集英社『HAPPY PLUS COMMUNITY』不正アクセス、ブロガー2,835人の結婚状況まで漏れたのはなぜか。CMS設定不備の中身を探る

まず初めに

ブロガーの結婚状況や子どもの有無、身長、肌タイプまで漏れたという。読者向けの企画やタイアップ先の選定に使う情報だとしても、ここまで細かい属性データを1か所に溜め込んでいたという事実そのものに驚く。攻撃の入口はCMSの設定不備という、決して目新しい手口ではない。目新しくない攻撃に、目新しくない設定ミスで応えてしまった結果、人ひとりの身体的特徴まで含む情報が持っていかれた——この組み合わせの悪さが、今回の漏えいの本質だろう。※個人の感想です

何が起きているのか

「HAPPY PLUS COMMUNITY」は、集英社が運営するファッション誌メディアで活動するブロガーの情報を管理し、連絡を取り合うためのシステムです。発表によると、このシステムが利用しているCMSの設定不備に起因して、API認証情報を狙った攻撃が行われ、不正に強い権限を持つユーザーアカウントが作成されました。このアカウントを使ってAPI(システム同士が情報をやり取りするための仕組み)のリクエストが繰り返し実行され、情報が持ち出されたとみられています。

不正アクセスが行われたのは2026年9月9日で、深夜0時45分から1時25分、および13時42分から16時46分の2つの時間帯にわたって行われました。侵入中、システムのメール送信機能を使ったテンプレートメールが100人分のメールアドレス宛に送信され、それを受け取った人からの通報によって不正アクセスが発覚しました。

調査の結果、ブロガー2,835人分の個人情報が漏えいしたことが確認されました。具体的には氏名、メールアドレス、住所、電話番号、生年月日、性別、職業、プロフィール画像、SNSアカウント、フォロワー数、結婚状況、子の有無、身長、肌タイプなどです。あわせて、ブログ・撮影・イベント参加に関する案件情報630件、システムから送信されたメールの情報11,237件、取引先一覧情報10,780件も対象に含まれていました。

なぜ重要なのか

今回の漏えいで特に注目すべきは、通常の個人情報漏えい事案ではあまり見られない「結婚状況」「子の有無」「身長」「肌タイプ」といった、本人の生活・身体に関する詳細な情報まで含まれていた点です。メディア企業がタイアップ企画やキャスティングのためにこうした属性情報を蓄積すること自体は珍しくありませんが、その分、漏えいした場合の情報の重みも大きくなります。

また、原因が「CMSの設定不備」という、新しい脆弱性ではなく運用上の見落としだった点も重要です。強い権限を持つアカウントが不正に作成されても気づけなかったという事実は、アカウントの権限管理や、異常なAPI呼び出しを検知する仕組みが十分でなかったことを示しています。

私たちへの影響

対象となったのは「HAPPY PLUS COMMUNITY」に登録していたブロガー2,835人です。一般の雑誌読者が直接影響を受けるものではありませんが、対象となったブロガーは、メールアドレスや電話番号を使った不審な連絡、SNSアカウント情報を使ったなりすましなどに注意が必要です。結婚状況や子の有無といった情報が漏れている点も踏まえ、身元が推測されやすい内容を含むなりすましや詐欺的な接触には、通常以上の警戒が必要です。

初心者が知っておくべきこと

「CMS」とは、Webサイトの文章や画像、会員情報などを管理するためのソフトウェアの総称です。多くの企業がCMSを使ってサイトやシステムを運用していますが、設定を誤ると、本来は制限されるべき操作ができるようになってしまうことがあります。今回のように、APIの認証情報が狙われるケースでは、通常のログイン画面を突破されていなくても、裏側の仕組みを経由して情報が盗まれることがあります。

IT Postの見方

IT Postでは、今回の事案が、メディア企業がブロガーやインフルエンサーといった「取引先個人」の属性情報を、必要以上に細かく、かつ一元的に蓄積していたことのリスクを浮き彫りにしたと考えます。氏名や連絡先だけでなく、結婚状況や身体的特徴まで一つのシステムに集約する運用は、業務上の便利さと引き換えに、漏えい時の被害を大きくする設計だったと言えます。ビジネス上の必要性と、個人情報を集約することのリスクをどこまで天秤にかけるか、メディア企業全体で見直す余地があるのではないかというのがIT Postの見方です。※個人の感想です

今後どうなりそうか

集英社は外部の調査会社によるフォレンジック調査(システムの記録を分析する調査)を進めており、個人情報保護委員会への報告も行ったとしています。対象となったブロガーへは9月25日にメールで通知済みです。IT Postでは、調査結果や再発防止策について新たな発表があれば取り上げます。