アソビュー「satsuki」への不正アクセス（予約者2万7163件・パートナー情報など流出）
公表日
アソビュー株式会社の予約管理システム「satsuki」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、予約者2万7163件の情報と、パートナーの情報（111件と1万4400件）が流出したと発表されました。
対象者は？
satsukiを通じた予約者（2万7163件）と、satsukiを使うパートナー事業者（不正ログインが確認された111件、その他1万4400件）です。予約者情報には氏名、性別、生年月日、電話番号、住所、予約情報が含まれ、メールアドレス、パスワード、クレジットカード情報は含まれません。パートナー情報には口座情報などが含まれます。東武動物公園とアドベンチャーワールドは、各施設に関連した情報流出は確認されていないと発表しています。
対象の予約者とパートナーには、アソビューが個別に連絡しているとされています。連絡が届いていないか、心当たりがあるときは、下記の公式のお知らせを確認してください。
いますぐできること
- アソビューからの個別の連絡が届いていないか、メールや郵便を確認する。
- 身に覚えのない電話、郵便、メールが来たら、すぐに応じず、公式の窓口で確かめる。
- satsukiを使うパートナー事業者は、パスワードを変更し、口座や請求まわりの不審な連絡に注意する。
何が起きたのか
アソビューは2026年5月20日、パートナー向け予約管理システム「satsuki」への外部からの不審なアクセスに気づき、アクセス元をブロックして調査を始めました。調べた結果、サイバー攻撃による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と判断し、5月28日に発表しました。一部のパートナーのアカウントに不正にログインされ、そのパートナーの予約者情報にアクセスがありました。さらに、認証情報を悪用して別のパートナーの情報にもアクセスされました。発表の時点では、流出した情報が悪用された被害は確認されていません。
なぜ起きたのか・なぜ広がったのか
認証情報がどのように入手されたのか、侵入がいつ始まったのかなど、詳しい原因はまだ発表されていません。報道では、不正ログインがあった後、別のパートナーの情報にもアクセスが及んだと伝えられています。
いまの状況2026-06-10 時点続報待ち
2026年6月10日時点の報道では、東武動物公園の顧客情報が漏えいした事実は確認されていないとされています。補償、再発防止策、原因の詳細は、入力された情報では、まだ発表されていません。
企業として考えたいこと
自社の取引先向けシステムで、あるアカウントに不正ログインされた場合、そのアカウントから他の取引先の情報まで見えてしまうことはないでしょうか。
技術的な要約
アソビュー株式会社は2026年5月28日、パートナー向け予約管理システム「satsuki」がサイバー攻撃を受け、パートナーや予約者の情報の一部が外部に流出したと発表した。同社は5月20日に外部からの不審なアクセスを検知し、アクセス元のブロックなどの対策と調査を行った。一部パートナーのアカウントへの不正ログインが行われ、当該パートナーの予約者情報へのアクセスに加え、認証情報を悪用した別のパートナーの情報へのアクセスもあった。流出したのは予約者情報2万7163件、不正ログインが確認されたパートナーの情報111件、その他のパートナーの情報1万4400件で、口座情報も含まれる。発表時点で悪用による被害は確認されておらず、対象者へ個別に連絡している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者一部パートナーのアカウントに対する不正ログインが行われ、さらに認証情報を悪用した別のパートナーの情報へのアクセスも行われた（報道による）。認証情報の入手経路は入力情報に記載がない。
- 脆弱性
- CVE 非公表不明脆弱性に関する言及は入力された情報にない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は入力された情報にない。
- データ
- 確定上限 27,163確定 —件氏名性別生年月日電話住所口座取引先情報メール業務データその他内訳：予約者情報2万7163件（氏名、性別、生年月日、電話番号、住所、予約情報。メールアドレス、パスワード、クレジットカード情報は含まない）／不正ログイン確認パートナー情報111件（会社名、住所、電話番号、代表者氏名、請求担当者氏名、請求先住所、口座情報、請求書、支払通知書、各種メールアドレス）／その他パートナー情報1万4400件（店舗名、住所、電話番号、請求担当者氏名、請求先住所、口座情報、各種メールアドレス）。records_maxは予約者情報の件数で、パートナー分は合算していない。
- 波及先
- —
- 東武動物公園：顧客の個人情報漏えいは確認されていない
- アドベンチャーワールド：同施設に関連した情報流出は確認されていない
- 金銭影響
- —
- サプライチェーン
- パートナー施設（東武動物公園、アドベンチャーワールド）は関連サービスの利用先だが、各施設に関連した情報流出は確認されていないと発表している。
時系列
- 2026-05-20
- 2026-05-28
- 2026-05-28調査の結果、不審なアクセスをサイバー攻撃による不正アクセスと判断。2
- 2026-05-28東武レジャー企画が、東武動物公園のWEBチケット販売で利用するアソビューへの不正アクセスについて発表。同園顧客の個人情報漏えいは確認されていないとした。3
- 2026-05-28対象の予約者・パートナーへ個別に連絡。発表時点で悪用による被害は確認されていない。1
- 2026-06-01INTERNET Watchが予約者約2万7000件の個人情報などの流出を報道。アドベンチャーワールドと東武動物公園は、同施設に関連した情報流出は確認されていないと発表。1
- 2026-06-09ScanNetSecurityが、satsukiへのサイバー攻撃によるパートナー情報・予約者情報の流出を報道。2
