覆面調査サービス「ファンくる」にリスト型攻撃 — 59,389人で不正ログインが成立、会員情報が閲覧された可能性

要点

• 株式会社ファンくるは2026年8月25日、同社が運営する覆面調査・モニターサービス「ファンくる」に対する不正ログインについて、調査結果とサービス再開を伝える第二報を公表した。
• 2026年8月20日22時から8月24日13時までの間に、外部の第三者が「ファンくる」に対してリスト攻撃を実行し、一部会員のアカウントで不正にログインしてマイページ（会員情報等）が閲覧された可能性がある。
• 不正ログインの試行回数は5,060,270回、不正ログインが成立した会員数は59,389人。2アカウントでは第三者による不正なポイント交換が確認されている。
• 同社は不正通信の遮断とログイン画面への不正アクセス対策機能の導入、監視体制の強化を実施し、セキュリティ対策と安全性の検証を完了したうえで、2026年8月25日12時にサービスを再開した。

約3日半で506万回の試行、59,389人で不正ログインが成立

株式会社ファンくるは2026年8月25日、覆面調査サービス「ファンくる」への不正ログインに関する第二報を公表した。同社によると、2026年8月20日22時から8月24日13時までの時間帯に、外部の第三者が「ファンくる」に対してリスト攻撃を実行し、一部の会員のアカウントで不正にログインを行い、マイページ（会員情報等）が閲覧された可能性がある。

同社が示した規模は次のとおりだ。不正ログインの試行回数は5,060,270回、不正ログインが成立した会員数は59,389人。あわせて、2アカウントにおいて第三者による不正なポイント交換が確認されている。同社は2026年8月24日にも本件に関する第一報を公表しており、今回の第二報には調査の進展によって新たに判明した内容が含まれる。

不正ログインの対象となった可能性がある会員の個人情報は、氏名、生年月日、郵便番号、電話番号、メールアドレスで、対象となる会員数は59,389人とされている。同社は会員のパスワードを復号できない形式（ハッシュ）で保存しており、同社内からIDやパスワードが流出した事跡は確認されていないと説明している。

不正通信を遮断し対策機能を導入、8月25日12時にサービス再開

同社は本件の発覚を受けて安全確保のため緊急メンテナンスを実施し、「ファンくる」のサービスを一時停止していた。対応として、不正通信の遮断に加えてログイン画面へ不正アクセス対策機能を導入し、監視体制を強化した。そのうえでセキュリティ対策と安全性の検証を完了し、2026年8月25日12時からサービスを再開した。

サービス停止に伴い、同社は8月24日と8月25日が期限となっていた提出物（アンケートやレシート等）の期限を8月26日まで延長し、8月25日から8月30日の間に有効期限を迎えるポイントについては一律で8月31日まで有効期限を延長した。

同社は、不正ログインの対象となった可能性のある会員に対し、順次個別にメールなどで連絡したうえで、状況の報告とあわせてパスワード再設定等の案内を行っている。本件については個人情報保護委員会と警察へ報告済みだとしている。

同社が会員に呼びかけている内容

同社は第二報の中で、他のサービスで同一のパスワードを利用している場合には、速やかにパスワードを変更することを推奨している。また、フィッシング詐欺やなりすましなど、漏えいした情報が原因で被害を受けた場合には、最寄りの警察署や専用相談窓口（#9110）に相談するよう呼びかけている。新たな事実が判明した場合には速やかに知らせるとしている。

リスト型攻撃はなぜ成立するのか

リスト型攻撃（クレデンシャルスタッフィング）は、他サービスから流出したIDとパスワードの組み合わせを大量に投入してログインを試みる手口だ。1つのサービスで使ったパスワードを別のサービスでも使い回している利用者ほど、攻撃が成立しやすくなる。今回の事案について同社は、会員のパスワードを復号できない形式（ハッシュ）で保存しており、同社内からIDやパスワードが流出した事跡は確認されていないと説明している。

今回の事案では5,060,270回の試行に対して、不正ログインが成立したのは59,389人だった。短時間に大量のログインを試す攻撃では、使い回された認証情報の一部が有効となり、アカウントが乗っ取られる事例が生じる。同社は今回、不正通信の遮断とログイン画面への不正アクセス対策機能の導入を実施し、監視体制を強化したと説明している。

出典

• 株式会社ファンくる「【重要】不正ログインに関する調査結果、サービス再開および今後の対応について（第二報）」（2026年8月25日）: https://www.fancrew.co.jp/news/news-press-release/2608_investigation-results-regarding-unauthorized-logins-service-resumption-and-future-actions.html