VOISINGの不正アクセス、最終報告(第4報)で原因が判明。BIツールの「既知の脆弱性」はなぜ塞がれないままだったのか確かめる

まず初めに

社内ツールに脆弱性があって、直せるはずのパッチを当てないまま放置していたら、ファン17万人分の「推し」情報ごと持っていかれた――。これはもう鍵を替え忘れた家に泥棒が入ったというより、鍵が壊れていることに気づいていたのに直さなかったような話だ。外部の専門家を入れて丁寧に調べ上げた事後対応の姿勢は評価したいが、そもそも「既知の脆弱性」という言葉が一番重い。知っていたのに、直っていなかったのだから。※個人の感想です

何が起きているのか

VOISINGは、バーチャルアイドルグループ「いれいす」の運営などを手がける企業で、会員向けサービス「VOISING ID」、公式ファンコミュニティ「VOISING CONNECT」、公式オンラインストア「VOISING ONLINE STORE」を提供しています。同社は2026年8月18日、これらのサービス利用者に関する情報を含む社内のBIツールに対し、外部から不正アクセスがあったと公表しました。

同社の説明によると、不正アクセスは2026年8月10日午前1時2分ごろから始まっており、データが実際に外部へ不正にダウンロードされたのは8月16日午後6時47分から午後8時21分にかけてでした。同日午後11時55分に社内で事態が確認され、翌17日午前1時55分までに該当システムの停止とネットワークからの遮断が完了しています。8月20日には、対象となりうる人数が最大で約17万人に上るとする第2報が公表されました。

2026年9月30日、VOISINGは外部専門機関による最終調査と社内精査が完了したとして、第4報(最終報告)を公表しました。この最終報告で、原因は業務用BIツールに存在していた既知の脆弱性であり、修正プログラムが提供される前にその脆弱性が悪用されたことだったと確定しています。最終的に漏えいした可能性がある個人情報は、氏名・住所・電話番号・メールアドレス・生年月日・性別に加え、購入履歴・決済金額の記録・サービスの加入状況、そして「推し」(応援対象タレント)の選択情報を含む最大約17万件です。クレジットカード番号やアカウントのパスワードは、対象システムとは別に管理されており、漏えいの対象には含まれていません。あわせて、調査の過程で一部の情報が実際に外部へ公開されていたことも確認されています。

VOISINGは再発防止策として、社内向けのBIツールなど業務用システムを、インターネットから直接アクセスできる状態に置かない構成へ見直すとしています。

なぜ重要なのか

今回の最終報告で最も重い事実は、原因が未知の「ゼロデイ脆弱性」ではなく、修正プログラムが存在していたはずの「既知の脆弱性」だったという点です。修正プログラムの適用が遅れたことが侵入を許した直接の原因であり、対策を取ろうと思えば取れた機会があったにもかかわらず、それが果たされないまま攻撃を受けた形になります。

また、ファンクラブ・オンラインストア・会員サービスという複数のサービスの利用者データを、1つのBIツールに集約して分析していたことも、被害の規模を広げた要因といえます。分析のための利便性と、情報を1カ所に集約することで生じるリスクは、常に背中合わせの関係にあります。加えて、「推し」(応援対象タレント)という、ファンの内面的な情報まで対象に含まれていた点は、一般的な氏名・住所の漏えいとは異なる種類の懸念を呼びます。

私たちへの影響

VOISING ID・VOISING CONNECT・VOISING ONLINE STOREのいずれかを利用していた人は、氏名・住所・電話番号・メールアドレス・生年月日・購入履歴・「推し」情報などが対象に含まれる可能性があります。クレジットカード番号やパスワードは対象外とされているため、これらを使った直接的な金銭被害の可能性は低いとされていますが、氏名や「推し」情報を使った標的型の詐欺・迷惑メールには引き続き注意が必要です。

企業にとっての教訓としては、複数サービスの利用者データを1つの分析基盤に集約する場合、その基盤自体のパッチ管理を特に厳格に行う必要があるという点が挙げられます。

よくある質問

Q. 自分のVOISING ID・購入履歴が対象に含まれているか確認するには?

A. VOISINGは対象となりうる利用者への案内を進めているとしています。登録しているメールアドレス宛ての通知や、VOISING公式サイトの発表を確認することが推奨されます。

初心者が知っておくべきこと

「BIツール」とは、複数のシステムに散らばったデータを集計・可視化し、経営判断や分析に役立てるための社内向けソフトウェアです。便利な一方、複数サービスの利用者情報を1カ所に集約することになるため、セキュリティ対策の優先度を他のシステムより高く保つ必要があります。

脆弱性には、今回のように修正プログラムがすでに存在する「既知の脆弱性」と、修正プログラムがまだ存在しない段階で悪用される「ゼロデイ脆弱性」があります。既知の脆弱性は、パッチを速やかに適用することで被害を防げる可能性がある一方、今回のように適用が間に合わなければ、ゼロデイと同様に侵入を許してしまいます。

IT Postの見方

IT Postでは、不正アクセスの発覚から半日足らずでシステムを停止し、外部専門家を交えて丁寧に原因を確定させたVOISINGの事後対応自体は、評価できる部分だと考えます。一方で、複数のサービス利用者の個人情報を集約したシステムにおいて、既知の脆弱性へのパッチ適用が間に合わなかったという事実は、事後対応の丁寧さとは別に問われるべき問題です。ファンの個人情報、とりわけ「推し」という内面に関わる情報まで扱う事業者には、一般的なECサイト以上に慎重なパッチ管理体制が求められるというのがIT Postの見方です。

今後どうなりそうか

個人情報を扱う事業者が一定規模の漏えいを確認した場合、個人情報保護委員会への報告が法令上求められています。VOISINGの今後の対応や、対象となった利用者への案内の進捗が注目されます。IT Postでは、新しい情報が確認され次第、あらためて取り上げます。