ネットドリーマーズへの不正アクセス（「競馬新聞デイリー馬三郎」会員情報最大約15万件流出の恐れ）
公表日
株式会社ネットドリーマーズが共同運営する「競馬新聞デイリー馬三郎」の会員データベース管理ツールが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、登録会員の情報が最大約15万2,500件流出したおそれがあることが判明しました。
対象者は？
「競馬新聞デイリー馬三郎」の2026年10月時点の登録会員および公表時点で退会した人（最大約15万2,500件）。クレジットカード情報および紙媒体の競馬新聞「馬サブロー」の顧客情報は対象に含まれません。
ネットドリーマーズ社から順次送信される個別メール連絡、または案内されている専用サポート窓口（uma36-privacy@netdreamers.co.jp）にて確認できます。
いますぐできること
- ネットドリーマーズ社により全会員のパスワードがリセットされたため、サービス利用時は案内に従ってパスワードを再設定してください。
- 同じパスワードを他のウェブサービスでも使い回している場合は、速やかにそれらのサービスのパスワードも変更してください。
- 口座情報や個人情報の漏えいの可能性に便乗した、不審なメールや連絡（フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺など）に注意してください。
何が起きたのか
2026年4月下旬から7月にかけて、「競馬新聞デイリー馬三郎」の会員データベース管理ツールに対する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生しました。5月上旬にはデータが外部へ取得された可能性があり、10月20日の定期情報セキュリティ点検で痕跡が発見されました。同社はツールを遮断して全会員のパスワードリセットを実施し、11月2日に情報漏えいのおそれを公表しました。
なぜ起きたのか・なぜ広がったのか
会員データベース管理用ツールに対して外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われたことによりますが、悪用された具体的な手口や侵入経路などの詳細はまだ発表されていません。
いまの状況2026-11-02 時点続報待ち
対象の管理ツールは閉鎖されてアクセスが遮断されており、全会員のパスワードリセットとサーバー環境の再構築が進められています。個人情報保護委員会への速報が行われ、対象会員への順次メール連絡とサポート窓口での対応が実施されています。
企業として考えたいこと
自社が利用するデータベースや会員管理用ツールはインターネットから適切に保護されており、不審なデータ持ち出しを即座に検知できるログ監視体制が整っていますか？
技術的な要約
株式会社ネットドリーマーズは2026年11月2日、デイリースポーツと共同運営する競馬情報サービス「競馬新聞デイリー馬三郎」の会員データベース管理用ツールが不正アクセスを受けたと発表した。不正アクセスは2026年4月下旬から7月にかけて発生し、5月上旬にデータが外部取得された可能性がある。2026年10月20日の社内セキュリティ点検で痕跡が発見された。漏えいのおそれがある対象は最大約15万2,500件で、氏名、住所、生年月日、メールアドレス、パスワード、一部利用者の銀行口座番号などが含まれる。同社は対象ツールの閉鎖、全会員のパスワードリセットを実施し、サーバー環境の再構築および対象者への個別連絡を進めている。
攻撃の分類
- 侵入口
- 不明会員データベース管理用ツールへの不正アクセスが発生したが、侵入経路や脆弱性悪用の具体的手法は公表されていない。
- 脆弱性
- CVE 非公表不明会員データベース管理用ツールツールの脆弱性や悪用された手口に関する製品名・CVE情報は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセス痕跡確認後、対象の会員データベース管理用ツールを閉鎖してアクセスを遮断。サーバー環境の再構築を進めている。
- データ
- おそれ上限 152,500確定 —件氏名メール住所生年月日性別口座購入履歴その他全会員で対象となるおそれのある情報はメールアドレス、パスワード、ニックネーム、生年月日、性別、IPアドレス、契約・課金履歴。アンケート回答者は氏名（漢字）、郵便番号、住所が追加対象。口座振替利用者はPayPay銀行・楽天銀行の支店番号と口座番号が追加対象。クレジットカード情報は非保持のため対象外。紙媒体「馬サブロー」の顧客情報も対象外。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- ネットドリーマーズが会員管理・システム運用を担う「競馬新聞デイリー馬三郎」の管理ツールへの不正アクセスにより、共同運営サービス会員の情報漏えいのおそれが生じた。
時系列
- 2026-04会員データベース管理用ツールへの不正アクセスが発生（4月下旬〜7月にかけて継続）1
- 2026-055月上旬に会員情報を含むデータが外部取得された可能性がある1
- 2026-074月下旬から発生していた不正アクセスの発生期間が終了1
- 2026-10-20定期の情報セキュリティ点検で不正アクセスの痕跡を発見1
- 2026-10-20痕跡確認後に対象ツールを閉鎖して不正アクセスを遮断し、全会員のパスワードをリセット1
- 2026-10社内調査チームを設置し影響範囲と利用者への対応策を精査1
- 2026-11-02
