コミックシーモアへの不正アクセス（全機能停止・会員情報の一部流出、対象件数は精査中）
公表日
電子書籍ストア「コミックシーモア」が2026年10月15日から全機能を停止しました。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により一部会員のメールアドレスなどが流出したと公表されましたが、対象人数は精査中です。
対象者は？
コミックシーモアの会員のうち「一部の会員」が対象です。人数は精査中で、無料会員・有料会員・退会済み会員などの区分ごとの対象かどうかは公表されていません。流出が確認された情報は、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームです。クレジットカード情報、購入履歴、MY本棚の流出は確認されていないと報じられています。
自分が対象かどうかを確認する方法は、まだ発表されていません。運営会社の公式ホームページや公式Xの案内を確認してください。
いますぐできること
- コミックシーモアと同じメールアドレスとパスワードを他のサービスでも使っている場合は、そちらのパスワードを変更する。
- コミックシーモアから届いたように見える不審なメールやSMSに注意し、記載のリンクは開かない。
- コミックシーモア自体のパスワードは、再開後に運営から再設定の案内があるまで待ち、公式の案内に従う。
何が起きたのか
2026年10月15日の午前、運営会社のNTTソルマーレは、コミックシーモアのサーバーに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が行われた可能性が高いと判断し、サービスを止めました。読み放題、レビュー、シーモア島も含む全機能が使えなくなりました。翌16日には、会員情報を管理するシステムへの侵入と、一部会員の情報の流出を確認したと公表しました。ダウンロード済みの作品は本棚アプリで読めると案内されています。「シーモアコミックス」の新作・続巻は予定どおり配信されていません。
なぜ起きたのか・なぜ広がったのか
侵入の方法や原因は、まだ発表されていません。調査は外部の専門機関と進められています。
いまの状況2026-10-16 時点続報待ち
2026年10月16日時点の情報では、サービスの停止が続いています。対象人数、侵入の方法、再開の日時は、まだ発表されていません。復旧後は、全会員にパスワードの再設定をお願いする予定です。本件に関連した不審なSMSなどの二次被害は、確認されていません。停止中のポイントの扱いや料金の特例は、確認できる公式資料に記載がありません。
企業として考えたいこと
自社の会員情報システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けて全機能を止めることになった場合、誰がどの条件で判断し、利用者に何をいつまでに伝えるかを決めてありますか。
技術的な要約
NTTソルマーレは2026年10月15日、電子書籍ストア「コミックシーモア」のサーバーに外部から不正アクセスが行われた可能性が高いと判断し、午前11時35分にサービスを緊急停止した。翌16日には会員情報管理システムへの侵入と一部会員の情報流出を確認したと公表した。流出が確認されたのはメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームである。クレジットカード情報、購入履歴、MY本棚の流出・消失・欠損は確認されていない。対象件数、侵入経路、再開日時は10月16日時点で公表されておらず、全機能の停止が続いている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスの具体的な方法、対象サーバーの詳細、侵入の成否は10月15日付の説明で特定されていない。10月16日に会員情報管理システムへの侵入を確認したと整理されているが、侵入経路は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性悪用、認証情報の不正利用、ランサムウェア、DDoSなど個別の攻撃手法を特定できる情報は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 10月15日からストア本体、読み放題、レビュー、シーモア島を含む全機能を停止。アプリやサイトには「緊急メンテナンス中」と表示された。本棚アプリにダウンロード済みの作品は閲覧可能。未ダウンロードの購入済み作品の閲覧時期は公式資料に説明がない。「シーモアコミックス」の新作・続巻が予定どおり配信されていない。期間：2026-10-15から継続中（10月16日時点で再開日時は未公表）
- データ
- 確定上限 —確定 —メールハッシュ化PW生年月日性別その他流出確認は、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームの5項目。対象件数は精査中で、会員種別や登録時期ごとの流出の有無も未公表。ハッシュ化の方式は公表資料から確認できない。クレジットカード情報は対象システムで保有しておらず流出していないと会社側が説明している。
- 波及先
- —
- 「シーモアコミックス」の新作・続巻作品の配信遅延
- 流出情報の悪用による不審メールの可能性が指摘されている（二次被害の発生は確認されていない）
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害は公表されていない。
時系列
技術解説
公表された事実の経過 事実
報道によると、NTTソルマーレは2026年10月15日、コミックシーモアのサーバーに外部から不正アクセスが行われた可能性が高いと判断し、原因究明のため午前11時35分にサービスを緊急停止した。サービス側の利用案内では11時30分から緊急メンテナンスに入り、電子書籍、読み放題、レビュー、シーモア島の全機能が利用できなくなった。停止開始時刻は利用案内と運営会社のリリースで5分の差がある。翌16日には、会員情報管理システムへの侵入と一部会員の情報流出を確認したと公表された。同日、緊急メンテナンスを引き続き実施する旨の告知もあったが、新たな調査結果や具体的な再開日時の記載はなかった。
