OCS「OCS FAMILY LINK SERVICE」への不正アクセス（個人情報流出・サービス停止継続、件数は非公表）
公表日
ANAグループの株式会社OCSが運営する海外居住者向けショッピングサイト「OCS FAMILY LINK SERVICE」が外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客と利用企業の管理者の個人情報が流出しました。対象者数は公表されておらず、サービスは2026年7月23日から停止が続いています。
対象者は？
「OCS FAMILY LINK SERVICE」の顧客と、利用企業の管理者が対象です。顧客は氏名、海外お届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号です。利用企業の管理者は会社名、管理者氏名、担当部署所在地、電話番号・FAX番号、メールアドレス、暗号化されたログイン用パスワードです。クレジットカードなどの金融情報は含まれないとされています。対象者数は公表されていません。
OCSは対象となる利用者と関係企業に個別に連絡する方針です。OCSからの連絡と公式のお知らせを確認してください。
いますぐできること
- OCSからの個別連絡があれば内容を確認する。
- このサイトと同じパスワードを他のサービスで使っている場合は、他のサービス側のパスワードを変更する。
- OCSをかたるメールや電話、不審なリンクに注意する。
何が起きたのか
2026年7月23日、OCSは「OCS FAMILY LINK SERVICE」でシステム不具合が起きたとしてサービスを止めました。翌24日には、外部からのサイバー攻撃で個人情報が流出した可能性があると発表しました。7月28日には、個人情報が実際に流出したことが分かったと公表しました。OCSは対象のシステムと関連ネットワークを緊急で遮断し、7月24日に個人情報保護委員会へ報告しました。警察などとも連携して対応しています。
なぜ起きたのか・なぜ広がったのか
8月12日の第4報で、外部専門機関の調査の結果、サービスの一部機能にあったプログラムの弱点（脆弱性）が原因で、外部からの攻撃を防げなかったと公表されました。データベースへの直接アクセス、不正なプログラムの設置、データの改ざんの痕跡は見つかっていません。弱点の具体的な内容や対象のプログラム名は公表されていません。
いまの状況2026-08-12 時点続報待ち
8月12日時点で、OCSは弱点の改修、セキュリティ機器などの設定の見直し、再発防止体制の構築を進めています。サービスは停止が続いており、再開時期は未定です。対象者数や流出件数は、まだ発表されていません。この事案に起因するフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。などの具体的な二次被害は、OCSの公式発表では確認できませんでした。
企業として考えたいこと
自社の会員向けサイトの一部機能に弱点が見つかったとき、サービスを止めて原因を調べ、対象となるお客様や取引先に個別に連絡するまでの流れを、すぐに実行できるでしょうか。
技術的な要約
ANAグループの株式会社OCSは2026年7月23日、海外居住者向けショッピングサイト「OCS FAMILY LINK SERVICE」でシステム不具合が発生したとしてサービスを停止した（第1報）。7月24日の第2報で外部からのサイバー攻撃と個人情報流出の可能性を公表し、7月28日の第3報で個人情報が実際に流出したことが判明した。8月12日の第4報では、外部専門機関の調査により、原因がサービスの一部機能に存在したプログラム脆弱性であったと公表された。流出対象は氏名、海外お届け先住所、メールアドレス、電話番号などで、クレジットカードなどの金融情報は含まれないとされるが、対象者数や流出件数は公表されていない。DBへの直接アクセス、不正プログラム設置、データ改ざんの痕跡は検出されておらず、サービスは停止が続き再開時期は未定である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認第4報で「原因は『OCS FAMILY LINK SERVICE』の一部機能に存在したプログラム脆弱性で、不正アクセスによる外部からの攻撃を防げなかった」と公表。脆弱性の具体的内容、対象プログラム名・バージョンは非公表。
- 脆弱性
- CVE 非公表公表で確認OCS FAMILY LINK SERVICE の一部機能（プログラム名・バージョン非公表）CVE番号、具体的内容、対象プログラムの名称やバージョンは公表されていない。OCSは改修作業を進めている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年7月23日から「OCS FAMILY LINK SERVICE」の提供を停止。脆弱性対応と第三者機関による安全性確認が完了するまで新規受付とサービス提供を停止し、再開時期は未定。海外駐在員向け福利厚生サービスにも利用されているサイトである。期間：2026-07-23から継続中（第4報公表の2026-08-12時点でも停止、再開時期未定）