- 2026-11-02 15:45神戸新聞・デイリースポーツが不正アクセス判明および個人情報流出の可能性を報道・公表4
- 2026-11-02
技術解説
不正アクセスの発生と検知までの経緯 事実
ネットドリーマーズ社の公表によると、デイリースポーツと共同運営する「競馬新聞デイリー馬三郎」において、2026年4月下旬から7月にかけて会員データベース管理用ツールへの不正アクセスが発生していた。さらに2026年5月上旬には、会員情報を含むデータが外部から取得された可能性があるとされる。事案の発覚は侵入開始から約半年が経過した2026年10月20日の定期情報セキュリティ点検であり、ここで不正アクセスの痕跡が確認された。同社は痕跡を確認後、対象となったデータベース管理用ツールを閉鎖してアクセスを遮断し、全会員を対象としたパスワード強制リセットを実施した。社内調査チームを設置して影響範囲や対応策を精査したのち、2026年11月2日に個人情報保護委員会への速報を実施済みである旨とお詫びの公表を行っている。
影響範囲と対象となった会員情報の内訳 事実
漏えいのおそれがある対象件数は最大約15万2,500件とされており、2026年10月時点の登録会員および公表時点で退会済みの利用者が含まれる。対象となる情報項目は会員の属性や利用状況によって異なり、全会員共通でメールアドレス、パスワード、ニックネーム、生年月日、性別、IPアドレス、契約および課金履歴が含まれる。加えて、アンケート回答者については氏名（漢字）、郵便番号、住所が追加の漏えい対象となり、口座振替を利用していた会員についてはPayPay銀行または楽天銀行の支店番号と口座番号が追加の対象となっている。一方で、クレジットカード情報については運営会社が保有していないため漏えい対象外とされており、紙媒体で発行されている競馬新聞「馬サブロー」の顧客情報についても今回の対象には含まれていない。
管理ツールの露出と検知までのタイムラグに関する考察 解釈
本事案では、不正アクセスが2026年4月下旬に開始されてから10月20日の定期点検で発見されるまで、約半年にわたり侵害の存在が認知されていなかった。データベース管理用ツールという機微情報を直接扱う重要システムが侵害対象となっていたにもかかわらず、侵入時や5月上旬のデータ外部取得とみられる挙動の段階でアラートによる即時検知が機能しなかった点が、潜在的な影響範囲を拡大させた要因と考えられる。会員管理ツールが外部ネットワークにどのように露出していたのか、また認証不備や脆弱性の悪用があったのかなどの技術的詳細は公表されていないが、重要なデータストアへのアクセス監視がリアルタイム監視ではなく定期点検に依存していた場合、インシデントの長期化と潜伏を許すリスクが高まることが示唆される。
対応
- 封じ込め
- 不正アクセスの痕跡確認後、対象の会員データベース管理用ツールを閉鎖してアクセスを遮断。全会員のパスワードを強制リセットし、サーバー環境の再構築を進めている。
- 公表の仕方
- 2026年11月2日にWebサイトでお詫びとお知らせを公表。対象会員に対して順次メールで個別に連絡を進めるとともに、専用サポート窓口を設置して対応を行っている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理用ツールの外部露出制限と厳格なアクセス制御 | データベース管理ツールなどのバックエンド管理画面はインターネットへ直接公開せず、VPNやゼロトラストアクセス制御（ZTNA）を経由した接続に限定し、IPアドレス制限および多要素認証（MFA）を必須化する。 |
| 重要データに対するアクセスログのリアルタイム監視と異常検知 | 管理ツール経由での大量レコード取得や通常外の時間帯・IPからの操作について、SIEMやログ監視ツールで監査ログを収集し、しきい値超過時に即時アラートを発報するルールを策定する。 |
| パスワードや高機微データの不可逆暗号化・保護の徹底 | 保存されるパスワードは安全なハッシュ関数（Argon2、bcrypt等）で適切にソルトを付与して保存し、銀行口座番号などの機微情報もカラム単位での暗号化や復号権限の分離を実施する。 |
| 侵害発覚時における迅速なクレデンシャル無効化と封じ込め | 侵害の痕跡を確認した段階で影響を受けたツールの即時ネットワーク遮断と全会員のセッション無効化・パスワードリセットを自動化または迅速に執行できるインシデント対応プレイブックを整備する。 |
自組織などでの確認項目
- 自組織で運用しているデータベース管理ツールや管理画面が、パブリックインターネットからアクセス可能な状態になっていないか確認できているか。
- 管理ツールやデータベースに対する大量データのエクスポートや通常と異なるアクセスが発生した際、リアルタイムで検知・通報される仕組みが整っているか。
- 他社との共同運営サービスや委託先環境において、顧客の機微情報（口座情報や認証情報など）が適切に保護・分離されているか確認する手順があるか。
未解明点
- 会員データベース管理用ツールへの侵入に悪用された具体的な経路（管理画面の認証情報の漏洩、認証バイパス、ソフトウェアの脆弱性悪用など）は何か。
- 2026年5月上旬にデータが外部取得された可能性があるとされる中で、実際に流出が確認された件数や範囲の特定はなされたか。
出典
- 1セキュリティ対策Lab2026-11-02報道本文確認済
- 2Daily Sports&Net Dreamers公式本文確認済
- 3デイリースポーツ2026-11-03報道本文確認済
- 4神戸新聞社2026-11-02公式本文確認済