nexsight cyber intelligence / signal online wire desk · issue 340
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

インシデント / INCIDENT / DATA BREACH

玩具大手Hasbroで従業員情報の漏えい — マサチューセッツ州で436人が影響、SSNや金融口座・カード情報が流出

玩具大手Hasbroは2026年3月28日に検知したサイバー攻撃で従業員の個人情報が流出したと公表した。マサチューセッツ州司法長官への報告によると、同州の従業員436人について社会保障番号や金融口座情報、運転免許証番号、クレジット・デビットカード番号が漏えいした。Hasbroは侵害された従業員アカウントを無効化し、アクセスを遮断したと説明している。

インシデント NEXSIGHT CYBER WIRE 編集部 4–5 min read

Hasbroは2026年3月28日に同社のシステムでセキュリティインシデントを検知し、従業員の個人情報が流出したと公表した。米玩具大手Hasbroが運営するニュースルームで2026年4月4日に明らかにしたもので、同社は一部のシステムを停止して封じ込めを進めている。マサチューセッツ州司法長官に提出されたデータ侵害報告によると、同州に住む従業員436人について、社会保障番号（SSN）や金融口座情報などが漏えいした。

何が起きたか

Hasbroのニュースルームによると、同社は2026年3月28日にHasbroのシステムに影響するセキュリティインシデントを特定した。同社は影響範囲の評価を続けているとして、予防的な措置として一部のシステムをオフラインにし、外部のサイバーセキュリティ専門家とともに封じ込めと修復を進めていると説明した。同社は「Hasbro Pulse、D&D Beyond、Magic: The Gathering Arenaは影響を受けておらず通常どおり稼働している」と補足した。

BleepingComputerが2026年8月28日に報じた内容によると、Hasbroは影響を受けた従業員へ送付した通知書簡で、攻撃者が従業員の個人情報と金融情報にアクセスしたと説明している。通知書簡では影響人数や漏えいした情報の詳細を一律には示していないが、マサチューセッツ州司法長官の「2026 Data Breach Notification Report」に登録されたHasbroの届け出（Breache Number 2026-1427、報告日2026年8月25日）で具体的な内訳が判明した。

漏えいした情報の内訳

マサチューセッツ州の報告書によると、Hasbro Inc.（業種：Retail）の届け出はマサチューセッツ州在住の436人が影響を受けたとしている。報告書の区分では以下の項目が「漏えいあり（Yes）」と記録されている。

  • 社会保障番号（SSN）：Yes
  • 金融口座情報（Financial Account）：Yes
  • 運転免許証情報（Driver’s Licenses）：Yes
  • クレジット／デビットカード番号：Yes
  • 医療記録：No

Hasbroが従業員に送付した通知書簡（同社がマサチューセッツ州に提出したサンプル書簡）では、「関与した情報は個人によって異なるが、氏名に加えて、メールアドレス、住所、電話番号、国民ID番号、金融情報のうち1つ以上が含まれる可能性がある」と説明している。同社は、侵害された従業員アカウントを無効化し、不正アクセスを終了させ、再発防止のための追加的な保護策を導入したとしている。

Hasbroの対応と被害者向けの案内

Hasbroは通知書簡で、影響を受けた可能性のある従業員に対し、無料の信用監視サービスへの登録を案内している。登録はウェブサイト（www.privacysolutionsid.com）または電話（866-675-2006、米東部時間 月曜〜金曜 9:00〜17:30）で受け付け、個別の有効化コードが必要だとしている。同社は問い合わせ窓口として888-780-5138（米太平洋時間 月曜〜金曜 6:00〜18:00）も案内している。

同社はまた、口座明細や信用報告書の定期的な確認、不審な活動を発見した場合の金融機関や法執行機関、州司法長官、米連邦取引委員会（FTC）への報告を推奨している。信用報告書への不正な照会を防ぐ「セキュリティフリーズ」や「不正アラート」の設定方法についても、米国の3大信用情報機関（Equifax、TransUnion、Experian）の連絡先とともに説明している。

Hasbroは2026年4月のニュースルーム更新で「調査が進み次第、このページで詳細を更新する」と述べていた。今回のマサチューセッツ州への報告は2026年8月25日付であり、攻撃の検知（3月28日）から約5か月後に州当局への正式な届け出が行われたことになる。

この事例が示すこと

Hasbroの公表によると、同社は侵害された従業員アカウントを無効化し、不正アクセスを終了させたとしている。今回の事例では、従業員アカウントの侵害が人事や給与に関する機微な個人情報の漏えいに直結したことが、マサチューセッツ州の報告で明らかになっている。

出典はHasbroのニュースルーム公表と、マサチューセッツ州司法長官が公開するデータ侵害通知報告書およびHasbroが同州に提出した通知書簡のサンプルである。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。