Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-voisingエンタメ・旅行最終確認 2026-10-13 10:00

VOISINGの社内BIツールへの不正アクセス（既知脆弱性の悪用、約17万件の個人情報漏えい・一部外部公開）

公表日

株式会社VOISING
最終報脆弱性悪用不正アクセス

2.5次元アイドル「いれいす」などが所属するVOISINGで、社内でデータ分析に使うツールが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、ファンクラブやオンラインストアの会員情報 約17万件が漏えいしました。一部の情報はSNSなどで公開されたことも確認されています。

対象者は？

VOISING ID、VOISING CONNECT、VOISING ONLINE STORE、いれいす公式ファンクラブ「いれらぶ」（リニューアル前を含む）、旧VOISINGアカウント、旧オンラインストア（いれいすとあ、すたぽらしょっぷ、クロノストア、ブラフラショップ）の会員です。退会した方や、しばらく使っていない方も含まれます。漏えいが確定したのは約17万件で、氏名、住所、電話番号、メールアドレス、生年月日、性別、購入履歴、応援しているタレント（推し）の情報などが含まれます。クレジットカード情報、口座情報、ログインパスワードは対象外です。SNS上で10件の公開が確認され、別のサイトで約5万件が公開されている可能性も確認されています。

対象の方には、2026年8月18日から順次、会社からお詫びのメールが送られています。

VOISINGのお知らせ（第四報・最終調査結果） ↗VOISINGのお知らせ（第三報・外部公開について） ↗

いますぐできること

  • VOISINGやタレントを名乗るメール・SMS・DMのリンクは開かず、公式サイトや公式アカウントから確認する
  • 推しの情報や購入履歴を知っている人からの連絡でも、個人情報や支払いを求められたら応じない
  • SNSなどで自分の情報が公開されているのを見つけたら、自分で広めずに会社の窓口に知らせる

何が起きたのか

2026年8月10日の深夜から、VOISINGが社内で使っていたデータ分析用のツール（BIツール）に、外部から不正なアクセスが行われました。8月16日の夜、ツールの中のデータがダウンロードされ、会社は同じ日の夜遅くに気づいて、翌日の未明までにシステムを止めました。8月20日に対象は最大約17万人と発表し、8月22日から23日にかけて、SNSなどで情報の一部が公開されていることを確認しました。9月30日に最終調査結果を発表し、約17万件の漏えいを確定しました。

なぜ起きたのか・なぜ広がったのか

ツールにはすでに知られていた弱点（脆弱性）があり、それを直す修正プログラムを当てる前に侵入されたと会社は説明しています。ツールの製品名や弱点の詳細は公表されていません。分析のために、複数のサービスの会員情報が1つのツールに集められていたため、さまざまなサービスの会員が対象になりました。

いまの状況2026-09-30 時点

ファンクラブやストアなどのサービスが止まったという発表はありません。問題のツールは元に戻さず廃棄しました。会社は、社内ツールをインターネットから見えないようにする、アクセスできる人や権限を必要最小限にするなどの再発防止策を発表しています。外部の専門機関による調査と、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。の監視を続けています。

企業として考えたいこと

自社で分析やレポートのために使っているツールに、お客様の情報がどれだけ集まっていて、インターネットから誰でもアクセスできる状態になっていないか、確認できているでしょうか。

技術的な要約

2.5次元アイドル「いれいす」等を擁するVOISINGで、社内利用のBIツールに2026年8月10日1時2分頃から外部の不正アクセスが行われ、8月16日18時47分〜20時21分にツール内のデータがダウンロードされた。同社は8月16日23時55分に事態を確認し、8月17日1時55分までにシステムを停止・遮断、攻撃者が作成したアカウントとAPIキーを無効化した。9月30日の第四報で、既知の脆弱性に修正プログラムを適用する前に侵入されたことが原因とし、約17万件（氏名・住所・電話番号・メールアドレス・生年月日・購買履歴・「推し」情報など）の漏えいを確定。8月22〜23日にはSNS上で10件、特定サイト上で約5万件のデータ公開（可能性）も確認されている。

侵入
2026-08-10 01:02
被害発生
2026-08-16 18:47
検知
2026-08-16 23:55
第1報公表
2026-08-18
最新続報
2026-09-30
侵入 → 検知
6日
侵入日から算出
検知 → 公表
2日
データ（上限）
17万件
確定 170,000
波及先
—

