VOISING約17万件の情報漏えい、漏れた電話番号・住所と「推し」の情報で何をされるのかまとめました

2026年8月18日、株式会社VOISINGは、社内で使っていたBIツール（データを集計・分析するための道具）に不正アクセスがあり、顧客の情報が取得されたと公表しました[1]。9月30日の第四報では、対象は約17万件で、調査がすべて完了したとしています[4]。漏れたのは、氏名・住所・電話番号・メールアドレス・生年月日・性別に加え、購買履歴や決済金額の記録、サービスの加入状況、そして応援しているタレント（推し）の選択情報です。クレジットカード番号やログインパスワードに相当する情報は持っておらず、対象外とされていますが、それで安心とは言い切れません。

「自分の情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、サービスの中で認証が使われている場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 名前・住所に加えて「何を買ったか」「誰を推しているか」まで知られた、本物らしい偽の連絡が届きやすくなります。
• VOISING IDはGoogleかAppleのアカウントで入る形のため、偽の画面でGoogle・Appleのパスワードを入れないことが大切です。
• 会社側がまず見直したいのは、問い合わせ窓口での本人確認と、配送先などの変更時の確認です。

なお、本記事は公表文や公式サイト・アプリストアの説明など、公開情報だけをもとにしています。ログインを実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][3][4]によると、概要は次のとおりです。

ほかの事故と違うのは、情報の一部がすでにネット上に出たと会社自身が公表している点です[3]。同社は、不審なメール・SMS・SNSのメッセージに注意し、流出した画像やデータを広めないよう呼びかけています[3][4]。

漏れた情報で、何ができてしまうか

今回漏れた項目には、ほかの事故にはあまり無い特徴があります。住所や電話番号に加えて、「何を・いつ・いくらで買ったか」と「誰を推しているか」まで含まれていることです。

同社は第二報で、生年月日や電話番号から推測されやすいパスワードを他のサービスでも使っている場合は、変えるよう呼びかけています[2]。また、決済を保護者や家族が行っている場合は、その人にも内容を伝えるよう求めています[2]。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。とくに購入内容は、一般的に窓口での本人確認に使われることもある種類の情報です。

このサービスで認証が使われる場所

公開情報で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

第四報では、ツールの停止、資格情報の更新、アクセス経路の限定、個人情報の仮名化・最小化、監視の強化などが挙げられています[4]。一方で、利用者のログインや本人確認の方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 窓口の本人確認から、今回漏れた項目を外す。氏名・住所・電話番号・生年月日に加え、「最近何を買ったか」も、もう秘密ではありません。これは仕組みを作り直さなくても、運用の見直しから始められます。
2. 価値や物が動く場面に、追加の確認を入れる。配送先や登録情報の変更、有料会員の購入などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。
3. 公式からの連絡の出し方を決めて、先に知らせる。どの差出人から、どんな文面で、どこへ誘導するかを利用者に伝えておくと、推しの名前を使った偽の連絡との見分けを助けられます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、約17万件の電話番号が住所や推しの情報と一緒に漏れ、一部はネット上に出たとされています[3][4]。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[9]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインのしかたを保ったまま、窓口や変更手続きに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら