事案の概要データ
| 公表日 | 2026年10月24日 |
|---|---|
| 不正アクセスの発生 | 2026年10月21日 9時30分頃〜13時00分頃（約3時間半） |
| 対象 | チャリロトアプリ利用者のうちチャリカ会員 373名 |
| 漏えいした会員情報 | 会員ID、氏名、生年月日、性別、郵便番号、住所、メール、サブメールアドレス、チャリカ残高、ニックネーム、電話番号、会員ランク、オートチャージ種別、通知設定 |
| 漏えいした銀行口座情報 | 銀行名、支店名、口座種別、口座番号、名義（氏名カナ） |
| 漏えいしたカード情報 | カード名義、カード番号（下4桁のみ）、有効期限、ブランド |
| 漏えいしたチャリカ情報 | 払戻金残高、入出金履歴、精算履歴、チャリカ残高、入金合計、当日購入額、当日払戻額、購入可能額 |
| 漏えいした投票履歴 | 場、レース、券種、買い目、購入金額、的中、払戻金額 |
| 漏えいしていない情報 | ログインパスワード、クレジットカード番号の全桁、セキュリティコード |
| 原因 | システムの脆弱性を悪用した第三者による不正アクセス（脆弱性の内容は非公表） |
| 二次被害 | 2026年10月24日時点で確認されていない |
| 対策の状況 | 脆弱性の修正を完了し、同じ手法での不正アクセスは防止できる状態と説明 |
図解：この事故の構造
- 10月21日 9:30〜13:00脆弱性を悪用した不正アクセス（約3時間半）
- ↓ 発見まで1日
- 10月22日セキュリティ点検で不審なログを発見。アプリを停止して緊急メンテナンス
- ↓ 修正まで2日
- 10月23日脆弱性を修正し、サービス再開
- ↓ 公表まで3日
- 10月24日373名の被害を特定し、本人通知と公表
何が起きたのか
チャリ・ロトは2026年10月24日、同社が運営する競輪・オートレースの投票サービス「チャリロト」のアプリに不正アクセスがあり、チャリカ会員373名の情報が不正に取得されたと公表しました。
不正アクセスが行われたのは10月21日の9時30分頃から13時00分頃まで、約3時間半です。原因はシステムの脆弱性（弱点）を悪用されたことでした。脆弱性の具体的な内容は公表されていません。
何が漏れて、何が漏れていないか
漏えいした情報は広範囲です。会員ID・氏名・生年月日・性別・住所・電話番号といった基本情報に加えて、銀行口座情報（銀行名、支店名、口座種別、口座番号、名義カナ）、クレジットカード情報の一部（カード名義、番号の下4桁、有効期限、ブランド）が含まれます。
さらに、チャリカ（同サービスの電子マネー）の残高や入出金履歴、精算履歴、そして投票履歴（場、レース、券種、買い目、購入金額、的中、払戻金額）まで取得されています。
一方で、ログインパスワード、クレジットカード番号の全桁、セキュリティコードは漏えいしていないと明記されています。この3つが守られていたことは重要です。そろっていればカードの不正利用に直結します。
投票履歴が漏れるということ
この事案で、件数以上に注意すべきなのが投票履歴です。
どのレースに、いくら賭けて、いくら当たったか。これは本人にとって、他人に知られたくない情報です。住所や電話番号と違って、再発行も変更もできません。
個人情報保護法が守るのは「個人を特定できる情報」ですが、実際に本人が困るのは、こうした本人の行動や趣味嗜好が分かる情報であることが多いです。
自社が預かっているデータに、同じ性質のものがないか確認してください。購買履歴、閲覧履歴、相談内容、来店記録、問い合わせの中身。氏名や住所より、こちらのほうが本人にとって深刻なことがあります。
そして、こうしたデータは「あとで分析に使えるから」という理由でいつまでも残されがちです。
対応は速かった
時系列を見ると、この会社の対応は速いです。