攻撃の分類

侵入口
公開サーバの脆弱性公表で確認
公式（第四報）：「当社が利用するBIツール」の既知の脆弱性を悪用され、修正プログラムを適用する前に侵入された。攻撃者はツール上にアカウントとAPIキーを作成していた（8/17に無効化）。再発防止策に「社内ツールの非公開化」を挙げており、当該BIツールがインターネットから到達可能だったと読める（推測）。製品名・CVEは全報を通じて非公表。
脆弱性
CVE 非公表不明
社内利用のBIツール（製品名非公表）
公式は「既知の脆弱性」「修正プログラム適用前に侵入」とのみ説明し、製品名・CVEは非公表。JPCERT/CCは2026-08-14にMetabaseのSQLインジェクション（CVE-2026-72898、認証不要で管理者権限取得、Metabase公表8/6、ゼロデイ悪用あり）の注意喚起（JPCERT-AT-2026-0023）を出し、10/8の注意喚起（JPCERT-AT-2026-0030）でも国内でBIツールが狙われ、同CVEの悪用試行を8月上旬〜9月上旬に観測したとしている。VOISINGの侵入開始（8/10）はMetabase公表の4日後で時期は符合するが、VOISINGの使用製品がMetabaseであるとする公式発表・報道は確認できなかった（関係は未確認）。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1136 Create AccountT1213 Data from Information Repositories

影響

業務停止
なし 停止したのは社内のBIツール（データ分析システム）のみで、ファンクラブ・ストア等の顧客向けサービス停止は公表されていない。BIツールは復旧せず廃棄。
データ
確定上限 170,000確定 170,000件
氏名住所電話メール生年月日性別購入履歴会員IDその他（決済金額記録、サービス加入状況、応援タレント（推し）の選択情報、ユーザー名）
第二報（8/20）で最大約17万人（暫定）、第四報（9/30）で約17万件の漏えいを確定（いずれも「約」）。退会者・休眠会員を含む。クレジットカード番号・有効期限・セキュリティコード、口座情報、ログインパスワードは当該システムに保持しておらず対象外。第三報（8/24）で、SNS上で10件（VOISING ID、氏名、ユーザー名、住所、電話番号、メールアドレス、性別）の公開を確認、特定サイト上で約5万件が公開されている可能性を確認。
波及先
—
金銭影響
—
サプライチェーン
漏えいしたのは自社サービス（自社タレントのファンクラブ・ストア等）の顧客情報で、他組織への波及は公表されていない。

時系列

  1. 2026-08-06
    （参考）MetabaseがCVE-2026-72898を公表（日本時間）。VOISINGの使用製品との関係は未確認6
  2. 2026-08-10 01:02
    社内BIツールへの外部からの不正アクセスが始まる1
  3. 2026-08-16 18:47
    20時21分にかけてツール内のデータが不正にダウンロードされる1
  4. 2026-08-16 23:55
    VOISINGが事態を確認1
  5. 2026-08-17 01:55
    この時刻までに該当システムを停止しネットワークから遮断。攻撃者が作成したアカウントとAPIキーを無効化14
  6. 2026-08-18
    第一報公表（件数調査中）。12時頃から対象者へお詫びメールを順次送信。警察へ相談・被害通報12
  7. 2026-08-20
    第二報。対象を最大約17万人（暫定）と公表、個人情報保護委員会へ速報提出済み2
  8. 2026-08-21
    ダークウェブのフォーラムにVOISINGのデータベースとする投稿（約5万人分と主張、報道）7
  9. 2026-08-22 11:00
    SNS上で一部情報（10件）の公開を検知。同日対象者へ個別連絡、プラットフォームへ削除要請3
  10. 2026-08-23 10:00
    特定サイト上で約5万件のデータが公開されている可能性を検知3
  11. 2026-08-24
    第三報（一部データの外部公開と注意喚起）3
  12. 2026-09-30
    第四報（最終調査結果）。既知脆弱性の修正適用前の侵入が原因、約17万件の漏えいを確定。BIツールは廃棄し、社内ツールの非公開化等の再発防止策を公表4

