集英社「HAPPY PLUS COMMUNITY」への不正アクセス（CMS設定不備を突いたAPI認証情報への攻撃、ブロガー2,835件の個人情報漏えい）
公表日
集英社が、ファッション誌のブロガーとの連絡に使うシステム「HAPPY PLUS COMMUNITY」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、ブロガーの個人情報2,835件が漏えいしました。
対象者は？
集英社のファッション誌メディアにブロガーとして登録している方です。氏名・住所・電話番号・生年月日・メールアドレスのほか、職業、SNSアカウント、結婚しているかどうか、子どもの有無、身長、肌のタイプなど、媒体や人によって登録した項目が含まれます。取引先の一覧10,780件（会社名など）も漏えいしました。パスワードやクレジットカード情報についての説明はありません。
対象のブロガーには、2026年9月25日に登録メールアドレスあてに概要と問い合わせ窓口が知らされています。
いますぐできること
- 集英社やHAPPY PLUSを名乗るメールのリンクや添付は開かず、送り主を確かめる。2026年9月9日にシステムから届いたメールに心当たりがあれば、特に注意する
- 住所・電話番号・SNSアカウントも含まれているため、知らない人からの連絡や、SNSでの不審なメッセージに気をつける
何が起きたのか
2026年9月9日、集英社の「HAPPY PLUS COMMUNITY」に、深夜0時45分〜1時25分と午後1時42分〜4時46分の2回、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。攻撃者は、強い権限を持つアカウントを勝手に作り、システムに何度もデータを要求しました。2回目のアクセスの間に、システムのひな形を使ったメール3通が100人に送られ、受け取った人からの通報で14時53分に不正アクセスが分かりました。集英社は9月25日に対象のブロガーに知らせ、9月28日に公表しました。
なぜ起きたのか・なぜ広がったのか
集英社は、システムで使っているCMS（サイトを管理する仕組み）の設定の不備が原因で、APIの認証情報（システム同士をつなぐための鍵）が狙われたと推定しています。CMSの名前や、設定の不備の具体的な内容は公表されていません。強い権限のアカウントを作られたことで、ブロガーの情報だけでなく、案件の情報630件、システムから送ったメールの情報11,237件、取引先の一覧も取り出されました。
いまの状況2026-09-28 時点続報待ち
集英社は不正なアカウントを削除し、CMSの設定を変えて、原因となった弱点をふさぎました。不正を見つける設定も強めています。開発会社と外部の調査会社による調査を続けており、個人情報保護委員会には速報を出しました。調査の結果と具体的な再発防止策、100人に送られたメールの内容は、まだ発表されていません。
企業として考えたいこと
自社のサイトやシステムで、新しい管理者アカウントが作られたときに、すぐ気づける仕組みはあるでしょうか。
技術的な要約
集英社がファッション誌メディアのブロガー管理・連絡に使うシステム「HAPPY PLUS COMMUNITY」が、2026年9月9日の0時45分〜1時25分と13時42分〜16時46分の2回にわたり不正アクセスを受けた。同社は、利用するCMSの設定不備に起因するAPI認証情報を狙った攻撃と推定しており、攻撃者は特権ユーザーアカウントを不正に作成してAPIリクエストを繰り返した。ブロガー情報2,835件（氏名・住所・電話番号・生年月日のほか結婚状況・子の有無・身長・肌タイプ等）、案件情報630件、送信メール情報11,237件、取引先一覧10,780件の漏えいが判明し、同時間帯にシステムのテンプレートを使ったメール計3通が100名宛に送信された。9月28日に公表し、外部会社によるフォレンジック調査を継続している。
攻撃の分類
- 侵入口
- 管理画面/API公表で確認集英社は「利用しているCMSの設定の不備に起因するAPI認証情報を狙った攻撃」を受けたと推定（公式）。攻撃者は特権ユーザーアカウントを不正に作成し、APIリクエストを繰り返し実行した（公式）。CMSの製品名、設定不備の具体的内容（公開されていたエンドポイント・キーの置き場所等）、API認証情報がどう取得・悪用されたかは公表されていない。調査は開発ベンダーと外部フォレンジック会社に依頼中。
- 脆弱性
- CVE 非公表公表で確認非公表のCMS（HAPPY PLUS COMMUNITYで利用）公式は製品の脆弱性ではなく『CMSの設定の不備』と説明し、『脆弱性を解消』したとする。製品名・バージョン・設定項目は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の有無は公表資料に記載なし。不正アカウント削除・設定変更・脆弱性解消を実施したとのみ説明。
- データ
