NewsPicksの業務用管理ツールへの不正アクセス（メールアドレス最大32.3万件、カード名義・番号下3〜4桁最大36.2万件の漏洩可能性）
公表日
経済メディア「NewsPicks」の業務用の管理ツールが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、利用者のメールアドレスやクレジットカード情報の一部などが漏えいしたおそれがあります。
対象者は？
2026年10月8日までにNewsPicksを利用した方の一部です。項目ごとの最大件数は、クレジットカード情報の一部（名義・番号の下3桁または下4桁など）約36.2万件、メールアドレス約32.3万件、役職約27.3万件、勤務先約6.5万件、氏名約5.9万件、配送先の住所・宛名約3.1万件などです。項目どうしで重複があるため、合計して人数を出すことはできません。流出が確認された件数は公表されていません。カード番号全体とセキュリティコードは保存されておらず、パスワードの漏えいも確認されていないとされています。
対象の方には、2026年10月9日からNewsPicksのサポート窓口からメールで順次連絡されています。
いますぐできること
- NewsPicksを名乗るメール・電話で、パスワードやカード情報を求められても入力しない
- カード名義と番号の下4桁を示して本物らしく見せる連絡に注意し、カードの利用明細に身に覚えのない請求がないか確認する
何が起きたのか
2026年10月8日の昼、NewsPicksを運営するユーザベースは、社内の業務で使う管理ツールへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を見つけました。約1時間後に第三者による不正アクセスと判断し、対象のサーバーを遮断しました。同じ日の夜に個人情報保護委員会へ報告し、警察にも相談しています。翌日の第二報で、管理ツールの脆弱性（弱点）が突かれたことと、項目ごとの最大件数を公表しました。
なぜ起きたのか・なぜ広がったのか
会社は、業務で使っていた管理ツールの脆弱性が突かれたと説明しています。どんな弱点だったか、いつから不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったかは、まだ公表されていません。管理ツールからは多くの利用者データにアクセスできる状態だったため、対象が広くなりました。
いまの状況2026-10-09 時点続報待ち
NewsPicksのサービスは続いています。会社は管理ツールのアカウント削除、データにアクセスするための鍵の再発行、アクセスできる権限を必要な最小限に絞る対応を行いました。原因はまだ調べている途中で、分かり次第、再発防止策を公表するとしています。
企業として考えたいこと
自社の社員が使う管理ツールは、どこからアクセスでき、どこまでのデータを見られるでしょうか。業務に必要な範囲より広く見られる状態になっていないか確認しましょう。
技術的な要約
株式会社ユーザベースは2026年10月8日、同社が運営する経済メディア『NewsPicks』の業務用管理ツールが第三者による不正アクセスを受け、10月8日までにサービスを利用した顧客の一部の個人情報が漏洩した可能性があると公表した。同日12時48分に検知して対策本部を設置し、14時1分に第三者による不正アクセスと判断して対象サーバーを遮断、21時44分に個人情報保護委員会へ速報を提出した。10月9日の第二報では、管理ツールの脆弱性が突かれたとし、項目ごとの最大想定件数をメールアドレス32.3万件、クレジットカード情報の一部（名義・番号下3桁または下4桁など）36.2万件、役職27.3万件、勤務先6.5万件、氏名5.9万件などと開示した（項目間で重複があり合算不可）。カード番号全体・セキュリティコードは保存しておらず、パスワードの漏洩やサービス本体・他システムへの侵入は確認されていないとしている。管理ツールの遮断・アカウント削除、アクセスキーの再発行、権限の最小化を実施し、10月9日から対象者へメールで順次通知、原因は調査中である（公式本文はページがJavaScript描画のため取得できず、事実は公式を引用した報道に基づく）。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API報道・研究者第二報（報道経由）：業務で利用している管理ツールの『脆弱性』を突かれた。具体的な脆弱性・攻撃手法は調査中。管理ツールの名称、自社開発か外部製品・SaaSか、インターネットから到達可能だったか、認証の有無・方式は非公表。第一報の段階では手法は調査中とされていた。対応として『管理ツールからデータにアクセスするためのアクセスキーの再発行』を挙げており、管理ツールがアクセスキーでデータストアに接続する構成だったことはうかがえるが、キー自体が窃取・悪用されたかは公表されていない。
- 脆弱性
- CVE 非公表報道・研究者NewsPicks業務用管理ツール（名称・自社開発か外部製品かは非公表）第二報で『管理ツールの脆弱性が突かれた』とされる（報道経由）。脆弱性の種類（認証回避、認可不備、既知CVE等）は調査中。2023年6月にはNewsPicksアプリに外部サービスのAPIキーがハードコードされていた問題（JVN#32739265）が公表されているが、本件との関連を示す情報はない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 対象サーバー（管理ツール）を遮断。NewsPicksのサービスは外部からの不正アクセスへの防御措置を講じたうえで継続（第一報、報道経由）。
