キャネットのお客様マイページへの不正アクセス（最大10,981名分の口座情報等が漏洩の可能性）
公表日
消費者金融のキャネットで、お客様マイページに第三者が不正にアクセスしました。個人情報が漏れた可能性のある人は最大10,981名で、流出が確認された人数はまだ発表されていません。
対象者は？
キャネットのお客様マイページに登録していた方のうち、最大10,981名が対象です。氏名・住所・電話番号・メールアドレス・勤務先・ログインID・ログインパスワード・金融機関の口座情報・借入日、借入額、借入残高などが含まれる可能性があります。運転免許証・保険証・マイナンバー・収入に関する情報は含まれないと確認されたと報じられています。
対象の方には個別に連絡が行われたと報じられています。心当たりがある場合は、キャネットが設けた専用窓口に問い合わせてください。連絡先は公式のお知らせで確認してください。
いますぐできること
- 不審な電話は最後まで聞かず、すぐに切る。キャネットはパスワードや暗証番号、クレジットカード番号を電話やメールで尋ねないと明示しています。
- 身に覚えのない連絡や、不審なメール・添付ファイルに注意する。
- マイページと同じパスワードを他のサービスでも使っている場合は、変更を検討する。
何が起きたのか
2026年4月23日ごろ、キャネットのお客様マイページに、第三者が不正にアクセスしていることが確認されました。きっかけは、不審なログイン履歴の指摘と、お客様から届いた不審なSMSの連絡でした。調査の結果、マイページの登録情報が外部に漏れたことが確認され、4月24日に公表されました。対象者は初報で9,987名、5月8日の続報で10,981名に更新されました。公表の時点で、なりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。や不審な電話などの二次被害が複数件確認されていました。7月14日には、外部の専門業者による調査が終わったと報告されました。
なぜ起きたのか・なぜ広がったのか
7月14日の報告では、原因は会員ページを管理するシステムで、認証情報の管理またはプログラムの弱点を突いた外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とされています。どちらが入り口だったかは発表されていません。社員の関与はなかったと報告されています。被害が広がった理由は、まだ発表されていません。
いまの状況2026-07-30 時点続報待ち
出典で確認できる最新は2026年7月30日の報道時点です。マイページのパスワードは強制変更され、多要素認証が導入されました。警察・個人情報保護委員会・財務局へ報告済みで、専用窓口も開設されています。再発防止策として、システムの見直し、24時間365日の監視強化、委託先の基準見直しと定期監査、全役職員への教育が示されました。SMSと携帯電話による連絡は廃止されました。流出が確定した人数やパスワードの保存方法は、まだ発表されていません。
企業として考えたいこと
自社の会員ページで万一不審なログインが起きたとき、お客様の指摘を待たずに気づける仕組みと、お客様へ安全に連絡する手段は整っているでしょうか。
技術的な要約
消費者金融・キャッシングを提供するキャネットは2026年4月24日、ホームページ内お客様マイページへの第三者による不正アクセスを同月23日に確認したとして公表した。初報では漏洩の可能性が否定できない対象者は9,987名で、氏名・住所・電話番号・ログインID・ログインパスワード・金融機関口座情報などが含まれ、すでに複数件の二次被害が確認されていた。5月8日の続報2で対象者は10,981名に更新され、借入日・借入額・借入残高も対象に加わった。発覚の経緯は、会員ページへの不審なログイン履歴の指摘と、顧客からの不審なSMS受信の連絡である。7月14日の第4報でフォレンジック調査の終了を公表し、原因は会員ページを管理するシステムにおける認証情報の管理またはプログラム上の脆弱性を突いた外部からの不正アクセスで、社員の関与はなかったと報告された。具体的な製品名やCVEは公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者第4報で「会員ページを管理するシステムにおいて、認証情報の管理またはプログラム上の脆弱性を突いた外部からの不正アクセス」と報告された（報道経由）。どちらが侵入口かは特定されていない。
