事案の概要データ
| 公表日 | 2026年11月2日（第2報まで公表） |
|---|---|
| 不正アクセスの期間 | 2026年10月30日〜31日 |
| 件数 | 1,030,741件（モニター会員） |
| 漏えいした情報 | 会員ID、メールアドレス、ハッシュ化されたパスワード、姓名、電話番号の下4桁など |
| 原因 | 会員情報取得APIの脆弱性を突いた第三者の不正なアクセス |
| 対応 | モニター体験サイト「ファンくる」を一時停止 |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
モニター体験サイト「ファンくる」は2026年11月2日、会員情報取得APIの脆弱性を突いた第三者の不正なアクセスにより、2026年10月30日から31日にかけてモニター会員1,030,741件の情報が漏えいしたと公表しました。
漏えいした情報は、会員ID、メールアドレス、ハッシュ化されたパスワード、姓名、電話番号の下4桁などです。サイトは一時停止されています。
注目すべきは期間です。2日間で103万件。侵入から持ち出しまでの時間が極端に短い事案です。
APIの脆弱性とは、具体的に何なのか
「API」という言葉は、中小企業の経営者にはなじみが薄いと思います。かみくだくと、アプリやサイトの裏側でデータをやりとりする「窓口」です。
たとえばスマホアプリで会員情報を表示するとき、アプリは画面を見せているだけで、実際のデータはサーバーのAPIに取りに行っています。
この窓口でよく起きる欠陥が、「誰が頼んだか」を確認せずに渡してしまうことです。
本来は「Aさんのアプリから来た依頼だから、Aさんのデータだけ返す」という動きをします。ところが確認が甘いと、会員番号の数字を1つずつ変えるだけで、他人のデータが次々返ってくる状態になります。これを繰り返せば、全会員分が自動で集められます。2日間で103万件という速さは、こうした自動取得で説明がつきます。
本サイトではこの形の事故を何度も扱いました。2026年10月28日の店舗アプリ「トイポ」（APIの権限不備で約69万7千人分が取得できる状態と報じられた）、11月2日の日本アンチ・ドーピング機構（ログインを経ずに登録情報を取得できる脆弱性で1,792名）。同じ原因が繰り返されています。
中小企業がアプリやWeb会員サイトを業者に作ってもらっている場合、聞くべき質問は2つです。①APIは、ログインしている本人のデータだけを返す作りになっていますか。②IDの数字を変えて他人のデータが取れないか、テストしましたか。
専門用語では「アクセス制御の不備」「オブジェクトレベル認可の欠陥」と呼ばれます。言葉を覚える必要はありません。「他人の番号を入れたら、他人のデータが見えないか」と聞けば伝わります。
「ハッシュ化されたパスワード」「電話番号の下4桁」の読み方
公表されている項目には、工夫の跡があります。パスワードはハッシュ化（暗号化）されており、電話番号は下4桁しか保存していません。
これは設計として正しい方向です。フルの電話番号を持たないことで、漏えいしたときの被害が小さくなります。
ただし、油断できる水準ではありません。
①ハッシュ化パスワードは、方式次第で割り出されます。 よくあるパスワードは照合であっさり分かります。利用者は再設定が必要です。
②下4桁でも、他の情報と組み合わせると本人特定に使えます。 「電話番号の下4桁を確認させてください」という本人確認をしている会社は多く、その確認を突破する材料になります。
③姓名とメールアドレスがそろっています。 これだけで、本人向けの偽メールは十分に作れます。
利用者がやることは、いつもと同じです。ファンくるのパスワードを変える。同じパスワードを他で使っていたら、そちらも変える。
企業側の教訓は、「持たない」をもっと進めることです。電話番号の下4桁を持っている理由は何でしょうか。本人確認に使うためなら、その本人確認そのものが弱いということになります。電話番号の下4桁で本人確認をするのは、もうやめる時期です。
時系列で見る経過
- 2026年10月30日〜31日会員情報取得APIの脆弱性を突かれ、モニター会員1,030,741件の情報が持ち出される
- 2026年10月31日事象を把握（公表の経緯から）
- 2026年11月2日公表（第2報まで）。モニター体験サイト「ファンくる」を一時停止
中小企業が学ぶべきポイント
- 2日間で103万件。APIの脆弱性を突いた自動取得は、短時間で全会員分に届く。
- APIの欠陥でよくあるのは「誰が頼んだか」を確認せずに渡すこと。IDの数字を変えると他人のデータが返る。
- 業者に聞く質問は「他人の番号を入れたら他人のデータが見えないか、テストしましたか」。専門用語は不要。
- 同じ原因の事故が続いている（トイポ、日本アンチ・ドーピング機構）。自社アプリも同じ作りでないか確認する。
- ハッシュ化されたパスワードでも、方式次第で割り出される。利用者は再設定が必要。
- 電話番号を下4桁しか持たない設計は正しい。ただし下4桁は本人確認の突破材料にもなる。
- 電話番号の下4桁で本人確認をする運用は、もうやめる時期。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。