電子書籍販売サイト「Renta!」への不正アクセス（会員情報流出のおそれ）
公表日
株式会社パピレスの電子書籍サービス「Renta!」が第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、一部会員のメールアドレスなどの会員情報が外部へ流出したおそれがあることが判明しました。クレジットカード情報などは保有しておらず流出はありません。
対象者は？
「Renta!」に会員登録している一部の利用者（具体的な対象人数は調査中）。なお、クレジットカード等の決済情報は保有していないため流出しておらず、購入履歴やマイリスト（本棚）の流出や消失も確認されていません。
2026年10月23日時点では個別の対象確認手順は公表されておらず、運営会社による調査が継続されています。パピレスおよびRenta!からの公式発表や登録メールアドレス宛の案内を確認してください。
いますぐできること
- Renta!に登録しているメールアドレスとパスワードの組み合わせを他のWebサービスでも使い回している場合は、直ちに他社サービス側のパスワードを変更してください。
- Renta!やパピレス、関係者を装った不審なメールや個人情報を騙し取ろうとするフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に注意し、メール内の不審なURLを安易に開かないでください。
何が起きたのか
2026年10月18日、電子書籍サービス「Renta!」で作品の閲覧や一部機能に不具合が発生したほか、サーバーに対する外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性が確認されたため、サービスの緊急一時停止（メンテナンス）が実施されました。翌10月19日に不正アクセスの可能性に伴うサービス停止であることが公表され、外部セキュリティ専門機関を交えた詳細調査が進められました。その結果、10月23日に一部利用者のメールアドレスなどの会員情報が外部に流出したおそれがあることが発表されました。クレジットカード等の決済情報はサービス側で保有しておらず、購入履歴や本棚データの流出や消失は確認されていません。
なぜ起きたのか・なぜ広がったのか
第三者による外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が行われたことが確認されていますが、侵入経路や悪用された脆弱性などの具体的な原因についてはまだ発表されておらず、調査が継続されています。
いまの状況2026-10-23 時点続報待ち
外部のセキュリティ専門機関と連携して不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の原因と影響範囲の精査が進められています。不正アクセス防止措置が講じられており、新たな不正アクセスや被害は確認されていません。サービスは一時停止が継続しており、セキュリティ強化を行ったうえで再開に向けた準備が進められています。また、サービス再開時には利用者に対してパスワードの再設定が求められる予定です。
企業として考えたいこと
自社のWebサービスにおいて、決済情報などの不要な機微データを保持しないデータ最小化の設計や、万一の侵入時にアカウントへの被害を抑える保護策が講じられているでしょうか。
技術的な要約
株式会社パピレスが運営する電子書籍サービス「Renta!」において、2026年10月18日にサーバーへの外部からの不正アクセスの可能性が把握され、サービスの緊急一時停止が実施された。その後の調査により、第三者による不正アクセスによってサービスに登録している一部顧客のメールアドレス等の会員情報が外部に流出したおそれがあることが判明した。同サービスではクレジットカードなどの決済情報は保有しておらず、購入履歴やマイリスト情報の流出およびデータの消失・欠損は確認されていない。同社は外部のセキュリティ専門機関と連携して不正アクセスの原因や影響範囲の調査を継続するとともに、セキュリティ強化とサービス再開に向けた対応を進めている。
攻撃の分類
- 侵入口
- 不明公式発表では「第三者による不正アクセス」と表現されており、侵入経路の詳細は調査継続中として公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年10月18日より緊急メンテナンスとして「Renta!」のサービスを一時停止。作品の読み込みや閲覧、スタンプページなどの機能が停止し、10月23日時点でも再開準備中としてサービス停止が継続している。期間：2026年10月18日より継続中（2026年10月23日時点）
- データ
- おそれ上限 —確定 —人メールその他一部会員の会員情報（メールアドレス等）に流出のおそれ。影響人数および流出した項目の全容は調査中。クレジットカード等の決済手段情報はサービスで保有しておらず流出なし。購入履歴やマイリストの流出・消失・欠損は確認されていない。パスワードはハッシュ化保存されている。
- 波及先
- —
- 登録メールアドレス宛にパピレスや関係者を装った不審なメールが送信され、個人情報が詐取されるおそれ
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
不正アクセスの検知から公表までの経緯と確認された影響範囲 事実
2026年10月18日、電子コミックレンタルサービス「Renta!」において、レンタル中・購入中作品の読み込み中状態が続く、スタンプページが開けないといった一部機能の不具合が発生しました。同日、サーバーに対する外部からの不正アクセスの可能性を把握した運営会社のパピレスは、緊急メンテナンスとしてサービスを一時停止しました。翌10月19日には適時開示および公式Xにて不正アクセスの可能性によるサービス停止と再開時期未定であることを公表し、10月21日にも緊急メンテナンスの継続を案内しました。その後、10月23日に第三者による不正アクセスによって一部会員のメールアドレスなどの会員情報が外部に流出したおそれがあると発表されました。一方で、同サービスではクレジットカードなどの決済手段情報を保有していないため決済情報の流出はなく、購入履歴やマイリスト（本棚）の流出およびデータの消失・欠損も確認されていないことが明らかにされています。また、パスワードはハッシュ化して保存されており、公表時点で新たな不正アクセスや被害は確認されていません。
