Weverse Companyのファンプラットフォーム Weverse への不正アクセス（アカウントID単位で422,584件の内部識別情報・決済取引情報が漏えい）
公表日
HYBE子会社Weverse Companyが運営するファンプラットフォームWeverseで、アカウントID単位で422,584件の内部識別情報と決済取引情報が漏えいしました。同社が挙げた項目に、氏名・連絡先・カード番号は含まれていません。
対象者は？
Weverseのアカウントのうち、アカウントID単位で422,584件が対象です(同社は流出規模を確認したと公表)。内容は、会員登録時に作られる内部の識別情報と、決済手段・決済ゲートウェイ名・通貨・購入金額・キャンセル金額・購入日時・購入状態・返金日時です。同社が挙げた項目に、氏名・連絡先・パスワード・完全なカード情報は含まれていません。
同社は関連法令の基準に従い、影響を受けた顧客へ個別に通知する手続きを実施したとしています。Weverse Shopのお知らせと、同社からの個別の通知をご確認ください。
いますぐできること
- Weverseや同社からの個別の通知が届いていないか確認する。
- Weverseを装ったメールやメッセージのリンクは開かず、公式アプリやサイトから確認する。
- 決済履歴や利用明細に身に覚えのない請求がないか、念のため見ておく。
何が起きたのか
2026年9月3日、韓国インターネット振興院(KISA)から、外部の報告者がWeverseサービスの脆弱性を指摘したという連絡が同社に届きました。同社はすぐに社内点検を始め、流出規模をアカウントID単位で422,584件と確認し、9月4日にKISAへ届け出ました。9月6日、Weverse Shopのお知らせで漏えいを公表し、謝罪しました。同社は決済情報を処理するAPIのアクセス制限を強め、内部識別子を削除しました。
なぜ起きたのか・なぜ広がったのか
同社は、外部の者が「異常な攻撃」で不正にアクセスしたと説明しています。報道では、決済情報を処理するAPIで内部識別子などが外から見られる状態だったと伝えられています。ただし、脆弱性の詳しい原因やデータが外に出ていた期間は、同社の通知では明らかにされておらず、まだ発表されていません。
いまの状況2026-09-14 時点続報待ち
2026年9月14日時点で、同社は外部に公開されているすべてのAPIの調査、デプロイ工程の管理強化、セキュリティ監視の強化を進めるとしています。情報を取得した外部者には回収を求め、法的責任を問う方針です。原因・露出期間・回収の進捗は、まだ発表されていません。補償についても、まだ発表されていません。
企業として考えたいこと
自社が外部に公開しているAPIは、画面に必要な情報だけを返す設計になっているでしょうか。外部から脆弱性の連絡が来たときに、すぐ動ける体制はありますか。
技術的な要約
HYBE子会社Weverse Companyが運営するファンプラットフォームWeverseで、アカウントID単位で422,584件の情報が漏えいした。2026年9月3日に韓国インターネット振興院（KISA）から外部報告者による脆弱性の指摘の連絡を受けて社内点検を行い、9月4日にKISAへ届け出、9月6日にWeverse Shopのお知らせで公表した。漏えいしたのは会員登録時に生成される内部識別情報と、決済手段・PG名・通貨・購入金額・キャンセル金額・購入日時・購入状態・返金日時などの取引情報で、氏名・連絡先・カード番号は挙げられていない。同社は決済情報処理APIのアクセス制御を強化して内部識別子情報を削除し、「異常な攻撃」で不正アクセスした外部者に情報の回収を要請して法的責任を追及する方針を示した。脆弱性の原因、露出期間、回収の進捗は通知で明らかにされていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明同社は、外部からのセキュリティ脆弱性の報告を受けて点検し、外部者が「異常な攻撃」で不正にアクセスしたとしている。脆弱性の原因は通知で明らかにされていない。対応として決済情報処理APIのアクセス制御を強化し内部識別子情報を削除した。
- 脆弱性
- CVE 非公表公表で確認Weverseサービス（決済情報処理API）外部報告者が指摘したセキュリティ脆弱性。製品・原因・CVEは非公表。対応として決済情報処理APIのアクセス制御強化と内部識別子の削除が行われた。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表は確認されていない。
- データ
- 確定上限 422,584確定 422,584アカウント会員ID購入履歴アカウントID単位で422,584件（レコード）。個人情報に分類された項目は内部識別情報（会員登録時に生成される内部の固有数値）。個人情報に当たらないとされた項目は購入種別（決済手段）、決済ゲートウェイ名、通貨種別、購入金額、キャンセル金額、購入日時、購入状態、返金日時。氏名・連絡先・パスワード・完全なカード情報は挙げられていない。同社は、これらだけで決済偽造や不正送金は起こりにくいとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害に関する公表は確認されていない。