- データ
- 確定上限 —確定 —氏名住所メール電話会員ID取引先情報その他第3報で流出が判明。顧客情報は氏名、海外お届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号。利用企業の管理者情報は会社名、管理者氏名、担当部署所在地、電話番号・FAX番号、メールアドレス、暗号化されたログイン用パスワード（OCSは解読・復元は不可能と説明）。クレジットカードなどの金融情報は含まれない。対象者数・流出レコード件数は公式発表では確認できない。DBへの直接アクセス、不正プログラム設置、データ改ざんの痕跡は検出されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織を起点とする侵害や他組織への波及は公表されていない。流出対象に利用企業の管理者情報が含まれ、OCSは対象利用者と関係企業に個別連絡する方針。
時系列
- 2026-07-23
- 2026-07-24OCSがサーバーへの不正な外部アクセスを確認。5
- 2026-07-24
- 2026-07-24個人情報保護委員会に報告。2
- 2026-07-27この時点で具体的な再開時期を示す第3報は確認されていなかった（媒体記事の記載）。1
- 2026-07-28第3報で個人情報が実際に流出したことが判明。顧客情報と利用企業の管理者情報が対象と公表。2
- 2026-08-05ScanNetSecurityがANAグループOCSへの不正アクセスと情報流出の可能性を報道。4
- 2026-08-12第4報を公表。外部専門機関の調査で、原因がサービスの一部機能のプログラム脆弱性と判明。DB直接アクセス、不正プログラム設置、データ改ざんの痕跡は検出されず。2
- 2026-08-12脆弱性の改修、セキュリティ機器等の設定見直し、再発防止体制の構築を進めている。サービスは停止中で再開時期は未定。2
技術解説
公表の経過と確認された事実 事実
OCSは2026年7月23日に「OCS FAMILY LINK SERVICE」のシステム不具合を理由にサービスを一時停止した。第1報では原因や影響範囲の具体的な説明はなかった。翌24日の第2報で、管理・運用するサーバーに外部の第三者によるサイバー攻撃が行われ、一部の個人情報・データが流出した可能性があると公表した。7月28日の第3報で個人情報が実際に流出したことが判明し、8月12日の第4報で、外部専門機関の調査により原因がサービスの一部機能に存在したプログラム脆弱性だったと公表された。OCSは対象システムと関連ネットワークを緊急遮断し、個人情報保護委員会には7月24日に報告済みである。
流出した情報の範囲と、公表されていない点 事実
顧客情報では、氏名、海外お届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号が対象である。利用企業の管理者情報では、会社名、管理者氏名、担当部署所在地、電話番号・FAX番号、メールアドレス、暗号化されたログイン用パスワードが対象で、OCSは解読・復元は不可能と説明している。クレジットカードなどの金融情報は含まれない。データベースへの直接アクセス、不正プログラムの設置、データ改ざんの痕跡は検出されていない。一方、対象者数や流出レコード件数は公式発表では確認できず、悪用された脆弱性の具体的内容、CVE番号、対象プログラム名やバージョンも公表されていない。本事案に起因するフィッシングやなりすましなどの二次被害も、公式発表では確認できなかった。
段階的な公表をどう読むか 解釈
第1報は「システム不具合」、第2報で「サイバー攻撃と流出の可能性」、第3報で「流出の判明」、第4報で「原因は脆弱性」と、確認できた範囲に合わせて表現が更新されている。調査の途中で確度の異なる情報を段階的に出す方法であり、判明していない事項を断定しない姿勢とも読める。一方で、第1報の時点では利用者が攻撃の可能性を知る手がかりが乏しかったとも言え、初動の表現をどこまで具体化できるかは各組織が検討する余地がある。また、件数と脆弱性の詳細は第4報時点でも未公表であり、利用者や関係企業が自身の影響を判断するには、個別連絡の内容が重要になると考えられる。
サービス停止が長引く構造 解釈
