NEL株式会社は2026年10月29日、推し活プラットフォーム「osina」などに関わる個人情報235,329人分が外部に流出したと発表した。対象には銀行口座情報やSNS連携用の認証情報が含まれる一方、会員のメールアドレスとパスワード、クレジットカード情報は保有していないため対象外という。項目の内訳と利用者への案内を整理する
流出した項目の顔ぶれが、実に今どきである。住所や電話番号という古典的な顔ぶれに混じって、銀行口座情報と、SNS連携用の認証情報が並ぶ。認証情報というのは、平たく言えば「本人に成り代わってSNSを操作するための鍵」だ。パスワードそのものより始末が悪い場合がある。パスワードは変えれば済むが、連携の鍵は「連携を解除する」という操作を本人が思い付かない限り、静かに有効なまま残り続ける。推しを応援するためのプラットフォームで、応援する側のアカウントの鍵まで預かっていた。その預かり物の重さに、設計した側がどれだけ自覚的だったか。発表文を読む限りでは、そこが一番引っかかる。
※個人の感想です
NELによると、本件は2026年10月14日に発見しました。同社が利用していたデータ分析ツールの脆弱性を悪用した不正アクセスにより、個人情報が外部に流出したことを確認した、としています。侵入先は自社の基幹システムではなく、業務で利用していた外部の分析ツール側の脆弱性だった、という構図です。
同社は発見後直ちにアクセス制限などの必要な措置を実施し、10月29日時点で新たな不正アクセスは確認されていない、と説明しています。2026年10月17日には、個人情報保護委員会へ速報を提出しています。
対象者数は、個人情報保護委員会への速報における235,329人です。速報段階の人数であり、同社は被害範囲などの調査を引き続き進めているとしています。対象項目は登録状況により異なり、ログイン用の外部サービスIDと利用履歴のみが対象の人も含まれます。
osina会員については、氏名、住所、電話番号、生年月日、銀行口座情報（口座名義を含む）、報酬額、SNSアカウント名、SNS連携用の認証情報、ログイン用の外部サービスID（LINE・Apple）と利用履歴が対象です。このほか、IPアドレスなどの技術的な情報も含まれます。
取引先の担当者については、氏名、メールアドレス、ハッシュ化されたパスワードが対象です。問い合わせをした人については、氏名、メールアドレス、電話番号、会社名・役職、問い合わせ内容が、提携候補のクリエイターについては、活動名、年齢、性別、居住地、SNSのURLなどが対象に含まれます。
一方で同社は、会員のメールアドレスとパスワードは保有しておらず、クレジットカード情報も取り扱っていないため、これらは本件の対象に含まれていない、と明記しています。
同社は、対象者への通知を2026年10月29日に、osinaアプリ内のお知らせとプッシュ通知、メールなどで実施済みだとしています。退会済みなど連絡が届かない人については、本ページでのお知らせと問い合わせ窓口で案内する、としています。問い合わせ窓口は「情報セキュリティ対応窓口」で、メールでの受け付けのほか、受付時間は平日10時から19時までと案内されています。10月29日時点で、本件に起因する二次被害の申告は確認されていない、とのことです。
利用者への案内として同社は、SNS連携を利用している会員に対し、各SNSの公式アプリの「連携アプリ」などの設定からosinaとの連携状況を確認し、身に覚えのない投稿や設定変更がある場合は連携を解除するよう求めています。銀行口座を登録した会員に対しては、同社や金融機関を装って口座情報の確認や再登録、振込を求める連絡に注意するよう呼びかけています。また、同社がメールやSNSのメッセージ、電話などで、パスワードや認証コード、銀行口座情報の入力や送金をお願いすることはない、と明記しています。
Q. SNS連携の認証情報が漏れると、何が起きますか。
A. 同社は、連携用認証情報が対象の場合、第三者がその人のSNSアカウントで投稿や閲覧などを行うおそれがある、と説明しています。対策は、各SNSの公式アプリの設定画面で連携中のアプリを確認し、不要な連携や不審な連携を解除することです。身に覚えのない投稿や設定変更がないかも、あわせて確認してください。
Q. 銀行口座情報が対象だと、何をすればよいですか。