時系列
- 2026-01
- 2026-09-03
- 2026-09-04
- 2026-09-06
- 2026-09-07侵害と流出データの内容を利用者に公表通知し、外部者に対する法的措置の意向も発表したと報じられた。5
- 2026-09-09報道で、前年の情報セキュリティ投資が前年比10.3%減の28億3,471万ウォンであったことなどが指摘された。6
- 2026-09-11改正個人情報保護法（課徴金は売上の最大10%）が施行。報道によれば、施行日以降に発覚した事案のみが対象のため同社は課徴金の対象外。6
- 2026-09-14WEVERSE JAPAN株式会社の9月6日付発表として、日本語でも一部顧客の個人情報流出が報じられた。3
技術解説
発覚から公表までの経緯 事実
Weverse Companyは2026年9月3日、韓国インターネット振興院(KISA)から、外部の報告者がWeverseサービスのセキュリティ脆弱性を指摘したとの連絡を受け、社内点検と緊急対応を始めた。点検の結果、流出規模はアカウントID単位で422,584件と確認された。9月4日には点検結果と対応状況を記した侵害(漏えい)届出をKISAへ提出した。9月6日夜には、CEOのYang Ju-il氏の名でWeverse Shopのお知らせに謝罪と事実関係を掲載した。対応として決済情報処理APIのアクセス制御を強化し、内部識別子情報を削除した。関連法令の基準に従い、影響を受けた顧客への個別通知手続きも実施したとしている。
漏えいした項目と同社の説明 事実
同社の通知によると、個人情報に分類された項目は、会員登録時に内部で生成される固有の数値(内部識別情報)である。個人情報に当たらないとされた項目は、購入種別(決済手段)、決済ゲートウェイ名、通貨種別、購入金額、キャンセル金額、購入日時、購入状態、返金日時である。同社が挙げた項目に、氏名・連絡先・パスワード・カード番号は含まれていない。同社は、これらの項目だけでは決済偽造や不正送金は起こりにくいと説明している。同社は「異常な攻撃」で不正にアクセスした外部者に情報の回収を要請し、法的責任を追及する意向を示した。サイバーセキュリティ総研(9月17日付)は、決済情報処理APIで内部識別子などが外部から参照可能な状態だったと説明している。
公表されていない事項と過去の事案 事実
同社の通知は、脆弱性の原因、データの露出期間、回収の進捗を明らかにしていない。報道によれば、通報者と不正アクセスした外部者が同一かどうかや、韓国外の利用者が含まれるかどうかも述べられていない。出典には同社のWeverse Shopのお知らせ(日本語版)が含まれ、そのほかは報道・研究者の記事である。Asiaeの報道では、2026年1月に社内従業員がイベント当選者らの個人情報を不正に漏らした事案があり、今回は同年2件目とされる。同報道は、前年の情報セキュリティ投資が前年比10.3%減の28億3,471万ウォンだったこと、2021年に会員137人の情報が露出し是正命令と700万ウォンの過料を受けたことも伝えている。
攻撃の構造と見えている範囲 解釈
公表された対応は、決済情報処理APIのアクセス制御強化、内部識別子の削除、外部公開APIの全面調査などである。報道の説明と合わせると、外部から呼び出せるAPIの応答に、本来は外へ返す必要のない内部識別子や取引情報が含まれていた可能性が高いと読める。ただし、認可不備か設定ミスかデプロイ時の問題かといった原因は、同社の通知では示されていない。「異常な攻撃」という表現も具体的な手口を示さず、悪用の方法や回数は分からない。そのため初期侵入の分類は「不明」とするのが妥当である。件数は確定として示されたが、露出期間が不明なため、実際に何者がどれだけ取得したかは外部から検証できない。
情報の性質とリスクの見立て 解釈
同社は、漏えい項目のみでは決済偽造や不正送金は起こりにくいと説明している。氏名や連絡先を含まない点は、被害の性質を限定する材料といえる。一方で、内部識別子と購入履歴の組み合わせは、他所で流出した情報と照合された場合に意味を持ち得る。Bitdefenderは、そのような照合が行われた公的な兆候は現時点でないと述べている。したがって二次被害の報告は見当たらないが、将来の照合リスクがないとまでは言い切れない。同社が示したリスク評価は同社の見解として扱い、利用者側はなりすましメールなどへの注意を続けるのが無難である。
規制面と公表対応の見方 解釈
報道によれば、9月11日施行の改正個人情報保護法(課徴金は売上の最大10%)は、施行日以降に発覚した事案のみが対象で、同社は対象外とされる。一方、個人情報保護委員会の関係者は、同種事案の繰り返しが違反の規模や重大性を評価する際の加重要素になり得ると述べたと報じられた。処分の有無や内容は、公表情報からは分からない。公表の面では、KISAからの連絡の翌日に届出、3日後に告知と短期間で進み、事実関係と対策、法的措置の方針が示された。一方で原因と露出期間が未公表のため、利用者が自らのリスクを判断する材料は限られており、続報が待たれる。
対応
- 封じ込め