本事案では、脆弱性の改修と第三者機関による安全性確認が終わるまで新規受付とサービス提供を停止する方針が示され、7月23日から8月12日時点でも停止が続き、再開時期は未定である。原因が稼働中のサービス自体の機能にあった場合、遮断後も、改修、設定見直し、第三者による確認という複数の工程が必要になるため、停止が長期化しやすいと推測できる。また、このサービスは海外居住者向けの会員制サイトで、海外駐在員向け福利厚生にも使われている。利用企業の管理者情報が流出対象に含まれていることから、個人利用者だけでなく、利用企業側の窓口業務への影響も考えられる。ただし、具体的な業務影響の内容は公表されていない。
対応
- 封じ込め
- 対象システムと関連ネットワークを直ちに緊急遮断し、安全性が完全に確認されるまでサービスを一時停止。第4報時点で、脆弱性の改修、セキュリティ機器などの設定見直し、外部専門機関の協力による安全対策と再発防止体制の構築を進めている。
- 公表の仕方
- 2026年7月23日に第1報（システム不具合）、7月24日に第2報（サイバー攻撃・流出の可能性）、7月28日に第3報（流出判明・対象情報）、8月12日に第4報（原因は脆弱性）と段階的に公表。対象となる利用者と関係企業には個別に連絡する方針。具体的な二次被害は公式発表では確認されていない。
- 当局対応
- 個人情報保護委員会（2026-07-24報告済み）
- 警察および関係機関と連携して対応中
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開Webサービスの一部機能に脆弱性が残ると、DBに直接触れなくても個人情報が流出し得る | 公開アプリは機能単位で入力検証・認可チェックを実装し、SAST/DASTと依存ライブラリのSCAをCIに組み込む。年1回以上の第三者ペネトレーションテストを実施し、検出結果を期限付きで修正管理する。 |
| 初報の時点では原因が不明でも、攻撃の可能性を早期に判断できる体制が必要 | WAFログ、アプリケーションログ、認証ログを集中管理して長期保存し、「障害」と「侵害」を並行して切り分けるインシデント初動手順（Runbook）を用意する。ログに異常なデータ取得量や異常リクエストの検知ルールを置く。 |
| サービスと関連ネットワークを遮断できるかが被害拡大防止の分かれ目になる | サービス単位でネットワークを分離し、LB・FW・DNSの切り替えで遮断できる手順を事前に整備して訓練する。遮断判断の責任者と基準を文書化し、再開条件（改修完了、第三者確認）も初動時点で定義しておく。 |
| 管理者アカウントの認証情報は、暗号化・ハッシュ化していても保管と運用の設計が重要 | パスワードはArgon2id、bcryptなどの適応型ハッシュとソルトで保存し、管理者画面にはMFAとIP制限を導入する。流出時に備え、全管理者のパスワード強制リセットとセッション失効を即時実行できるようにしておく。 |
| 件数や対象範囲を早く把握できないと、利用者・関係企業への説明が遅れやすい | 個人データの保有箇所と項目をデータ台帳で管理し、アクセスログから影響レコードを抽出できるクエリと手順を平時に検証する。企業顧客の管理者連絡先を一覧化し、個別通知の文面と送付フローをテンプレート化しておく。 |
自組織などでの確認項目
- 自組織の公開Webサービスのうち、会員情報や管理者情報を扱う機能を一覧にできるか。各機能に最後に脆弱性診断を実施した日付はいつか。
- サービスの異常を検知した際、「障害」か「不正アクセス」かを切り分け、必要なら対象システムとネットワークを遮断するまでの手順と判断者は明確か。実際に訓練したことがあるか。
- 漏えいが起きた場合に、保有する個人データの項目と対象人数をログからどのくらいの日数で特定できるか。企業顧客の管理者にも個別連絡できる体制があるか。
- 管理者用のログインパスワードの保存方式と、流出時に全員分を強制リセットできる手段は整っているか。
未解明点
- 対象者数と流出レコード件数はどれくらいか（第4報時点で公式発表では確認できない）。
- 悪用された脆弱性の具体的内容、CVE番号、対象プログラム名・バージョンは何か。
- 攻撃の開始時期、検知までの期間、攻撃者の特定や犯行声明の有無はどうか。
- サービスはいつ再開されるのか、再開条件（第三者機関による安全性確認）はどのように示されるのか。
- フィッシングやなりすましなどの二次被害は、今後確認されるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-28報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-14報道本文確認済
- 3琉球新報2022-05-28報道本文確認済
- 4ScanNetSecurity2026-08-05報道本文確認済
- 5hendryadrian.com2026-07-28報道本文確認済