10月21日に不正アクセスが発生。翌10月22日の情報セキュリティ点検で不審なログを発見し、対応チームを立ち上げて調査、脆弱性を悪用した不正アクセスと判明したため、アプリサービスを停止して緊急メンテナンスに入りました。
10月23日に脆弱性の修正を反映し、安全性を確認してサービスを再開。10月24日に影響範囲を精査して取得された情報を特定し、本人通知と公表を行っています。
発生から公表まで3日、脆弱性の修正まで2日です。
ポイントは「翌日の点検で不審なログを発見した」ことです。ログを定期的に点検する仕組みがあったから、3時間半の侵入を翌日に見つけられました。これがなければ、数週間後に外部から指摘されて初めて気づく、という流れになっていたはずです。
中小企業が学べること
1. ログを定期的に点検する。 本件は「情報セキュリティの点検で不審なログを発見」したことが起点です。入れておくだけでなく、見る日を決めてください。
2. 止める判断を速くする。 不正アクセスと分かった時点でアプリを停止しています。サービスを止めるのは勇気が要りますが、動かし続けて被害が広がるより安全です。止める基準を、平時に決めておいてください。
3. 持っているデータの性質を点検する。 カード番号の全桁やセキュリティコードを保持していなかったことで、最悪の被害は避けられました。「持たない」ことが最も強い対策です。
4. 公表の内容を具体的に書く。 本件の公表は、漏えいした項目を細かく列挙し、漏えいしていないものも明記しています。読んだ人が「自分は何を心配すべきか」を判断できる書き方です。
時系列で見る経過
- 2026年10月21日 9:30頃〜13:00頃脆弱性を悪用した第三者による不正アクセスが発生
- 2026年10月22日情報セキュリティの点検で不審なログを発見。対応チームを立ち上げ、脆弱性を悪用した不正アクセスと判明。アプリサービスを停止し緊急メンテナンスを開始
- 2026年10月23日脆弱性の修正を反映。安全性を確認して緊急メンテナンスを終了し、サービスを再開
- 2026年10月24日影響範囲を精査し、不正に取得された情報を特定。チャリカ会員373名への本人通知と公表を実施。個人情報保護委員会へ速報済み
解決までの道のり
翌日のログ点検で侵入を発見し、2日で脆弱性を修正してサービスを再開。3日で373名の被害を特定して公表した。
対応の流れ
- 2026年10月22日情報セキュリティの点検で不審なログを発見。アプリサービスを停止し緊急メンテナンスを開始
- 2026年10月23日脆弱性の修正を反映し、安全性を確認してサービスを再開
- 2026年10月24日影響範囲を精査して不正に取得された情報を特定。373名への本人通知と公表、個人情報保護委員会へ速報
解決できたポイント／残った課題
- 定期的なログ点検があったため、約3時間半の侵入を翌日に発見できた
- 不正アクセスと判明した時点でサービスを停止する判断ができた
- カード番号の全桁とセキュリティコードを保持していなかったため、最悪の被害を避けられた
- 公表文に漏えいした項目と漏えいしていない項目の両方を明記している
- ただし悪用された脆弱性の内容は公表されておらず、同種のシステムを持つ他社が学べる情報は限られる
中小企業が学ぶべきポイント
- ログを「点検する日」を決める。本件は翌日の点検で3時間半の侵入を発見した。
- 不正アクセスと分かったらサービスを止める。止める基準を平時に決めておく。
- カード番号の全桁とセキュリティコードを持っていなかったため、最悪の被害を避けられた。持たないことが最強の対策。
- 投票履歴・購買履歴のような「本人の行動が分かる情報」は、住所より本人を困らせることがある。
- 公表文には漏えいした項目と漏えいしていない項目の両方を書く。読む人が判断できる。
- 発生から3日で修正・公表まで到達している。速さは信頼を守る。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。