マクロミルにおけるモニタサイトへの不正アクセス（317人分の個人情報閲覧）
公表日
マクロミルのアンケートモニタサイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、モニター317人の個人情報が閲覧され、うち82人は口座情報が含まれていたことが判明しました。
対象者は？
「マクロミル モニタサイト」のモニター317人（基本情報・属性情報。うち82人は振込先口座情報を含む）。クレジットカード情報や暗証番号の流出はなく、317人以外への影響は確認されていません。
対象となる317人には、同社から個別に事実関係の報告とお詫びの連絡が進められています。
いますぐできること
- マクロミルから個別連絡が届いていないか、登録メールアドレス等を確認する。
- 振込先口座情報が含まれていた対象者は、念のため該当する金融機関の入出金明細に不審な履歴がないか確認する。
何が起きたのか
2026年10月29日、マクロミルのモニタサイトの一部システムに対する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。同社は直ちに管理機能へのアクセスを遮断し、全モニターのポイント交換機能を停止しました。その後の調査で、モニター317人の個人情報が閲覧され、そのうち82人はポイント交換先の口座情報が含まれていたことが判明しました。一部のアカウントでメールアドレスの書き換えやポイント交換の試行がありましたが、不正な交換の完了や金銭的被害は確認されていません。
なぜ起きたのか・なぜ広がったのか
モニタサイトの管理機能に対して外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われたことによります。具体的な侵入経路は公表されていませんが、閲覧された情報をもとにポイントの不正交換が試みられました。また、10月31日には認証等に利用する外部メール配信会社でも障害が起きたため、交換機能の停止が長引くことになりました。
いまの状況2026-11-13 時点続報待ち
マクロミルは管理機能へのアクセス制限や監視強化を継続し、対象となる317人に不正利用防止措置をとった上で個別連絡を行っています。全モニターを対象としたポイント交換機能および新規登録は一時停止が続いていますが、アンケートの配信・回収は安全性を確認して継続されており、保有ポイントが失効しないよう対応が進められています。
企業として考えたいこと
自社の管理画面は外部から遮断されており、登録情報の急な変更や出金操作を即座に検知・抑止できる仕組みが整っていますか？
技術的な要約
株式会社マクロミルは2026年11月12日、アンケート回答者向け「マクロミル モニタサイト」の一部システムが第三者による不正アクセスを受け、モニター317人の個人情報が外部から閲覧されたと発表した。閲覧された情報にはモニターの基本情報および属性情報が含まれ、そのうち82人分はポイント交換先として登録されていた振込先金融機関口座情報が含まれていた。同社は10月29日に不正アクセスを確認後、該当する管理機能への外部アクセスを制限・遮断し、全モニターを対象にポイント交換機能を一時停止した。一部アカウントで登録メールアドレスの書き換えやポイント交換の試行が確認されたものの、不正な交換の完了や金銭的被害などの実害は確認されていない。なお、10月31日には認証等に利用する外部メール配信委託先でも不正アクセスに伴う障害が発生し、ポイント交換機能の停止継続要因となっている。
攻撃の分類
- 侵入口
- 不明公表ではモニタサイトの一部システムに対する不正アクセスおよび管理機能へのアクセス制限措置が言及されているのみで、具体的な侵入経路や手法は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 全モニターを対象としたモニタサイトおよびアプリのポイント交換機能の一時停止、ならびに新規登録の一時停止（アンケートの配信・回収業務は継続）。期間：2026-10-29〜継続中
- データ
- 確定上限 317確定 317人氏名口座その他モニター317人の基本情報および登録属性情報。このうち82人分にはポイント交換先の振込先口座情報が含まれる。クレジットカード情報や金融機関暗証番号はシステム上で保持していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 自社モニタサイトの一部システムに対する直接の不正アクセス。なお別事象として外部メール配信委託先の不正アクセス停止障害が発生し、通知機能への影響からポイント交換停止の継続要因となっているが、同障害による委託先からの個人情報漏えいは確認されていない。
時系列
- 2026-10-29
- 2026-10-29
- 2026-10-30モニタサイト上に「【重要】緊急システムメンテナンスのお知らせ」を掲示2
- 2026-10-31
- 2026-11-12
- 2026-11-12
- 2026-11-12
- 2026-11-12
技術解説
被害規模と確認された具体的な侵害行為 事実
