調査完了最終更新 2026-09-30

株式会社VOISING

エンターテインメント（2.5次元アイドル・タレント事業）／未公表／東京

不正アクセス情報漏洩

2026年8月10日1時2分頃から、株式会社VOISINGが社内で利用するBIツール（ビジネスインテリジェンスツール）に外部から不正アクセスが行われ、8月16日18時47分から20時21分にかけて同ツール内のデータが不正に取得（ダウンロード）された。同社は8月16日23時55分に事態を確認し、8月17日1時55分までにシステムを停止・遮断した。8月18日に第一報を公表。9月30日の第四報で、BIツールの既知脆弱性が修正プログラム適用前に悪用されたことが原因とし、漏えいが確認された件数を約17万件と公表した。8月24日の第三報では、SNS上で10件の公開を確認し、特定サイト上で約5万件が公開されている可能性があるとしている。

用語をタップで解説 ›

きっかけ・侵入経路

公式発表侵入経路

2026年8月10日1時2分頃から、社内で利用するBIツールに外部からの不正アクセスが開始され、8月16日18時47分から20時21分にかけ、同ツール内に保管されていたデータが不正に取得（ダウンロード）された。原因はBIツールの脆弱性の悪用で、修正プログラム適用前の段階で不正アクセスが行われ侵入された。第四報では、既知の脆弱性に対する修正の適用が、脆弱性情報の公開から攻撃までの時間軸に間に合わなかったことが直接の原因としている。攻撃者が作成したアカウントおよびAPIキーの存在も示されている。

攻撃者不明（攻撃者は公表されていない）

被害・漏洩

公式発表

漏洩件数

推定・上限（漏洩の可能性）

別枠の「可能性」件数としては、第三報（8月24日）で特定サイト上で公開されている可能性があるデータ約5万件を示している（外部公開の可能性であり、漏えい件数とは別）。第二報（8月20日）の「想定される対象人数の最大値約17万人」（暫定値）は、第四報で確認件数に置き換えられた。

実際の漏洩はこれより少ない場合があります

確認済み（確定値）

漏えいが確認された件数：約17万件（第四報、2026年9月30日）。対象は同社運営サービス（VOISING ID、VOISING CONNECT、VOISING ONLINE STORE、いれらぶ、旧VOISINGアカウント、旧オンラインストア各店）を利用した全ての顧客（退会者・休眠顧客を含む）。

漏洩した情報の種類

氏名住所電話番号メールアドレス生年月日性別購買履歴決済金額記録サービス加入状況応援対象タレント（推し）の選択情報

含まれない情報：クレジットカード番号、有効期限、セキュリティコード、口座情報等の決済情報、およびログインパスワードに相当する情報は当該システムに保持しておらず、漏えい対象に含まれない。

組織が把握できていないこと

約17万件は第四報で「漏えいが確認された件数」として示されたが、件数単位（第二報は「人」、第四報は「件」）の差異について説明はない。BIツールの製品名・脆弱性識別子（CVE等）は公表されていない。外部公開したのが誰か、攻撃者の属性は公表されていない。

対応と結末

公式発表経営層への説明に効く

身代金の要求

不明

身代金の支払い

不明

企業が公表していません

復旧手段

8月17日1時55分までに該当システムを停止しネットワークから遮断。脆弱性に対する修正プログラムを適用し、関連する全パスワード・アクセスキーを無効化・変更。攻撃者が作成したアカウントおよびAPIキーを無効化し、侵害を受けた環境は復旧せず廃棄、資格情報はすべて失効・更新。8月18日12時頃から対象顧客へお詫び・注意喚起メールを順次送信。所轄警察署へ相談・通報し、個人情報保護委員会へ報告。SNS上の投稿への削除要請、第三者機関によるフォレンジック調査とダークウェブ監視を実施。

再発防止策

データ基盤へのアクセス経路の限定、監査ログの有効化、資格情報の棚卸しと最小権限化を実施済み。今後、脆弱性情報の受信体制と深刻度に応じた対応期限の規定・判断責任者の明確化、社内ツールをインターネットへ直接公開しない構成への見直し、BIツール上の個人情報の仮名化・最小化、大量データ取得や不審な管理操作の検知・通知監視の強化、ログ集約と保管期間の延長、インシデント対応計画の整備と訓練、外部専門機関による評価を行うとしている。