スマートシェアのSNSキャンペーンツール「OWNLY」への不正アクセス（参加者情報14,034件漏洩）
公表日
スマートシェアのSNSキャンペーンツール「OWNLY」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、対象の3キャンペーンに参加した利用者の情報14,034件（確定）が外部に閲覧・ダウンロードされました。
対象者は？
「モスのレシートチャレンジ」（LINE参加）、「モスでハロウィン プレゼントキャンペーン」（X参加）、「VALX×モスバーガーコラボ！レシートキャンペーン」（X参加）に参加した方。漏洩したのはXまたはLINEのユーザー名、ユーザーID、エントリー日時、抽選・クーポンの取得状況などです。氏名、住所、電話番号、メールアドレス、クレジットカード情報、SNSのパスワード等は含まれていません。
対象キャンペーンの参加履歴があるかをご確認ください。対象者のメールアドレス等を保有していないため個別連絡は行われず、公式のお知らせ掲載をもって通知とされています。
何が起きたのか
2026年10月16日未明、SNSキャンペーンツール「OWNLY」のファイルアップロード機能の不備を突いた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を監視システムが検知しました。通知設定の不備により担当者の把握に遅れが生じましたが、同日中に侵入経路が遮断されました。調査の結果、3つのキャンペーンに参加した計14,034件の情報が閲覧・ダウンロードされていたことが判明し、10月27日に公表されました。
なぜ起きたのか・なぜ広がったのか
OWNLYのファイルアップロード機能において受け付けるファイル形式の限定などの制御が不十分であったため、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を許しました。また、監視システムが検知していたものの、通知設定の不備により担当者による把握が遅れました。
いまの状況2026-10-27 時点続報待ち
受け付けるファイル形式を限定する機能修正や社内点検、全アカウントへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。点検、監視システムの通知設定見直しが完了しています。また、利用企業に対してパスワード変更や多要素認証設定の依頼が行われており、公表時点で二次被害は確認されていません。
企業として考えたいこと
自社システムの監視アラートが深夜や休日に検知された際、担当者に確実に届いて初動対応に移れる通知フローが維持されていますか？
技術的な要約
スマートシェア株式会社が提供するSNSキャンペーンツール「OWNLY」において、第三者による不正アクセスが発生し、キャンペーン参加者情報14,034件が外部に漏洩した。2026年10月16日未明に監視システムが検知し、同日中に侵入経路が遮断された。侵入経路はOWNLYのファイルアップロード機能の不備であり、サーバー上に保存されていたXやLINEのユーザー名、ユーザーID、エントリー日時、抽選・クーポン取得状況などの閲覧・ダウンロードが確認された。対象キャンペーンでは氏名、住所、クレジットカード情報、SNSパスワード等は収集しておらず、公表時点で二次被害は確認されていない。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認OWNLYのファイルアップロード機能の不備（受け付けるファイル形式の限定等の不備）
- 脆弱性
- CVE 非公表公表で確認OWNLYファイルアップロード機能の不備（受け付けるファイル形式の限定等の不備）
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公表時点で二次被害は確認されていない。中核業務停止の記載なし
- データ
- 確定上限 14,034確定 14,034件会員IDその他漏洩した情報はサーバー上に保存されていたXまたはLINEのユーザー名、ユーザーID、エントリー日時、抽選・クーポンの取得状況など。氏名、住所、電話番号、メールアドレス、クレジットカード情報、SNSパスワード等は含まれない。内訳は「モスのレシートチャレンジ」2,995件、「モスでハロウィン プレゼントキャンペーン」11,001件、「VALX×モスバーガーコラボ！レシートキャンペーン」38件の合計14,034件。
- 波及先
- 3 キャンペーン
- モスのレシートチャレンジ（LINE参加、2,995件）
- モスでハロウィン プレゼントキャンペーン（X参加、11,001件）
- VALX×モスバーガーコラボ！レシートキャンペーン（X参加、38件）
- 金銭影響
- —
- サプライチェーン
- 自社が提供するSNSキャンペーンツール「OWNLY」の不備を突かれ、同ツールを利用してキャンペーンを実施した企業の参加者情報が漏洩した。
時系列
- 2026-08-03対象キャンペーン「モスのレシートチャレンジ」（LINE参加）が開始（〜8月31日）1
- 2026-08-31「モスのレシートチャレンジ」が終了1
- 2026-10-01対象キャンペーン「VALX×モスバーガーコラボ！レシートキャンペーン」（X参加）が開始（〜10月21日）1
- 2026-10-15対象キャンペーン「モスでハロウィン プレゼントキャンペーン」（X参加）が開始（〜10月17日）1
- 2026-10-16未明に監視システムがファイルアップロード機能の不備を侵入経路とした不正アクセスを検知（通知設定の不備により開発担当者による把握は遅延）1
- 2026-10-16スマートシェアが同日中に侵入経路を遮断1
- 2026-10-17「モスでハロウィン プレゼントキャンペーン」が終了1
- 2026-10-21「VALX×モスバーガーコラボ！レシートキャンペーン」が終了1
- 2026-10-21個人情報保護委員会および総務省の関係機関に事態を報告1
- 2026-10-27スマートシェアが「OWNLY」への不正アクセスに伴うお客様情報漏洩に関するお詫びとお知らせを公表1
技術解説
不正アクセスの検知と侵入経路遮断の経緯 事実
