バンダイチャンネル 大量不正退会事件（2025年）

1. 事件の概要

2025年11月、アニメや特撮などを配信する動画サービス「バンダイチャンネル」が、サイバー攻撃を受けました。何者かが会員のアカウントに不正アクセスし、約4万6,812人分の会員を勝手に退会処理。運営会社は全サービスを一時停止せざるを得なくなりました。

この事件が大きく注目されたのは、攻撃したのが当時14歳（中学3年）の少年であり、しかも対話型の生成AI「ChatGPT」を使って攻撃用のプログラムを自作していた点です。少年は独学で専門知識を身につけ、サイトの弱点を見つけ出し、AIの力を借りて「誰でも退会できてしまう」処理を自動化していました。「高い技術を持つ大人」でなくても、AIを使えば大きな被害を出せる時代になったことを示す象徴的な事件です。

2. 被害の内容と規模

2025年11月4日の夕方から夜にかけて不正アクセスが行われ、約4万6,812アカウントが本人の意思とは関係なく退会処理されました。さらに、最大で約136.6万件の情報が漏えいした可能性があると公表されています。

漏えいの可能性がある情報

• メールアドレス
• ニックネーム
• バンダイナムココインの残高情報
• 支払い方法

一方で、パスワードやクレジットカード番号は含まれていないと説明されています。

主な影響

• 運営会社は2025年11月6日23時30分に全サービスを停止。安全対策を講じたうえで、同年12月19日12時に再開しました（約6週間の停止）。
• 停止期間中の利用料金は返金対応がとられました。
• 退会させられた会員は、視聴やアカウントの利用ができなくなり、復旧対応が必要になりました。

3. 原因と手口

侵入の入り口

• 認証（ログイン確認）の脆弱性：報道によれば、少年はサイトの通信内容を解析し、本来必要なID・パスワードがなくてもログインできてしまう穴を見つけたとされます。この「なりすまし可能な弱点」が攻撃の起点になりました。

攻撃の流れと背景

1. 弱点の発見：サイトとサーバーのやり取り（通信）を観察し、システムの脆弱性を特定。
2. 不正プログラムの自作：対話型AI「ChatGPT」を使い、退会処理を自動で繰り返すプログラムを作成。
3. 大量退会の実行：そのプログラムで多数の会員を次々と退会処理し、運営を混乱させた。

• 生成AIによる“技術の壁”の低下：少年は小学生の頃からパソコンに親しみ独学で学んだとされますが、攻撃プログラムの完成にはAIの補助が大きく働いたとみられます。専門家でなくても攻撃コードを作れてしまう危うさが露呈しました。
• 「認証」設計の甘さ：ID・パスワードなしで操作できる穴があったこと自体が、根本的な設計・実装上の問題でした。

4. 対策と教訓

この事件は、「認証（本人確認）の作り込み」と「AI時代の脅威への備え」という2つの宿題を突きつけました。特にWebサービスや会員システムを持つ企業は、次の点を確認してください。

企業がとるべき対策

• 認証・権限チェックを徹底する：「ログインしているか」「本人か」「その操作をしてよい人か」を、退会など重要な操作のたびにサーバー側で確認する。画面上で隠すだけでは不十分。
• 重要操作には本人確認を追加する：退会・解約・情報変更などには、パスワード再入力や多要素認証（MFA）、確認メールなどのひと手間を設ける。
• 異常な操作を検知・制限する：短時間に大量の退会処理が走るなど、通常あり得ない動きを自動で検知し、止める仕組み（レート制限・アラート）を持つ。
• 脆弱性診断を定期的に受ける：通信の解析で穴が見つかる前に、専門家による診断（ペネトレーションテスト）で自ら弱点を洗い出す。
• ログを取り、いつでも追える状態にする：「誰が・いつ・何をしたか」を記録し、被害の早期発見と原因究明に備える。
• 復旧・返金・公表の手順を準備する：サービス停止を前提に、会員への通知・料金返金・状況公表の段取りを平時から決めておく。

5. まとめ

バンダイチャンネルの事件は、認証（本人確認）の穴と生成AIの悪用が組み合わさって起きました。攻撃者が14歳の少年であったことは、「AIが悪意ある人の技術の壁を下げる」という新しい現実を象徴しています。教訓は——重要操作ごとの認証・権限チェック、異常検知、定期的な脆弱性診断を徹底すること。AI時代の攻撃は、規模の大小を問わず、あらゆるWebサービスに向けられます。