本件では、マクロミルが運営する「マクロミル モニタサイト」の一部システムに対して第三者からの不正アクセスが行われ、モニター317人分の基本情報および登録属性情報が外部から閲覧された痕跡が確認された。このうち82人分については、ポイント交換先として登録されていた振込先金融機関口座情報が含まれていた。さらに、調査の過程において対象となった一部のアカウントでは、登録メールアドレスの書き換えやポイント交換操作が試行されていたことが判明している。ただし、同社のシステムではクレジットカード情報や金融機関の暗証番号などの認証情報は保持されておらず、不正なポイント交換の完了や保有ポイントの消失、不正ログインなどの実害や金銭的被害は確認されていない。また、これら317人以外のモニター情報については閲覧や流出の形跡は確認されていないことが公表されている。
攻撃者の狙いと初動対応による実害抑止 解釈
一部のアカウントでメールアドレスの改変やポイント交換の試行が確認されていることから、攻撃者の主な目的はモニターが蓄積したポイントの不正詐取、またはアカウントの乗っ取りによる不正利用であったと解釈できる。攻撃者は管理機能等の侵害を通じて個人情報を閲覧した上で、個別のモニターアカウントに対する金銭的価値の搾取を試みたとみられる。これに対し、同社が2026年10月29日の不正アクセス検知直後に該当する管理機能への外部アクセスを制限・遮断し、同時に全モニターを対象としてポイント交換機能を迅速に全停止させた判断は、攻撃者による交換処理の完遂を未然に防ぐ上で極めて効果的であったと考えられる。また、クレジットカード情報や口座暗証番号を保持しないデータミニマムの設計方針が、二次的な預金不正引き出し等の致命的な金銭被害の回避に寄与したといえる。
外部委託先インシデントの併発による復旧への影響 解釈
本件の特異な点として、自社システムへの不正アクセスへの対処中に、認証や通知に利用していた外部メール配信委託先でも不正アクセスに伴うサービス停止が発生した点が挙げられる。この委託先の障害により、ポイント交換等の手続きで不可欠となるワンタイムパスワードや通知メールの送受信が困難となり、ポイント交換機能の停止状態が長期化する複合要因となった。マクロミル側の調査および委託先からの報告では、委託先障害に起因する同社顧客の個人情報漏えいは確認されていないものの、認証基盤を外部サービスに依存している場合、自社側の安全性が確認・改修されても事業復旧が他社の回復状況に左右されるサプライチェーンリスクが浮き彫りとなった。重要な業務フローにおける単一障害点の存在が、インシデント対応の長期化を招いたと分析できる。
対応
- 封じ込め
- 不正アクセスの検知後、直ちに該当する管理機能への外部からのアクセス制限・遮断措置を実施した。全モニターを対象としたポイント交換機能および新規登録を一時停止し、不審アクセスの遮断やセキュリティ監視レベルの引き上げ、システムの改修と安全性検証を継続している。また、対象となった317名のアカウントに対して不正利用防止措置を講じた。
- 公表の仕方
- 2026年10月30日に緊急システムメンテナンスのお知らせを掲載後、調査を進めて2026年11月12日に「不正アクセスによる個人情報の漏えいおよびマクロミルポイント交換機能の一時停止に関するお詫びとお知らせ」を公式サイトおよびモニタサイトに掲載。対象となる317名に対しては個別の報告とお詫びを順次進めている。
- 当局対応
- 個人情報保護委員会
- プライバシーマーク審査機関
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理機能に対する厳格なアクセス制御と露出の防止 | 管理機能や管理APIはパブリックなインターネットから直接到達できないよう境界制御（IP制限、VPN、ZTNAなど）を徹底し、多要素認証（MFA）を必須化して不正アクセスを防止する。 |
| アカウント乗っ取り・不正出金を防止する異常検知と強制停止機能 | 登録メールアドレスの急な変更や連続したポイント交換・出金要求など、不審な操作シーケンスを即座に検知する監視ルールを設定し、異常検知時に自動で出金を保留・制限する仕組みを実装する。 |
| 不要な高機微情報を保持しないデータ最小化の徹底 | 暗証番号やクレジットカード情報を自社DBに保持せず、ポイント交換時も口座番号等の表示をマスキングするなど、万一閲覧権限が侵害された場合でも被害を最小限に抑える設計を維持する。 |
| 認証・通知を担う外部委託先の単一障害点（SPOF）リスクの低減 | 二要素認証や重要通知で利用するメール配信・SMS配信などの外部サービスが停止した場合に備え、代替プロバイダへの切り替え手段やフォールバック手順をあらかじめ策定・検証しておく。 |
自組織などでの確認項目
- 自社のサービス管理画面やバックオフィス機能が、インターネット側から直接アクセス可能な状態になっていないか。
- 顧客アカウントのメールアドレス変更や重要情報の変更が行われた際、旧アドレスへの即時通知や一定期間の重要操作制限（クーリング期間）が組み込まれているか。
- 認証や通知を依存している外部SaaS・配信事業者に障害が発生した場合、自社の主要業務やセキュリティ確認フローが停止するリスクを把握しているか。
未解明点
- 管理機能への外部アクセスを可能にした侵入経路（認証情報の窃取・流用なのか、Webアプリケーション等の脆弱性悪用なのか）の詳細な原因。
出典
- 1株式会社アクト2026-11-13報道本文確認済
- 2株式会社マクロミル2026-11-12公式本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-11-12報道本文確認済
- 4セキュリティ事故カルテ2026-11-12研究者本文確認済
- 5株式会社マクロミル2026-11-12公式本文確認済