- 脆弱性
- CVE 非公表報道・研究者会員ページを管理するシステム（製品名非公表）認証ロジックおよびプログラム上の脆弱性と報告されている。製品名・CVEは記載なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表は確認できない。マイページのパスワードは強制変更された。
- データ
- おそれ上限 10,981確定 —人氏名住所電話メール会員ID口座その他初報は9,987名、続報2（5月8日）で10,981名に更新（漏洩の可能性が否定できない人数）。外部専門業者の調査でマイページの登録情報が外部に漏洩した事実は確認されているが、確定件数は未公表。内訳：氏名・住所・自宅/携帯電話番号・メールアドレス・勤務先名・勤務先電話番号・ログインID・ログインパスワード（初報）、金融機関情報（金融機関名・支店名・口座種別・口座番号・口座名義）、借入日・借入額・借入残高（債務状況）。運転免許証・保険証・マイナンバー・収入情報は含まれないと確認済み。パスワードの保存形式は公表なし。
- 波及先
- —
- 漏洩情報による二次被害を複数件確認（なりすましメール・不審な電話・郵便物等）
- 金銭影響
- —
- サプライチェーン
- 他組織への波及は公表されていない。再発防止策に運用開発委託先へのセキュリティ基準見直しと定期監査が含まれるが、委託先が侵入経路だったとの公表はない。
時系列
技術解説
公表された経緯と人数の推移 事実
キャネットは2026年4月24日、ホームページ内お客様マイページへの第三者による不正アクセスを4月23日に確認したと公表した。発覚の経緯は、会員ページへの不審なログイン履歴の指摘と、顧客から不審なSMSを受信したとの連絡で、システム会社の調査により外部からの不正アクセスが判明した。漏洩の可能性が否定できない対象者は初報で9,987名、5月8日の続報2で10,981名に更新された。外部専門業者の調査で、マイページの登録情報が外部に漏洩した事実が確認されたと報じられているが、流出が確定した件数は出典に記載がない。確認日は報道により4月20日以降、4月23日、5月7日と食い違っている。
対象となった情報と二次被害 事実
漏洩の可能性がある情報は、氏名・住所・電話番号・メールアドレス・勤務先名・勤務先電話番号・ログインID・ログインパスワード・金融機関情報（金融機関名・支店名・口座種別・口座番号・口座名義）等とされた。続報2ではお借入れ日・お借入れ額・お借入れ残高も含まれると報じられている。運転免許証・保険証・マイナンバー・収入に関する情報は含まれないことが確認済みとされた。二次被害は初報の時点で複数件確認され、なりすましメール・不審な電話・郵便物等が挙げられている。パスワードの保存形式は出典に記載がない。
調査結果と公表された対応 事実
7月14日の続報4で、外部専門業者によるフォレンジック調査（ログ分析およびデジタル鑑識）が終了したと公表された。原因は会員ページを管理するシステムにおける認証情報の管理またはプログラム上の脆弱性を突いた外部からの不正アクセスで、攻撃者が会員ページのログイン情報等を閲覧できる状態にあったと確認された。社員の関与はなかったとされる。具体的な製品名・CVEは記載がない。対応として、パスワード変更と多要素認証の導入、警察・個人情報保護委員会・財務局への報告、専用窓口の開設が挙げられ、再発防止策は4点が示された。続報3ではSMSと携帯電話による連絡の廃止が案内された。
侵入口の見えにくさと連絡手段の課題（解釈） 解釈
以下は公表内容を踏まえた解釈である。原因が「認証情報の管理」か「プログラム上の脆弱性」のどちらか、または両方かは出典で特定されておらず、侵入口は断定できない。発覚の端緒が顧客からの指摘や不審SMSの連絡だったことから、利用者側の兆候が先に表面化した可能性がある。また、口座情報や借入状況は二次被害に悪用されやすい性質の情報である。SMSや携帯電話での連絡の廃止は、連絡手段そのものがなりすましの足がかりになりうる点に対応した措置とも読める。ただし、これらは推測であり、事実として確定したものではない。
対応
- 封じ込め