機微情報の非保持設計による二次被害抑制の有効性 解釈
本事案において注目すべき点は、サービス側でクレジットカードなどの決済手段情報をそもそも保有しないアーキテクチャを採用していた点です。Webサービスが侵害された場合、決済情報がデータベースに保管されていると、カード不正利用による直接的な金銭被害やPCI DSSに準拠した厳格なフォレンジック調査の長期化など、事業者・利用者の双方に極めて深刻な影響が及びます。パピレスは決済情報を自社環境に持たない設計を徹底していたため、不正アクセスを受けながらも最も機微な決済情報の漏えいを未然に回避できました。また、購入履歴や本棚データの消失・改ざんが防がれ、パスワードも元の内容に復元できない形でハッシュ化保存されていたことは、侵害発生時の被害規模を最小限に抑える上で重要な多層防御として機能したと評価できます。
侵害兆候検知時の全面サービス停止判断と事業継続性の課題 解釈
パピレスは2026年10月18日にサーバーへの不正アクセスの可能性を把握した直後、即座にサービスを全面的に停止する判断を下しました。稼働を継続したまま調査を進めると、攻撃者によるさらなる侵入拡大やデータ窃取を許すリスクが高まるため、初期段階でサービスを切り離して緊急メンテナンスに移行した判断は、封じ込めというセキュリティ観点からは合理的です。しかし、サービス全面停止は利用者が購入・レンタルした作品を閲覧できなくなるなど事業継続性に大きな影響を及ぼし、調査や安全確認に時間を要することで停止期間が長期化する要因にもなります。特に同時期には同業他社でも類似の不正アクセス被害が相次いでおり、電子書籍プラットフォームを狙った攻撃への警戒とともに、迅速な封じ込めと早期復旧をいかに両立させるかが実務上の重要な論点となります。
対応
- 封じ込め
- 2026年10月18日に不正アクセスの可能性を把握後、サービスを一時停止して緊急メンテナンスを実施。不正アクセスを防止するための措置を継続している。
- 公表の仕方
- 2026年10月18日にサービス一時停止を告知。翌10月19日に適時開示および公式Xで不正アクセスの可能性による停止を公表。10月21日に調査継続を案内後、10月23日に一部会員のメールアドレス等流出のおそれを公表し、パスワード変更や不審メールへの注意喚起を行った。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クレジットカード情報など高機微な決済情報の非保持化 | クレジットカード決済にはトークン決済や外部決済代行事業者のリダイレクト型決済を採用し、自社サーバーやデータベースにクレジットカード情報を一切保持・通過・処理させないアーキテクチャを導入する。 |
| 不正アクセスの兆候検知に伴う緊急封じ込め・サービス遮断手順の標準化 | サーバー監視やWAFのアラートで侵入・不正アクセスの疑いを検知した際に、影響範囲を限定するための迅速なネットワーク隔離や特定エンドポイントの遮断、サービス一時停止手順をプレイブックとして整備し、訓練を実施する。 |
| 認証情報の不可逆ハッシュ化保護と再開時の強制パスワード再設定機構の実装 | パスワード保存にはArgon2idやbcrypt等の強固なソルト付きストレッチングハッシュ関数を使用し、アカウント侵害が疑われる事案発生時に全ユーザーまたは影響対象ユーザーに対してセッションを強制無効化し、次回ログイン時にパスワード再設定を必須とする機能をシステムに組み込む。 |
| 漏えいした可能性のあるアカウント情報悪用（フィッシング等）に対する利用者向け警戒通知 | メールアドレス等の流出が疑われる場合、自社サービスを騙るフィッシングメールやアカウントリスト攻撃に備え、正規の連絡チャネルの明示、他社サービスでの同一パスワード使い回し変更の呼びかけ、注意すべき送信元ドメインなどを速やかに利用者に周知する運用フローを策定する。 |
自組織などでの確認項目
- 自社のWebサービスでクレジットカード等の決済手段情報を自社サーバー内に保持していないか、決済代行サービスとの連携構成を改めて棚卸し・点検できているか。
- サーバーへの不正アクセスや侵害の疑いを検知した際、被害拡大を防ぐために即座にサービス停止やネットワーク遮断を実施できる緊急時対応フローと判断基準が定義されているか。
- 会員登録を伴うWebシステムにおいて、パスワードのハッシュ化アルゴリズムは十分強固か、またインシデント発生時に特定ユーザーまたは全ユーザーへ強制的にパスワード再設定を要求できる仕組みが備わっているか。
未解明点
- 外部からの不正アクセスに利用された侵入経路や脆弱性（公開Webサーバーの不備、APIの認証認可の欠陥、境界機器の脆弱性など）の技術的詳細。
- 流出したおそれがある会員情報の具体的な対象人数（影響件数）および、メールアドレス以外に含まれる可能性のある属性項目の全容。
出典
- 1J-CASTニュース2026-10-19T13:51+09:00報道本文確認済
- 2ライブドアニュース2026-10-23報道本文確認済
- 3スポニチアネックス2026-10-23報道本文確認済
- 4株式会社パピレス2026-10-23公式本文確認済
- 5セキュリティ対策Lab2026-10-23報道本文確認済
- 6スポニチアネックス2026-10-23報道本文確認済
- 7つぶログ2026-10-19報道本文確認済
- 8J-CAST ニュース2026-10-19報道本文確認済