- KISAからの連絡後、社内点検と緊急対応を実施。決済情報処理APIのアクセス制御を強化し、外部への露出を防ぐため内部識別子情報を削除した。「異常な攻撃」で不正アクセスした外部者には該当個人情報の回収（返還）を要請した。今後は外部公開されている全APIの調査、アクセス制御強化、露出情報の最小化、デプロイ工程の管理強化、セキュリティ監視の感度向上を行うとしている。
- 公表の仕方
- 2026年9月6日夜、CEOのYang Ju-il氏名でWeverse Shopのお知らせにて公表。関連法令の基準に従い、影響を受けた顧客への個別通知手続きを実施したとしている。外部者に対する法的責任を追及する意向。通知では脆弱性の原因、データの露出期間、回収の進捗は明らかにされていない。
- 当局対応
- 韓国インターネット振興院（KISA）：9月3日に外部報告の連絡を受け、9月4日に漏えい届出を提出
- 個人情報保護委員会：関係者が、同種事案の繰り返しは違反の規模や重大性を評価する際の加重要素となり得ると述べたと報じられた（Asiae）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済情報処理APIで、内部識別子などが外部から参照可能な状態だったと報じられた。公開APIの応答に業務上不要な項目が含まれていた可能性がある。 | 公開APIごとにレスポンススキーマを棚卸しし、DTOや許可リストで必要最小限のフィールドのみ返す。内部IDは外部向けの別名(トークン化したID)に置き換える。 |
| 外部報告者の指摘がKISA経由で同社に届き、そこから対応が始まった。 | security.txtや報告フォームで脆弱性開示窓口を設け、受付から一次対応までのSLAと担当者を決め、受領後の初動を訓練しておく。 |
| 決済関連APIのアクセス制御が十分に機能しなかった可能性があり、認可の継続的な確認が要る。 | オブジェクト単位の認可(IDOR対策)をAPIゲートウェイと各サービスの両方で実装し、認可テストをCIに組み込む。決済系APIは定期的にペネトレーションテストを行う。 |
| 露出期間や取得された範囲が公表されておらず、被害の全体像が外部から分からない。 | APIアクセスログ(呼び出し元、パラメータ、応答サイズ)を十分な期間保存し、列挙や大量取得を検知するルールとアラートを実装する。 |
| 再発防止策にデプロイ工程の管理強化が挙げられており、変更時にアクセス制御が外れる事故が起こり得る。 | リリース前に認証・認可の自動回帰テストとAPI仕様の差分レビューを必須化し、公開エンドポイントの追加・変更を検知して承認フローを通す。 |
| 同年1月の従業員による漏えいに続く2件目とされ、過去事案を持つ事業者は再発時の規制上の評価に影響し得る。 | 過去事案の是正策をチェックリストと監査項目に落とし込んで定期検証し、完了状況を経営層に報告する。 |
自組織などでの確認項目
- 自社の公開APIが返すフィールドのうち、画面表示に使っていないものは何か。一覧にして確認できているか。
- 外部の研究者や当局から脆弱性の指摘が届いた場合、誰が受け取り、何時間以内に一次対応を始める決まりか。
- 自社のAPIで、ログイン済みの別ユーザーのIDを指定した場合に拒否される認可テストは、リリースごとに自動実行されているか。
- 漏えいの疑いが出たときに、露出期間と取得された件数をAPIログから算出できるだけの保存期間と項目が揃っているか。
未解明点
- 脆弱性の具体的な原因(認可不備、設定ミス、デプロイ時の問題など)は何か。同社の通知では示されていない。
- データはいつから外部に露出していたのか。露出期間は公表されていない。
- 「異常な攻撃」の具体的な手口と、取得された範囲・回数はどうだったのか。
- 外部者への回収要請に対する応答と、情報の回収の進捗はどうなっているのか。
- 通報者と不正アクセスした外部者は同一か。また、韓国外の利用者は含まれるか。
- 規制当局による調査結果や処分の有無はどうなるのか。
- 被害を受けた利用者への補償や支援の有無は、まだ発表されていない。
出典
- 1
- 2SBS Entertainment News (SBSi)2026-09-07報道本文確認済
- 3ScanNetSecurity2026-09-14報道本文確認済
- 4Sports Kyunghyang2026-09-06報道本文確認済
- 5ThreatCluster2026-09-08報道本文確認済
- 6The Asia Business Daily2026-09-09報道本文確認済
- 7Bitdefender2026-09-07研究者本文確認済
- 8The Korea Herald2026-09-07報道本文確認済
- 9Korea JoongAng Daily2026-09-07報道本文確認済
- 10Music Business Worldwide2026-09-08報道本文確認済
- 11Soompi2026-09-07報道本文確認済
- 12STARNEWS2026-09-07報道本文確認済
- 13サイバーセキュリティ総研2026-09-17報道本文確認済
- 14Weverse Shop公式本文確認済