- 2026-06-10ScanNetSecurityが、東武動物公園の顧客情報が漏えいした事実は確認されていないと報道。3
技術解説
公表された攻撃の経過 事実
報道によると、アソビュー株式会社は2026年5月20日、パートナー向け予約管理システム「satsuki」への外部からの不審なアクセスを検知し、ただちにアクセス元のブロックなどの対策を講じて監視と調査を始めた。調査の結果、これをサイバー攻撃による不正アクセスと判断し、5月28日に発表した。内容は、一部パートナーのアカウントに対する不正ログインが行われ、その後に当該パートナーの予約者情報へのアクセスがあり、さらに認証情報を悪用した別のパートナーの情報へのアクセスも行われた、というものである。侵入日や認証情報の入手経路は、入力された情報には記載がない。
流出した情報の内訳 事実
報道された内訳は三つに分かれる。第一にsatsuki経由の予約者情報2万7163件で、氏名、性別、生年月日、電話番号、住所、予約情報が含まれ、メールアドレス、パスワード、クレジットカード情報は含まれないとされる。第二に不正ログインが確認されたパートナーの情報111件で、会社名、住所、電話番号、代表者氏名、請求担当者氏名、請求先住所、口座情報、請求書、支払通知書、各種メールアドレスが含まれる。第三にその他のパートナーの情報1万4400件で、店舗名、住所、電話番号、請求担当者氏名、請求先住所、口座情報、各種メールアドレスが含まれる。これらは別々の件数であり、合算はしていない。発表時点で悪用による被害は確認されていない。
提携施設の発表 事実
東武レジャー企画株式会社は5月28日、東武動物公園のWEBチケット販売で利用しているアソビューへの不正アクセスについて発表した。同社がアソビューに確認した結果、東武動物公園の顧客に関する個人情報が漏えいした事実は確認されていないという。INTERNET Watchの報道によれば、アドベンチャーワールドと東武動物公園の発表は、いずれも同施設に関連した情報流出は確認されていないという内容だった。ScanNetSecurityも6月10日に、東武動物公園の顧客情報が漏えいした事実は確認されていないと報じている。なお、これらは各発表時点の確認状況であり、その後の調査結果は入力された情報にない。
一つのアカウントから範囲が広がった点の読み方 解釈
公表内容から読み取れる特徴は、不正ログインの確認が111件のパートナー情報にとどまる一方、その他のパートナー情報が1万4400件と大きな数になっている点である。報道は、認証情報を悪用して別のパートナーの情報にもアクセスがあったと伝えている。これを踏まえると、パートナー間の情報の隔離や、アカウントごとの閲覧範囲の設計が論点になった可能性がある。ただし、認証情報の入手経路、システム上の権限設定、アクセスが成立した仕組みは公表されておらず、ここで述べるのは推測にとどまる。原因の評価は、詳細が示されてから行う必要がある。
対応
- 封じ込め
- 不審なアクセスの検知後、ただちにアクセス元のブロックなどの対策を講じ、監視を続けるとともに調査を開始した。
- 公表の仕方
- 2026年5月28日に発表。対象の予約者やパートナーには個別に連絡した。取引先向けに「お詫びとお知らせ」も公表している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パートナー（取引先）向けシステムでは、1つのアカウントで見られる範囲を最小限にしておく必要がある。 | テナント（パートナー）ID単位で参照範囲を強制するアクセス制御をサーバー側で実装し、他パートナーのIDを指定した参照要求が拒否されることを自動テストで検証する。 |
| 外部向け管理画面のログインは、認証情報が流用・悪用される前提で守る。 | パートナー向けログインに多要素認証を必須化し、ログイン試行の回数制限、既知の漏えいパスワードの拒否、普段と異なるIPや端末からのログイン通知を導入する。 |
| 不審なアクセスの検知から遮断までを速やかに行うには、ログの監視が要る。 | ログイン成功後の大量参照や、他パートナー分のデータ取得を検知ルール化し、アラート時にアカウント停止とアクセス元遮断を行う手順を用意して定期的に訓練する。 |
| 口座情報や請求書などの業務データは、保持する範囲と見える範囲を絞る。 | 口座情報は必要な画面と権限だけに表示し、マスク表示、保存期間の上限、不要になった請求書・支払通知書の削除ルールを設定する。ダウンロード操作は監査ログに記録する。 |
| 提携先への影響有無は、早く正確に伝えられるようにしておく。 | 提携施設ごとの影響有無を調べるクエリと、連絡先・連絡テンプレートを事前に整備し、インシデント時にパートナー別の影響範囲を短時間で出せるようにする。 |
自組織などでの確認項目
- 自組織の取引先向けシステムで、あるアカウントが他の取引先のデータを参照できないことを、設定だけでなくテストで確認しているか。
- 取引先や外部委託先が使うログインに、多要素認証は必須になっているか。例外の運用はないか。
- 不審なアクセスを検知してからアクセス元を遮断するまでの手順と担当者は決まっているか。夜間・休日でも動けるか。
- 口座情報や請求書など、漏れると影響が大きいデータの保存場所と閲覧できる人を一覧にできるか。
未解明点
- 不正ログインに使われた認証情報はどのように入手されたのか（使い回し、フィッシング、その他）。入力された情報には記載がない。
- 侵入が始まった日時と、5月20日の検知までにどれだけの期間アクセスがあったのか。
- 認証情報を悪用して別のパートナーの情報へアクセスできた仕組みの詳細と、再発防止策の内容。
- 攻撃者の特定や主張の有無、当局への報告状況。
- 提携施設（東武動物公園、アドベンチャーワールド以外を含む）への影響の最終的な確認結果。
出典
- 1INTERNET Watch2026-06-01報道本文確認済
- 2ScanNetSecurity2026-06-09報道本文確認済
- 3ScanNetSecurity2026-06-10報道本文確認済
- 4アソビュー株式会社公式本文確認済