- 被害拡大防止の措置を講じたと公表。マイページのパスワードを強制変更し、多要素認証を導入済み。対象者への個別連絡と専用窓口の開設を実施。続報3で二次被害防止のためSMSおよび携帯電話による連絡を廃止。再発防止策は、(1)脆弱性・認証ロジックの見直しと順次修正、(2)24時間365日の不正侵入検知システム・ログ監視体制の強化、(3)運用開発委託先のセキュリティ基準見直しと定期監査、(4)全役職員への情報セキュリティ教育と初動対応プロセスの再徹底。
- 公表の仕方
- 2026年4月24日に第1報、5月8日に続報2、続報3（日付不明）、7月14日に第4報でフォレンジック調査の結果を公表。パスワードや暗証番号・クレジットカード番号を電話やメールで問い合わせることは一切ないと明示し、不審な連絡への注意を呼びかけた。
- 当局対応
- 警察
- 個人情報保護委員会
- 財務局
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員ページの認証は、ID・パスワードだけに頼らない設計が必要になる。 | 全会員ログインに多要素認証（TOTPやパスキー）を必須化し、未登録アカウントは再認証まで利用を制限する。パスワードは bcrypt や Argon2 などでハッシュ化して保存する。 |
| 不審なログインは、利用者の指摘より先に自社で検知したい。 | 認証ログを集約し、短時間の多数失敗、新規IPやUAからの成功、通常と異なる地域からのログインに対するアラートを設定する。レート制限とリスクベース認証も入れる。 |
| 口座情報や債務状況のような高機微データは、会員ページから見える範囲を最小にする。 | 口座番号は表示時にマスクし、保存時は項目単位で暗号化する。閲覧・出力操作は監査ログに残し、API単位で認可を検査する。 |
| 二次被害を防ぐには、事業者からの連絡手段の信頼性を利用者に示す必要がある。 | SMSの送信元を固定し、本文にURLを載せない運用にする。公式サイトに連絡方針を掲載し、パスワードや暗証番号を電話・メールで尋ねないことを明示する。 |
| 委託先を含めた開発・運用の脆弱性管理が、再発防止の一部になる。 | 委託先にコードレビュー、SAST/DAST、認証ロジックのテストを契約で義務づけ、定期監査の結果を自社で確認する。リリース前に認可の抜け漏れをチェックする。 |
自組織などでの確認項目
- 自社の会員向けページで、多要素認証は全利用者に必須になっているか。未導入の利用者の割合はどのくらいか。
- 不審なログインや、顧客からの「不審な連絡を受けた」という申告を、誰がどの手順で受け付けて調査に回すか。夜間・休日も含めて決まっているか。
- 会員ページから参照できる口座情報や債務情報などの項目は、業務上必要な範囲に絞られているか。保存形式と閲覧ログの記録も確認できるか。
- 顧客に送るSMS・メール・電話が本物だと見分けてもらうための方針を、自社の公式サイトで説明しているか。
未解明点
- 侵入が始まった日時と、不正アクセスが続いた期間は公表されていない。確認日も出典で食い違っている。
- 原因が認証情報の管理かプログラム上の脆弱性かは特定されておらず、製品名やCVEも公表されていない。
- 流出が確定した件数は未公表で、最大10,981名は「可能性が否定できない人数」である。
- ログインパスワードの保存形式（平文かハッシュ化か）は出典に記載がない。
- 続報3の公表日と、攻撃者の主張や特定の有無は出典で確認できない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-25報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-16報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-09報道本文確認済
- 4ScanNetSecurity2026-05-13報道本文確認済
- 5ScanNetSecurity2026-05-13報道本文確認済
- 6ScanNetSecurity2026-05-21報道本文確認済
- 7ScanNetSecurity2026-07-30報道本文確認済
- 8ScanNetSecurity2026-07-30報道本文確認済