集英社のファッション誌で活動するブロガーの情報管理・連絡用システム「HAPPY PLUS COMMUNITY（ハピコミュ）」に不正アクセスがあり、登録者2,835人分の個人情報などが流出しました。集英社は、CMSの設定不備を起点に特権ユーザーアカウントが不正に作成され、APIリクエストが繰り返されたと説明しています。
ブロガー2,835人分の登録情報が流出
流出した情報には、氏名、メールアドレス、住所、電話番号、生年月日、性別、職業が含まれます。プロフィール画像やプロフィール情報、SNSアカウント、フォロワー数、結婚状況、子どもの有無、身長、肌タイプなども対象になりました。
これらは、ブロガー本人または編集部が個人別画面に登録した情報です。掲載媒体や個人によって登録項目や項目数は異なり、ファッション誌の「non-no」「MORE」「MAQUIA」「LEE」「SPUR」「BAILA」「Marisol」「éclat」で活動するブロガーが対象です。
個人情報のほか、ブログや撮影、イベント参加などを依頼した記録にあたる案件情報630件と、システムから送信したメール情報1万1,237件も流出しました。取引先一覧では会社名1万780件分、メールアドレス26件分、電話番号113件分が対象となり、担当者の氏名は登録されていなかったと集英社は説明しています。
9月9日に2度侵害、メール通報で発覚
不正アクセスは2026年9月9日に2度発生しました。1回目は午前0時45分から1時25分まで、2回目は午後1時42分から4時46分までで、この時間帯にシステム内のデータが閲覧・取得された可能性があると集英社は報告しています。
2回目の侵害が続く間、登録情報のうち100人分のメールアドレス宛てに、ハピコミュのテンプレートを使ったメールが合計3通送信されました。該当メールを受信した利用者からの通報が、同日午後2時53分の発覚につながりました。
集英社は対象となったブロガーに対し、登録されているメールアドレス宛てに個別連絡を行っています。
CMS設定不備を起点にAPIが悪用
集英社によると、利用していたCMSの設定不備に起因して、APIの認証情報を狙う攻撃を受けました。CMSはウェブサイトのコンテンツを管理するシステムで、APIは別のソフトウェアから機能やデータを利用するための接続口です。
攻撃では特権ユーザーアカウントが不正に作成され、そのアカウントからAPIリクエストが繰り返し実行されました。集英社は、この一連の操作によってシステム内の情報が漏洩したと考えています。
不正アクセスの時間帯にはテンプレートを用いたメールも送信されており、登録者の情報とシステムのメール機能が侵害の対象になりました。集英社は情報漏洩を確認した後、不正なアカウントを削除し、設定内容を変更したとしています。
集英社は脆弱性を修正し外部調査を実施
集英社は漏洩内容を確認した後、9月25日にブロガーへ本件の概要、対象となった情報、問い合わせ窓口をメールで通知し、登録されているメールアドレス宛てに連絡したとしています。
同社は不正アクセスの原因となった脆弱性を解消し、不正検知の設定も強化しました。また、さらなる被害が発生していないことを確認するため、外部会社によるフォレンジック調査を実施しています。
個人情報保護委員会には速報として報告し、集英社は確報を取りまとめています。今後は発生原因を調査・特定し、再発防止に努めるとしています。