- データ
- おそれ上限 362,000確定 —件メール氏名生年月日住所電話クレカ取引先情報その他第二報の項目別の最大想定件数（報道経由。万件単位の丸め）：Web決済関連のクレジットカード情報の一部（カード名義、番号の下3桁または下4桁など）36.2万件、メールアドレス32.3万件、所属先の役職（7区分）27.3万件、勤務先などの所属6.5万件、氏名5.9万件、配送先の住所・宛名3.1万件、所属先の電話番号2.9万件、生年月日2.8万件、法人向けサービスの運営担当窓口名と連絡先メールアドレス122件。利用者ごとに項目が重複し得るため合算して人数を出すことはできないとされ、records_maxは最大項目（カード情報の一部）の値とした。ITmediaの見出し『最大117万件』は項目別件数を合算した値（36.2+32.3+27.3+6.5+5.9+3.1+2.9+2.8万）とみられ、公式の『合算不可』と食い違うため採らない。カード番号全体は決済代行会社が管理し自社に保存しておらず、セキュリティコードも保存していない。パスワード（暗号化されたものを含む）の漏洩は確認されていない。data_typesの『クレカ』は名義と番号の下3〜4桁などの部分情報であり、カード番号全体ではない。『その他』は勤務先・役職。
- 波及先
- 122 件（法人向けサービスの運営担当窓口）
- 法人向けサービス利用企業の運営担当窓口名と連絡先メールアドレス122件が対象（第二報、報道経由）
- 金銭影響
- —
- サプライチェーン
- 管理ツールが外部製品・SaaSかは非公表。法人向けサービス利用企業の担当窓口情報が対象に含まれるが、他組織のシステム侵害は公表されていない。
時系列
- 2023-06-30【参考・別件】JVNがNewsPicksアプリ（Android 10.4.5以前、iOS 10.4.2以前）に外部サービスのAPIキーがハードコードされている問題を公表（JVN#32739265。既存キーは無効化済み）9
- 2026-10-08 12:48
- 2026-10-08 14:01
- 2026-10-08
- 2026-10-08 21:44個人情報保護委員会へ速報を提出3
- 2026-10-09
- 2026-10-09
- 2026-10-09 17:47ANN系列（KSB）が報道（カード番号下4桁など36万2000件、メール32万3000件）6
- 2026-10-09 18:05ITmedia NEWSが『最大117万件』（項目別件数の合算）の見出しで報道5
技術解説
公表された事実（第一報と第二報） 事実
公式本文は取得できなかったため、以下は公式を要約・引用した報道による。第一報（10月8日）：NewsPicksの業務で使う管理ツールが第三者の不正アクセスを受け、10月8日までにサービスを利用した顧客の一部の氏名、勤務先、メールアドレス、住所、電話番号、カード名義、カード番号の下3桁または下4桁などが漏洩した可能性がある。12時48分に検知し対策本部を設置、14時1分に第三者による不正アクセスと判断して対象サーバーを遮断、21時44分に個人情報保護委員会へ速報、所轄警察署に相談。対象人数と手法は調査中。第二報（10月9日）：管理ツールの脆弱性が突かれたとし、項目別の最大想定件数を開示（メール32.3万件、カード情報の一部36.2万件など）。サービス本体・他システムへの侵入、パスワードの漏洩、二次被害は確認されていない。
管理ツールとアクセスキーから見える構造（推測） 解釈
第二報の対応は『管理ツールの遮断とアカウント削除』『管理ツールからデータにアクセスするためのアクセスキーの再発行』『データへのアクセス権限を業務上必要な最小限まで縮小』『送信元をサービス全体で遮断』である。ここから、管理ツールは利用者データベースや決済関連データに長期有効なアクセスキーで接続しており、その権限が業務に必要な範囲より広かったと読める。つまり、管理ツール1つの脆弱性で、会員のメール・勤務先・役職・カード名義まで横断的に参照できる状態だった可能性が高い。『アカウント削除』が攻撃者が作成したアカウントか既存アカウントかは不明で、認証回避や認可不備でツールに入られたのか、ツールの機能を経由して直接データを引かれたのかも公表されていない。いずれも原因公表待ちの推測である。
件数の読み方：36.2万件のカード情報の一部は何を意味するか 解釈
最大項目はWeb決済関連のカード情報の一部36.2万件だが、中身はカード名義と番号の下3〜4桁などで、番号全体とセキュリティコードは決済代行会社側にあり漏れていないとされる。単体で不正決済に使える情報ではない。一方、名義・下4桁・メールアドレス・勤務先・役職がそろうと、『ご登録のカード（末尾1234）の決済に失敗しました』のように本物らしいフィッシングや、勤務先・役職を使ったビジネスメール詐欺の材料になる。役職27.3万件・勤務先6.5万件というビジネスパーソン向けメディアならではの属性も標的型攻撃に使いやすい。なお各項目は重複し得るため合算できず、ITmediaの『最大117万件』は合算値で実人数ではない。本台帳では判定上、部分的なカード情報も『クレカ』として④を適用した。