- 確定上限 2,835確定 2,835件氏名メール住所電話生年月日性別業務データ取引先情報その他（職業、プロフィール画像・情報、SNSアカウント、フォロワー数、結婚状況、子の有無、身長、肌タイプ等）公式は『漏洩したことが判明』と確定表現。内訳：ブロガー情報2,835件（登録項目は媒体・個人で異なる）、案件情報630件（ブログ・撮影・イベント参加等の依頼記録）、本システムから送信したメール情報11,237件、取引先一覧10,780件（会社名は全件、メールアドレス26件、電話番号113件、担当者氏名は未登録）。性質の異なる区分のため合算しない。records_max は個人情報の主体であるブロガー件数。パスワード・クレジットカード情報への言及はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 取引先一覧10,780件（会社名等）が漏えいしたが、他組織のシステムへの波及は公表されていない。システムの開発ベンダーに調査を依頼しているが、委託先起因とはされていない。
時系列
技術解説
攻撃の構造：設定不備→API認証情報→特権アカウント作成 事実
公式発表によれば、攻撃はCMSの設定不備を足掛かりにAPI認証情報を狙ったもので、攻撃者は特権ユーザーアカウントを新規作成し、そのアカウントでAPIリクエストを繰り返してデータを取得した。攻撃は9月9日の深夜（0:45〜1:25）と日中（13:42〜16:46）の2回に分かれ、検知は日中の攻撃中に送られた不審メールを受け取ったユーザーからの通報（14:53）による。つまり特権アカウントの不正作成や大量APIリクエストはシステム側の監視では検知されず、深夜の1回目から約14時間、外部通報まで気づけなかった。検知後も2回目のアクセスは16:46まで続いており、遮断まで約2時間を要したことになる。
見えにくい被害：属性情報と取引先・メール履歴 解釈
漏えいしたブロガー情報には氏名・連絡先に加え、結婚状況・子の有無・身長・肌タイプ・SNSアカウント・フォロワー数など、広告案件のマッチングに使う属性が含まれる。法的な高機微データには当たらないが、本人特定と組み合わせると私生活に踏み込む情報であり、ブロガーを名乗るなりすましや、案件依頼を装ったフィッシングの材料になりうる。送信メール11,237件・案件情報630件・取引先10,780件も流出しており、攻撃者は『誰にどんな依頼をしたか』の文脈を得ている。システムのテンプレートを使って100名に3通のメールが送られた点は、正規の送信基盤が悪用されうることを示す（メール内容は非公表）。
対応
- 封じ込め
- 不正アカウントの削除、CMS設定の変更、不正アクセスの原因となった脆弱性の解消、不正検知設定の強化。開発ベンダーへの調査依頼と外部会社によるフォレンジック調査を実施中。
- 公表の仕方
- 9月25日に対象ブロガーへメールで個別通知、9月28日に公式サイトでPDFを公表（不正アクセス時間帯・検知時刻・区分別件数・項目を開示）。CMS名や設定不備の内容は非公表。
- 当局対応
- 個人情報保護委員会：速報を報告済み、確報を準備中（9/28時点）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| CMSのAPI経由で特権ユーザーを作成できる設定になっていた | CMSのAPIトークンは用途別に最小スコープ（読み取り専用・特定コンテンツ型のみ）で発行し、ユーザー・ロール管理APIは管理ネットワークまたはIP許可リストからのみ許可。フロントエンドやビルド成果物にAPIキーが含まれていないかをCIのシークレットスキャンで検査する |
| 特権アカウントの新規作成と大量APIリクエストを自社で検知できず、利用者の通報で気づいた | 管理者・特権ロールの付与/アカウント作成イベントを即時アラート（Slack/PagerDuty）にし、トークン単位のAPIリクエスト数・取得件数にしきい値を設けて自動停止する。深夜帯の管理系操作は既定で通知対象にする |
| システムのメールテンプレート送信機能が攻撃者に悪用された | システムからの一斉・任意宛先送信は承認フロー（二者承認）を必須にし、送信先件数・頻度の上限とDMARC/送信ログの監視を設定する |
自組織などでの確認項目
- 自社で使っているCMS・ヘッドレスCMSのAPIトークンは、どの権限で、どこに保存され、誰が棚卸ししているか。ユーザー作成やロール変更ができるトークンは存在するか。
- 特権アカウントが深夜に新規作成された場合、何分以内に誰が気づく設計になっているか。利用者からの通報より先に気づけるか。
未解明点
- CMSの製品名・SaaSか自社ホスティングか、設定不備の具体的内容とAPI認証情報の取得経路
- 100名宛に送信された3通のメールの内容（フィッシング等の二次被害の有無）
- フォレンジック調査の結果と再発防止策の具体策
出典
- 1集英社2026-09-28公式本文確認済
- 2セキュリティ対策Lab（Rocket Boys）2026-09-29報道本文確認済