スマートニュースへの不正アクセス（ポイント・特典システムの不正操作等）
公表日
スマートニュースのシステムが第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、ポイント交換の停止やプッシュ通知などの一部機能制限が行われています。
対象者は？
SmartNewsの利用者（ポイント交換が一時停止され、パーソナライズ機能やプッシュ通知、一部特典が制限されています。アカウントへの影響や個人情報の流出有無は調査中であり、被害人数などはまだ発表されていません）
アプリ内のポイントや特典の利用履歴に心当たりのない変化がないか確認し、身に覚えのない操作があればヘルプセンターへ連絡してください。
いますぐできること
- SmartNewsアプリ内でポイントや特典の利用履歴を確認し、身に覚えのない操作や残高の変化がないか確かめる。
- 不審な履歴や異常を見つけた場合は、SmartNewsのヘルプセンターへ連絡する。
何が起きたのか
2026年10月31日から11月1日にかけて、スマートニュースが運営するシステムの一部に第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を行いました。ポイントや特典に関するシステムで不正な操作が確認されたため、同社はポイント交換を一時停止し、プッシュ通知や一部特典などの機能を制限しました。なお、ニュース閲覧や広告配信などの基本サービスは継続されています。
なぜ起きたのか・なぜ広がったのか
どのような経路で侵入されたのか、脆弱性があったのかについてはまだ発表されていません。ポイントや特典を扱うシステムで不正な操作が確認されたため、安全確保と被害防止のために該当システムの停止や機能制限が行われました。
いまの状況2026-11-01 時点続報待ち
スマートニュースは不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたシステムを停止し、認証情報の無効化と更新を進めています。利用者アカウントへの影響や個人情報の流出、広告関連システムへの影響については引き続き調査が行われています。
企業として考えたいこと
自社が扱うポイントや特典などの価値ある機能に対して、不正な操作を即座に検知し、サービス全体を止めずに該当機能だけを素早く停止できる仕組みが整っていますか？
技術的な要約
スマートニュース株式会社は2026年11月1日、運営するシステムの一部に対し10月31日から11月1日にかけて第三者による不正アクセスが行われたことを確認したと公表した。ポイントおよび特典に関するシステムで不正な操作が確認されたため、ポイント交換の一時停止やパーソナライズ機能、プッシュ通知、一部特典の利用制限が実施されている。同社は該当システムの停止や認証情報の無効化・更新を進めており、利用者アカウントへの影響や個人情報流出の有無、広告関連システム・情報への影響については調査中としている。なお、本件は2026年10月22日に公表された事案とは別の事案として対応が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されておらず不明
- 脆弱性
- CVE 非公表不明本件事案における脆弱性の有無や詳細は公表されていない（なお10月22日の前回事案ではサーバー環境の脆弱性悪用と説明されていた）
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ポイント交換の一時停止、パーソナライズ機能、プッシュ通知、一部特典の停止・制限が発生。対応作業に伴い断続的にサービスが使いにくくなる場合がある。なお広告配信は継続。
- データ
- 調査中上限 —確定 —利用者アカウントへの影響や個人情報外部流出の有無、広告関連システムや情報への影響は調査中であり、公表時点では流出確認や対象人数は記載されていない
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-22
- 2026-10-23 12:00
- 2026-10-31
- 2026-11-01スマートニュースが最初の発表を行い、セキュリティ上の問題を受けて一部機能を停止していると説明3
- 2026-11-01
- 2026-11-01
- 2026-11-01 15:00
- 2026-11-01
技術解説
不正アクセスの発生とポイント・特典システムへの影響 事実
スマートニュース株式会社は2026年11月1日、運営するシステムの一部に対し10月31日から11月1日にかけて第三者による不正アクセスが行われたことを確認したと公表した。ポイントおよび特典に関するシステムで第三者による不正な操作が確認されたため、同社は安全確保措置としてポイント交換の一時停止を実施した。あわせて、アプリのパーソナライズ機能やプッシュ通知、一部特典の利用停止・制限が行われており、対応作業に伴い断続的にサービスが利用しづらくなる影響が生じている。なお、広告の配信は継続されているものの、広告に関連するシステムや情報への影響については調査中とされている。
