びとお知らせを掲載し、対象者へosinaアプリ内通知やプッシュ通知、メール等で連絡を行った。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| データ分析ツールや周辺基盤の脆弱性管理 | 本番サービス本体だけでなく、データ分析ツールやBIツール等の周辺サービスについても資産インベントリを網羅的に把握し、定期的なセキュリティパッチの適用と最新バージョンへの更新を徹底する。 |
| データ分析環境への機微情報・連携トークンの集約防止 | 分析基盤に投入するデータから口座情報やSNS連携トークン等の機微な認証情報を除外し、マスキングやハッシュ化を適用したデータパイプラインを設計・実装する。 |
| 外部サービス連携（OAuth等）のトークン管理と無効化手順の確立 | 外部連携用認証情報の漏洩リスクに備え、漏洩疑い時にトークンを一括失効・再発行できる仕組みを整備し、ユーザー側での連携解除手順を迅速に案内できるようにする。 |
| 監督官庁への早期報告と利用者への迅速な周知体制 | 侵害検知から法令（個人情報保護法）で定められた期限内に報告を行えるよう被害範囲の特定フローを整備し、アプリプッシュ通知やメールによる個別通知配信手段を事前に確立しておく。 |
自組織などでの確認項目
- 自社で導入・利用しているデータ分析ツールやBI環境に、本番データベースの機微情報や外部連携トークンが生データのまま連携されていないか。
- データ分析基盤や業務支援ツールに公開脆弱性が残存していないか、最新のセキュリティパッチが適用されているか。
- 外部API連携やSNS連携を利用している場合、認証情報の漏洩時にシステム側またはユーザー側でトークンを即座に無効化できる手順が整っているか。
未解明点
- 悪用されたデータ分析ツールの具体的な製品名および脆弱性（CVE番号等）の詳細
- データ分析ツールから会員の口座情報やSNS連携用認証情報にアクセス・流出できた具体的な権限設計やネットワーク構成
出典
- 1土門大貴/daikidomon2026-10-28研究者本文確認済
- 2株式会社ウェステリア2026-10-23報道本文確認済
- 3NEL株式会社2026-10-29公式本文確認済
- 4NEL株式会社2026-10-29公式本文確認済