流出が確認された情報と確認されていない情報 事実
流出が確認されたのは、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームの5項目である。クレジットカード情報、購入履歴、購入済みの電子書籍そのものの流出は確認されていない。MY本棚の流出・消失・欠損も確認されていない。クレジットカード情報は本件の対象システムでは保有しておらず流出していないと、会社側が説明していると報じられている。対象となる会員数は精査中で、会員種別（無料・有料・月額コース・退会済み）や登録時期ごとの流出の有無は明らかにされていない。ハッシュ化の方式も公表資料からは確認できない。流出件数の上限も確定数も示されていない。
利用者への影響と会社側の対応 事実
停止中、アプリやサイトには「緊急メンテナンス中」と表示された。本棚アプリにダウンロード済みの作品は閲覧できると案内されている。一方、未ダウンロードの購入済み作品がいつ読めるようになるかは、公式資料に説明がないと報じられている。「シーモアコミックス」の新作・続巻は予定どおり配信されていない。運営は、同じメールアドレスとパスワードの組み合わせを他サービスで使っている場合の変更を呼びかけた。復旧後は全会員にパスワード再設定を求める予定とされる。外部の専門機関と連携して調査を進めている。ポイント有効期限や月額料金の扱いは、確認できる公式資料に記載がない。窓口は経営企画部広報担当で、会員専用の個別相談窓口は確認されていない。
侵入経路が不明な現段階で言えること 解釈
侵入経路、対象サーバーの詳細、攻撃手法は公表されておらず、脆弱性悪用や認証情報の不正利用、ランサムウェアなどを特定する情報もない。このため原因の評価は現時点ではできない。ただし、全機能を長く止める判断が取られている点から、侵害の範囲が広い、あるいは範囲を確定できていないと会社側が見ている可能性はある。これは推測であり、公表内容から裏付けられたものではない。最初に停止を発表し、翌日に流出を公表した流れは、確認できた事実を段階的に示したものとも読める。一方で、対象件数、再開時期、補償の扱いなど利用者の関心が高い項目は未提示である。続報を待って評価を見直す必要がある。
対応
- 封じ込め
- 10月15日午前11時35分にサービスを緊急停止した。外部の専門機関と連携して原因究明と影響範囲の調査を進め、再発防止とサービス再開に取り組んでいる。復旧後は全会員にパスワード再設定を求める予定。
- 公表の仕方
- 10月15日夜にサービス停止を発表し、10月16日に公式Xなどで会員情報の流出を公表した。新たな事実が判明した場合は追加で案内するとしている。10月16日時点で、対象件数、侵入経路、再開日時は示されていない。公表資料の窓口は経営企画部広報担当で、会員専用の個別相談窓口の開設は確認されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員情報管理システムは侵入された場合の影響が大きく、被害範囲の確定に時間がかかる | 会員DBへのアクセス元をアプリケーションサーバーなど必要最小限に限定する。DBの参照・エクスポートの監査ログを取得し、大量参照を検知するアラートを設定する。 |
| パスワードがハッシュ化されていても、方式次第で解析されるおそれが残る | bcrypt、scrypt、Argon2idなど計算コストの高い方式とソルトを採用する。古い方式のハッシュは、ログイン時に新方式へ段階的に移行する。 |
| 全機能の停止が長引くと、購入済みコンテンツや新作配信に影響が出る | 機能ごとにシステムを分離し、影響のない機能から段階的に再開できる構成にする。再開の判断基準と手順を事前に文書化し、訓練しておく。 |
| 対象件数や再開時期が未定の間、利用者は状況を判断しづらい | 確認済みの事実と調査中の事項を分けて載せる告知テンプレートを用意する。更新予定時刻を明記し、会員向けのFAQと問い合わせ窓口を同時に開設する。 |
| 流出したメールアドレスや生年月日は、不審メールや他サービスでのなりすましに使われるおそれがある | パスワード再設定を強制する仕組みと、全会員への一斉通知の配信基盤を準備しておく。多要素認証を提供し、不審なログイン試行を検知する仕組みを入れる。 |
自組織などでの確認項目
- 自社の会員情報DBに接続できるシステムとアカウントを一覧にできるか。そのうち不要な経路はないか。
- 自社のパスワードのハッシュ方式と、古い方式が残っていないかを説明できるか。
- 全機能を止める判断を、誰が、どの条件で、何分以内に下せるか。部分的に再開する手順は決まっているか。
- 個人情報の流出を確認した際に、確認済みの事実と調査中の事項を分けて、何時間以内に告知できるか。
未解明点
- 流出の対象となった会員数は何件か。会員種別（無料・有料・月額コース・退会済み）や登録時期ごとの違いはあるか。
- 侵入経路と攻撃手法は何か。侵入はいつ始まったのか。
- パスワードのハッシュ化方式は何で、解析されるおそれはどの程度か。
- サービス全体の再開日時と、機能ごとの復旧順序はどうなるか。
- 停止期間中のポイント有効期限や月額料金の扱いはどうなるか。
出典
- 1shiritomo（Hashout）2026-10-16報道本文確認済
- 2電ファミニコゲーマー2026-10-16報道本文確認済
- 3NHK2026-10-15報道本文確認済
- 4NHK2026-10-16報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-16報道本文確認済
- 6セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-16報道本文確認済
- 7SmartScope2026-10-16報道本文確認済