2026年10月16日未明、スマートシェアが提供するSNSキャンペーンツール「OWNLY」において、ファイルアップロード機能の不備を侵入経路とする不正アクセスを監視システムが検知した。監視システムの通知設定に不備があったため開発担当者による把握は検知から遅れたものの、同社は検知と同日中に侵入経路の遮断を完了した。その後、2026年10月21日に個人情報保護委員会および総務省の関係機関へ報告を行い、10月27日に公表を実施した。公表時点で二次被害は確認されていない。
漏洩したデータの内容と対象キャンペーンの範囲 事実
本インシデントにおいて情報漏洩が確認されたのは、OWNLYを利用して実施された3つのキャンペーンである。「モスのレシートチャレンジ」（LINE参加、2,995件）、「モスでハロウィン プレゼントキャンペーン」（X参加、11,001件）、「VALX×モスバーガーコラボ！レシートキャンペーン」（X参加、38件）の合計14,034件の参加者情報が対象となった。サーバー上に保存されていたXまたはLINEのユーザー名、ユーザーID、エントリー日時、抽選・クーポンの取得状況などが不正アクセスによって閲覧およびダウンロードされた形跡が確認されている。なお、対象キャンペーンでは氏名、住所、電話番号、メールアドレス、クレジットカード情報、SNSのパスワード等は収集されておらず、これら3件以外のキャンペーンにおいて参加者情報が閲覧・取得された形跡は確認されていない。
ファイルアップロード制御とアラート通知運用の課題 解釈
Webアプリケーションにおけるファイルアップロード機能の不備は、攻撃者に任意の実行ファイルやWebシェルをサーバー上に配置され、リモートコード実行や内部データアクセスにつながる重大な脆弱性となり得る。本件では検知と同日中に侵入経路の遮断が行われたものの、監視システムが未明に不正アクセスを検知していながら、通知設定の不備によって開発担当者がリアルタイムに把握できなかった点が注目される。監視システムを導入していても、通知設定の誤りや確認フローの不備があると初動対応の遅延を招くリスクがあり、検知から担当者へのアラート伝達経路が正しく機能しているかを平時から検証しておく運用の重要性が浮き彫りとなった。
サプライチェーンリスクとデータ最小化による被害抑制 解釈
企業のマーケティング活動では外部のSaaSやキャンペーンプラットフォームを活用することが一般的であるが、外部ツールの脆弱性がサプライチェーンを通じてキャンペーン実施企業やその顧客に波及するリスクを内包している。一方で本件においては、キャンペーンの設計段階で氏名、住所、電話番号、メールアドレス、クレジットカード情報、パスワードといった高機微な個人情報を取得していなかったため、侵害が発生した際の実質的な被害範囲をアカウント識別子や抽選状況等に抑えることができた。サービスやキャンペーンの要件に応じた「データ最小化」の徹底が、万一の侵害時における被害拡大の防止策として有効に機能した事例といえる。
対応
- 封じ込め
- 不正アクセス検知と同日の2026年10月16日中に侵入経路を遮断。受け付けるファイル形式の限定等のファイルアップロード機能の修正、社内点検、全アカウントへの不正アクセス点検、利用企業へのパスワード変更・多要素認証設定等の依頼通知、監視システムの通知設定見直しを実施。
- 公表の仕方
- 2026年10月27日に公表。対象顧客のメールアドレス等の連絡先を保有していないため、お知らせの掲載をもって個人情報保護法に基づく本人通知に代えるとしている。
- 当局対応
- 個人情報保護委員会
- 総務省
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ファイルアップロード機能における受け入れ形式の制限不備による不正ファイル配置・実行リスク | アップロードを受け付けるファイルの拡張子・MIMEタイプ・マジックバイトをホワイトリスト形式で厳格に検証し、ファイル名をランダムな文字列にリネームした上で、実行権限のない外部オブジェクトストレージ（Amazon S3など）に直接隔離保存する。 |
| 監視システムの異常検知が通知設定の不備により担当者へ即時伝達されない形骸化リスク | 重要度「高」以上のアラートに対して、複数の通知チャネル（ビジネスチャット、SMS、電話呼出ツール等）を組み合わせたエスカレーションフローを構築し、定期的な擬似インシデント発報による疎通確認を運用手順に組み込む。 |
| 外部ツール・SaaSの脆弱性を起点とする委託元企業の顧客データ流出リスク | キャンペーン等の短期施策で利用する外部ツールであっても、導入前のセキュリティ設計レビューや脆弱性診断の実施有無を確認し、アクセスログの監視やAPIキー・管理者アカウントの保護設定（MFA、IP制限）を徹底する。 |
| キャンペーン等での過剰な個人情報取得によるインシデント発生時の被害拡大リスク | 応募時点ではSNSアカウント識別子や一時的なセッショントークンのみを保持し、当選後の賞品発送等に必要な氏名や住所は必要なタイミングに限定して取得・発送完了後に安全に削除するデータ最小化アーキテクチャを採用する。 |
自組織などでの確認項目
- 自社のWebサービスや社内システムにあるファイルアップロード機能において、拡張子やMIMEタイプのホワイトリスト検証、実行不可領域への保存、ウイルススキャンが徹底されているか。
- セキュリティ監視やインフラ監視システムにおいて、深夜や休日に発生した重大アラートが確実に担当者へ通知・エスカレーションされる設定になっているかをテスト・確認しているか。
- 自社が利用するマーケティングツールや外部SaaSにおいて、管理者アカウントの多要素認証（MFA）設定やアクセス元IP制限が適用されているか。
未解明点
- ファイルアップロード機能の不備を突いて実際にアップロードされたファイルの種類（Webシェル等）や、サーバー内での具体的な実行・探索経路の詳細。
- 監視システムのアラートが開発担当者に即時伝達されなかった具体的な通知設定の不備内容（宛先設定ミス、ミュート設定、しきい値の不備など）。
出典
- 1スマートシェア株式会社2026-10-27公式本文確認済