スターツ出版「オズモール」への不正アクセス（サイトの脆弱性悪用、最大442,779名分のメールアドレス等が閲覧されたおそれ）
公表日
女性向けの予約・情報サイト「オズモール」が海外からの大量の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大約44万人分のメールアドレスなどが見られたおそれがあります。
対象者は？
オズモールの会員で、一部の退会者も含みます。最大442,779人分のメールアドレスと、一部の方の氏名と住所（都道府県まで）が対象です。流出が確認された件数は公表されていません。電話番号や番地以降の住所は見られた形跡がなく、クレジットカード情報は外部の決済システムを使っているため対象外とされています。
対象の方には、登録しているメールアドレスあてに会社から順次連絡されています。
いますぐできること
- オズモールを名乗るメールのリンクは開かず、公式サイトや公式アプリから確認する
- 登録しているメールアドレスに不審なメールが増えていないか気をつける
何が起きたのか
2026年9月26日、スターツ出版のシステム部門が、オズモールへの海外からの大量の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を見つけました。該当するページへのアクセスを一時止め、原因を特定して、アクセスを防ぐためのシステムの修正をしました。サイトに書き換えなどの被害がないことを確かめてサービスを再開し、翌27日に公表しました。最初は最大447,610件としていましたが、10月1日の第2報で最大442,779人分に見直しました。
なぜ起きたのか・なぜ広がったのか
会社はサイトの脆弱性（弱点）が原因だとして対策をしましたが、弱点の種類や攻撃の方法は、まだ公表されていません。対象に一部の退会者が含まれているのは、退会した方の情報も取引の記録として一定期間保存されていたためです。
いまの状況2026-10-01 時点続報待ち
サイトは再開しています。会社は影響のなかったサーバーも調べて対策を行い、外部の専門機関と協力して監視を強めています。9月28日に個人情報保護委員会へ報告しました。10月1日の時点で、二次被害は確認されていないとしています。
企業として考えたいこと
自社のサイトに、海外などから短時間に大量のアクセスがあったとき、すぐに気づいて止められる仕組みがあるでしょうか。
技術的な要約
2026年9月26日、スターツ出版のシステム部門が「オズモール」への海外からの大量の不正アクセスを検知し、該当ページへのアクセスを一時停止したうえで原因を特定し、遮断のためのシステム修正を行った。9月27日の第1報では会員メールアドレス最大447,610件の閲覧のおそれとしたが、10月1日の第2報で一部退会者を含む最大442,779名分に精査した。対象はメールアドレスと一部の氏名・住所（都道府県まで）で、電話番号や番地以降の住所は閲覧の形跡がなく、クレジットカード情報は外部決済のため対象外とされる。脆弱性の種類や攻撃手法は公表されておらず、10月1日時点で二次被害は確認されていない。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認公式は、システム部門が海外からの大量の不正アクセスを検知し、原因を特定して遮断のシステム修正を行ったと説明し、第2報で『当該脆弱性』への対策を実施したとする（公式）。脆弱性の種類、対象ページ（会員情報を返すページ・APIか等）、攻撃手法は非公表。大量アクセスで会員情報を順次取得する型（IDの列挙・認可不備等）が報道・解説で一般論として挙げられているが、本件の原因として示されたものではない。
- 脆弱性
- CVE 非公表公表で確認オズモールのWebサイト（該当ページ、詳細非公表）第2報で『当該脆弱性』に対策を実施したと記載。種類・CVE・自社開発部分か製品かは非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 検知後、該当ページへのアクセスを一時停止。原因特定・修正後にサイトのサービスを再開し、プログラム改ざん等の被害がないことを確認（第1報時点で再開済み）。期間：2026-09-26の検知から第1報（9/27）までに再開（正確な停止時間は非公表）
- データ
- おそれ上限 442,779確定 —人メール氏名住所第1報（9/27）は『会員のメールアドレス最大447,610件』、第2報（10/1）で『最大442,779名分』に精査（一部退会者を含む。退会者情報は取引履歴として一定期間保存）。一部の人は氏名と住所（都道府県まで）も対象。電話番号・番地を含む詳細住所は閲覧の形跡なし、クレジットカード情報は外部決済システム利用のため漏えいの可能性なし（公式）。パスワードへの言及はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及は公表されていない。決済は外部決済システムを利用しており影響なしとされる。
時系列
技術解説
大量アクセス型の取得と退会者データの保持 解釈
公表から読み取れるのは、海外からの『大量の』アクセスで特定ページが悪用され、メールアドレスを中心に44万人規模の会員情報が閲覧されたおそれがあるという構図である。電話番号・番地以降の住所は閲覧の形跡がないとされ、取得された項目が一部に限られることから、会員情報の一部を返すページ（一覧・検索・マイページ系API等）が繰り返し呼ばれた可能性が考えられるが、手口は非公表で推測にとどまる。第2報で対象に退会者が含まれると判明しており、取引履歴として保持していた退会者データが被害母数を押し上げた。件数は第1報の『件』から第2報の『名分』に変わり約4,800減っており、重複アドレスの名寄せなどで精査したとみられる。メールアドレスに氏名・都道府県が付いた一覧は、予約サービスを装った精度の高いフィッシングに使われうる。
対応
- 封じ込め
- 該当ページへのアクセスを一時停止し、原因を特定して遮断のためのシステム修正を実施。改ざん等がないことを確認しサービス再開。影響を受けなかったサーバーも調査しセキュリティ対策を実施。外部専門機関と連携して監視体制を強化。
- 公表の仕方
- 9/27第1報（最大447,610件）、10/1第2報（最大442,779名分に精査、退会者を含むことを追記）。対象者へは登録メールアドレス宛に順次連絡し、連絡がつかない場合は公表をもって代える。脆弱性の種類・手口は非公表。
- 当局対応
- 個人情報保護委員会：2026-09-28に報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 単一ページへの海外からの大量アクセスで会員情報が取得されうる状態だった | 会員情報を返すエンドポイントはセッションの本人IDとリソース所有者をサーバー側で照合し（BOLA対策）、IP・セッション単位のレート制限と応答件数上限をWAF/APIゲートウェイで設定。異常な国別・ページ別リクエスト数をダッシュボードとアラートで監視する |
| 退会者の情報を保持していたため被害母数が増えた | 退会者データは取引履歴として必要な項目（注文ID・金額等）だけを残し、メールアドレス・氏名は退会時または保存期間経過後に削除・仮名化するバッチを実装する |
自組織などでの確認項目
- 自社サイトで、ログイン済みユーザーやボットが短時間に大量のリクエストを送ったとき、会員情報を返すページはどこで止まるか。レート制限と検知のしきい値は決まっているか。
未解明点
- 脆弱性の種類と対象ページ、攻撃の開始時期（9/26以前からのアクセスの有無）
- パスワード（ハッシュ含む）が対象外かどうか
出典
- 1スターツ出版2026-09-27公式本文確認済
- 2スターツ出版2026-10-01公式本文確認済
- 3issoh2026-10-06報道本文確認済