A. 同社は、身に覚えのない取引があった場合は金融機関の公式窓口へ相談するよう案内しています。また、口座情報の確認や再登録を求める連絡は詐欺の可能性があるため、連絡に記載された連絡先ではなく、金融機関の公式窓口へ自分から問い合わせるのが安全です。
Q. 自分が対象かどうかは、どうすれば分かりますか。
A. 対象となる人には、アプリ内のお知らせ、プッシュ通知、メールなどで10月29日に通知が実施済みです。退会済みで連絡が届かない人も含め、自身の対象情報の確認や相談は、同社の情報セキュリティ対応窓口（メール：osina-ads-support@nel-all.com、受付は平日10時から19時まで）で受け付けています。
IT Postでは、今回の発表は、対象外の情報の明示の仕方には評価できる点があると考えます。メールアドレスとパスワードは保有しておらず、カード情報は取り扱っていない、と理由まで付けて書かれているため、利用者は「自分が何を心配すべきか」を切り分けやすくなっています。
そのうえで焦点は、やはりSNS連携用の認証情報です。ログインのたびに入力するパスワードと違い、連携の認証情報は一度渡すと本人が意識しないまま残り続けます。osinaのように、SNSとの接続そのものがサービスの価値であるプラットフォームでは、この種の情報をどれだけ持ち、どう守るかが設計の中心であるべきでした。侵入経路が「利用していたデータ分析ツールの脆弱性」だった点も含め、預かった情報の置き場所全体が問われる事案だと思います。
※個人の感想です
同社は、再発防止策を順次実施するとともに、被害範囲などの調査を進めていくとしています。対象範囲の確定や、分析ツール側の脆弱性の詳細が公表されるかが次の確認点です。
IT Postでは、調査結果や再発防止策の続報が公表された場合は本記事を更新します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
グッドスマイルカンパニーは2026年10月29日、公式ショップへの不正アクセスについて第3報を公表した。クレジットカード決済ページに不正なプログラムが設置されていた期間があり、カード番号の全16桁・有効期限・セキュリティコード・名義人名が漏えいした可能性のある利用者が2,800名いるという。第2報までの説明が覆った経緯と、対象の区分、利用者が取るべき対応を整理する
アララ株式会社は2026年10月28日、メール配信サービス「アララ メッセージ」への不正アクセスで、エンドユーザーリストに登録されたメールアドレス約301万件が流出したことを確認したと発表した。メールアドレス以外の流出は確認されていないという。親会社の適時開示で追加された原因情報とあわせて、対象環境や再開見通しを整理する
花キューピットは2026年10月28日、運営する「インターネット花キューピット」などへの不正アクセスで、会員情報4,238,242件の漏えいを確認したと発表した。漏えいしたのはユーザーID、不可逆に暗号化されたパスワード、メールアドレスで、氏名・住所・クレジットカード番号は含まれていない。対象の条件と利用者への案内を整理する
日本航空と日本トランスオーシャン航空は2026年10月28日、旅客サービスシステムの委託先アマデウスへの不正アクセスで、予約情報約9万2000人分が外部から参照された形跡があったと発表した。約2000人分はパスポート番号や連絡先も対象。クレジットカード番号やパスワードの漏えいはなく、運航への影響もないという。対象の範囲と利用者が注意すべき点を整理する
ヤクルト本社は2026年10月30日、公式サイトへの不正アクセスで個人情報約4万件の漏えいを確認したと第2報で発表。問い合わせフォームの利用者、給食サイト「たのしい給食」の会員、報道関係者、対応した社員の4区分が対象で、件数と対象期間は調査中。経緯と利用者が取るべき対応を整理した
株式会社ワールドは2026年10月30日、連結子会社のティンパンアレイの業務サーバーへの不正アクセスで、会員情報 延べ約120万件が流出した可能性があると適時開示で発表。氏名・住所・電話番号・生年月日などが対象で、対象会員と件数の詳細は確認中。侵入は10月17日、検知は10月28日だった。経緯と未確認事項を整理した
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
