原因公表 不正アクセス情報の漏えい

ワラウに不正アクセス、PC版ログイン等の外部ID連携トークンが流出

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
株式会社オープンスマイルのワラウ（ポイントサイト）で、不正アクセス・情報の漏えい。
いつ
2026年10月8日に公表（発生・発覚は2026年10月4日）。
原因
公表：ソフトウェアの脆弱性。
影響
PC版ログインまたは旧Tポイント交換でYahoo! JAPAN ID連携を利用していた会員の情報、未公表（漏えい確認）。

原因

原因公表 ソフトウェアの脆弱性

公式の発表での原因
当社システムの脆弱性が原因と公表。6日に修正済み。

影響

人数・件数
未公表（PC版ログインまたは旧Tポイント交換でYahoo! JAPAN ID連携を利用していた会員）
注：対象範囲は確認中
情報の種類
外部ID連携トークン（有効期限切れ、Yahoo! JAPAN ID連携用）
漏えい
漏えい確認
サービスの停止など
PC版ログインのYahoo! JAPAN ID連携をすべて解除し、利用者に再連携を依頼
二次被害
現時点で実害は確認されていない

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • PC版ログインでYahoo! JAPAN ID連携を利用中の場合は、次回ログイン時に再連携する

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ソフトウェアの脆弱性

  • 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
  • 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
  • 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
  • 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

経過

  1. 不正アクセスを検知し、同日中に侵入経路を遮断 ［出典s1］

  2. 調査により連携トークンの流出が判明、原因となったシステムの脆弱性を修正 ［出典s1］

  3. 個人情報保護委員会へ報告し、本件を公表 ［出典s1］

出典（公式の発表）

  1. ［s1］ワラウ「不正アクセスによる過去の外部ID連携情報の流出に関するお詫びとお知らせ」（2026年10月8日）

この内容は2026年10月10日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

ソフトウェアの脆弱性の事件をすべて見る →