公表の評価：検知当日の公表と翌日の項目別開示 解釈
検知（10月8日12時48分）から約1時間で遮断し、同日中に第一報と個人情報保護委員会への速報を出し、翌日に項目別の最大想定件数を開示した。判明から数週間〜数カ月かけて公表する国内事案が多い中では速い部類で、時刻付きの経緯と、カード番号全体やセキュリティコードが含まれない理由（決済代行会社管理）を示した点も利用者の判断材料になる。一方で、管理ツールの種類、不正アクセスの開始時期（検知前にどれだけ続いていたか）、脆弱性の内容は未公表で、ログの遡及調査の結果次第で件数や期間が変わり得る。公式ページがJavaScriptで描画され機械取得しにくい点は、報道・研究者による一次情報の確認を難しくしている。
対応
- 封じ込め
- 2026-10-08 14:01に対象サーバーを遮断。管理ツールのアカウント削除、管理ツールからデータにアクセスするためのアクセスキーの再発行、データへのアクセス権限を業務上必要な最小限まで縮小、不正アクセスの送信元をNewsPicksサービス全体で遮断（第二報、報道経由）。
- 公表の仕方
- 2026-10-08に第一報、10-09に第二報を公式サイト（corp.newspicks.com/info/）で公表。10-09から対象者へサポート窓口からメールで順次通知。原因が判明次第、再発防止策を公表予定。メール・電話でパスワードやカード情報を求められても入力しないよう注意喚起。
- 当局対応
- 個人情報保護委員会（2026-10-08 21:44 速報）
- 所轄警察署（被害相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務用管理ツール1つの脆弱性で、数十万件規模の会員データに到達できた | 管理ツールはインターネットに直接公開せず、IdP連携のSSO＋フィッシング耐性MFAを前置したゼロトラストプロキシ（IAP等）経由に限定する。管理ツール自体を外部診断・ペネトレーションテストの対象に含め、認証回避・認可不備（IDOR）を重点的に検査する |
| 管理ツールが長期有効なアクセスキーで広い権限のデータ接続を持っていた（とみられる） | 静的アクセスキーを廃止し、ワークロードIDによる短命クレデンシャルに置き換える。管理ツールのDB/ストレージ権限を機能ごとに分割し、会員一覧の一括取得・エクスポートは別ロールで承認制にする |
| カード名義・下4桁と勤務先・役職がセットで保持されていた | 管理ツールの画面・APIでは決済関連情報と会員属性を同時に返さない設計にし、カード下4桁など表示用データはマスク済みビューからのみ参照させる。利用目的のない属性（配送先、役職等）は保持期間を定めて削除する |
| 不正アクセスの開始時期が検知時点で分からない | 管理ツールのログイン・検索・閲覧・エクスポートを操作者・対象レコード件数・送信元IP付きで1年以上保存し、1セッションあたりの取得件数や新規送信元での閾値アラートを設定する |
| 部分的なカード情報やメール・勤務先が漏れると、本物らしいフィッシングの材料になる | 漏洩時の利用者向け注意喚起テンプレート（当社がカード情報・パスワードをメールで求めることはない旨、正規の通知元アドレス）を事前に用意し、送信ドメインはDMARC p=rejectで自社ドメインのなりすましを防ぐ |
自組織などでの確認項目
- 自社の業務用管理ツール（CRM、サポート、配信、管理画面）のうち、1つのアカウントや1つの脆弱性で全顧客データを検索・エクスポートできるものはいくつあるか。それはインターネットから到達できるか。
- 管理ツールがデータベースやストレージに接続するためのキーは、いつ発行され、誰が持ち、どの範囲の権限を持っているか。漏れたら何分で無効化できるか。
- 不正アクセスを検知したとき、『検知前にいつから続いていたか』をログで何日分さかのぼって答えられるか。
未解明点
- 管理ツールの種類（自社開発か外部製品・SaaSか）、脆弱性の内容、インターネットからの到達可否と認証方式
- 不正アクセスの開始時期（検知前の滞留期間）と、実際に取得されたデータ量（『可能性』から確定への見直し）
- アクセスキーが窃取・悪用されたか、削除したアカウントが攻撃者作成のものか
- 重複を除いた対象者の実人数
- 原因判明後の再発防止策の内容
出典
- 1株式会社ユーザベース2026-10-08公式未確認
- 2株式会社ユーザベース2026-10-09公式未確認
- 3セキュリティ対策Lab（Rocket Boys）2026-10-09報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-09報道本文確認済
- 5ITmedia NEWS2026-10-09報道本文確認済
- 6KSB瀬戸内海放送（ANN）2026-10-09報道本文確認済
- 7日本経済新聞2026-10-08報道未確認
- 8Yahoo!ニュース エキスパート2026-10報道未確認
- 9ScanNetSecurity2023-07-05報道本文確認済