被害調査の状況と過去の公表事案との位置づけ 事実
スマートニュース社によると、本件による利用者アカウントへの影響の有無や個人情報の外部流出の有無については公表時点で調査が進められており、具体的な被害件数や流出確定の事実は発表されていない。同社は2026年10月22日にもサーバー環境の脆弱性を悪用された不正アクセスを公表し、対策を終えて翌23日にサービスを再開していた経緯がある。しかし、今回の発表では10月22日に公表した問題とは「別の事案」として対応を進めていると明記された。事案の検知に伴い、該当システムの停止やアクセス確認に用いる認証情報の無効化および更新が進められている。
認証情報の無効化対応と金銭的価値を狙う攻撃への初動評価 解釈
公表内容において、該当システムの停止と並行して「認証情報の無効化と更新」が実施されていることから、攻撃者が内部アクセスに利用可能な認証情報やAPIキー等を不正に取得・悪用してポイントや特典システムを操作した可能性が考えられる。ポイントや特典機能は金銭的価値に直結するため、攻撃者の経済的動機に基づく標的になりやすい。また、前回の脆弱性対応から約1週間という極めて短い期間で別事案が発生している点は注目される。脆弱性パッチ適用だけでなく、システム間認証や特権アカウントの全面的な点検・再設定の徹底がいかに重要であるかを示唆している。
対応
- 封じ込め
- 該当するシステムを停止し、システムアクセス時の確認に用いる認証情報の無効化と更新を実施。あわせてポイント交換を一時停止し、パーソナライズ機能やプッシュ通知、一部特典の提供を一時停止・制限した。
- 公表の仕方
- 2026年11月1日に第1報を公表したのち、同日15時時点で続報を公開。10月31日から11月1日にかけての不正アクセス、ポイント・特典システムでの不正操作、10月22日の問題とは別事案であることなどを公表し、利用者に身に覚えのない変化があればヘルプセンターへ連絡するよう呼びかけた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ポイントや特典などの金銭的価値を伴う機能に対する不正操作の防止 | ポイント付与・交換や特典発行のAPIに対し、短時間の異常リクエスト急増を検知するレートリミットを導入し、一定閾値を超えた操作を即座に自動保留またはブロックする制御を実装する。 |
| 不正アクセス検知時におけるセッション・認証情報の迅速な遮断 | 侵害の疑いが生じた際、対象システムやマイクロサービス間で利用されるAPIキー、サービスアカウントのトークン、管理者セッションを即座に失効・再発行できる自動ローテーション手順を配備する。 |
| インシデント復旧直後の別経路による侵害リスクの排除 | 脆弱性対処によるサービス再開時、脆弱性の修正にとどまらず、インフラ全域の認証情報やシークレットが過去に窃取されていなかったかを包括的に監査し、一斉更新を実施する。 |
| サービス全体を停止させずにリスク部位のみを遮断する機能分離設計 | 中核機能とポイント・特典・通知などの付加機能を疎結合に設計し、フィーチャートグル等によって疑わしい機能のみを即時に遠隔で機能制限・停止できるキルスイッチ機構を整備する。 |
自組織などでの確認項目
- 自組織が提供するポイント、特典、決済など金銭的価値を扱う機能において、異常な操作や急増する取引をリアルタイムで検知・停止できる仕組みがあるか。
- システム侵害が疑われた際、関連するサーバーやAPIの認証トークンおよびアクセスキーを迅速に一括失効・更新できる運用手順が整備されているか。
- 直近でセキュリティインシデント対応や脆弱性修正を行った際、付随する認証情報や特権アカウントの監査・ローテーションまで漏れなく実施できているか。
未解明点
- 第三者による不正アクセスの具体的な侵入経路（悪用された脆弱性や窃取された認証情報の有無）は何か。
- ポイント・特典システムで具体的にどのような不正操作が行われ、利用者の個人情報やアカウント情報に外部流出などの実害があったのか。
出典
- 1スマートニュース株式会社2026-11-01公式本文確認済
- 2株式会社アクト2026-11-02報道本文確認済
- 3ITmedia オルタナティブ・ブログ2026-11-02報道本文確認済
- 4ビジネス＋IT2026-11-02報道本文確認済
- 5セキュリティ対策Lab2026-11-02報道本文確認済
- 6RTB SQUARE2026-11-02報道本文確認済
- 7日本経済新聞2026-11-02報道本文確認済