技術解説

攻撃の構造：パッチ適用前の既知脆弱性と「データ置き場」としてのBIツール 事実

公式発表によれば、攻撃者は社内利用のBIツールの既知脆弱性を修正プログラム適用前に悪用して侵入し、ツール上にアカウントとAPIキーを作成したうえで、約6日後（8/16夕方の約1時間半）に保管データをダウンロードした。BIツールは複数サービス（現行・旧ストア、ファンクラブ、旧アカウント）の顧客データを横断的に集約していたため、1つのツールの侵害で退会者・休眠会員を含む約17万件が一度に流出した。製品名は非公表だが、同時期にMetabaseの認証不要SQLインジェクション（CVE-2026-72898）が公表・悪用されており、JPCERT/CCも国内でBIツールが狙われていると注意喚起している。VOISINGがMetabaseを使っていたかは確認できない。

なぜ被害が出たか（解釈） 解釈

再発防止策に「脆弱性対応の期限規定と責任者の明確化」「社内ツールの非公開化」「個人情報の仮名化・最小化」が並ぶことから、①社内ツールの脆弱性管理に期限と責任者がなかった、②社内向けBIツールがインターネットに直接公開されていた、③分析用途に実名・住所等の生データを保持していた、の3点が同時に成立していたと読める。分析には仮名化データで足りることが多く、③だけでも外していれば流出の深刻度は大きく下がった。侵入から持ち出しまで6日、持ち出しから確認まで約3.5時間であり、攻撃者が作成したアカウント・APIキーの検知ができていれば持ち出し前に止められた可能性がある。

対応

封じ込め
8/17 1:55までにBIツールを停止・ネットワーク遮断、攻撃者作成のアカウントとAPIキーを無効化。修正プログラム適用、関連パスワード・アクセスキーを無効化・変更。侵害環境は復旧せず廃棄し資格情報を失効・更新。データ基盤へのアクセス経路を限定し監査ログ有効化、資格情報の棚卸しと最小権限化。第三者機関フォレンジックとダークウェブ監視を継続。SNS投稿の削除要請。
公表の仕方
8/18第一報（時刻付きの時系列、対象サービス、データ項目を開示、件数調査中）、8/20第二報（最大約17万人）、8/24第三報（外部公開の検知）、9/30第四報（原因と再発防止策）。BIツールの製品名・CVEは最後まで非公表。
当局対応
  • 個人情報保護委員会：8/20までに速報提出、その後確報に向け報告・相談
  • 警察：所轄警察署へ相談・被害通報

教訓と対策

教訓具体的な対策
社内向けBIツールがインターネットから到達可能で、既知脆弱性の修正が攻撃に間に合わなかったBIツール・管理画面はIdentity-Aware Proxy／VPN／IP制限の背後に置き公開しない。外部公開資産をASMで棚卸しし、KEV掲載や悪用確認済みの脆弱性は48〜72時間以内の適用期限と責任者を定める。即時適用できない場合はWAF・リバースプロキシで該当APIパス（例: Metabaseなら /api/session/reset_password）を遮断する
分析用BIに複数サービスの実名・住所・連絡先を生データのまま集約していたBIに連携するデータは会員IDをハッシュ化した仮名化テーブルに限定し、氏名・住所・電話・メールはカラム単位で除外する。退会者・休眠会員のデータは保持期限を定めて削除し、BIのDB接続アカウントは読み取り専用・必要スキーマのみに絞る
攻撃者がツール上でアカウント・APIキーを作成してから持ち出しまで6日間気づけなかったBIツールの監査ログをSIEMへ送り、管理者・新規ユーザー作成、APIキー発行、大量エクスポート／ダウンロードをリアルタイムでアラート化する。管理者作成は承認フロー必須にする

自組織などでの確認項目

  1. あなたの組織で使っているBIツール・ダッシュボード（Metabase、Redash、Superset等）はインターネットから直接到達できるか。そこに接続されたDBアカウントで、実名・住所・連絡先を全件エクスポートできてしまわないか。
  2. 「既知の脆弱性」の公表から修正適用まで、実際に何日かかっているか。悪用が確認された脆弱性について、期限と責任者は決まっているか。

未解明点

  • 悪用されたBIツールの製品名・バージョン・CVE（Metabase CVE-2026-72898との関係）
  • 8/10の侵入開始時点で当該脆弱性の修正版が公開されていたか、適用までの社内判断の経緯
  • 外部公開されたデータの一次流出元と、ダークウェブ投稿（約5万人分）との同一性
  • 17万件のサービス別内訳と、未成年会員の有無・人数

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10