この記事のポイント
- 対象
- NELのosinaと関連する取引先・問い合わせ者情報
- 影響
- osina会員のSNS連携用認証情報・銀行口座情報などを含む個人情報が流出。対象者数は10月17日の速報で23万5,329人で、該当項目は登録状況により異なる。
- 推奨対応
- 公式通知で対象情報を確認し、SNSの公式アプリでosinaとの連携状況を点検する。不審な投稿や設定変更があれば連携を解除し、口座確認・再登録や送金を求める連絡に注意する。
- 公表日
目次
NELは2026年10月29日、データ分析ツールのを悪用した不正アクセスで個人情報の外部流出を確認したと公表しました。osina会員のSNS連携用認証情報や銀行口座情報などが対象に含まれます。会員は公式アプリで通知とSNSの連携状況を確認し、口座情報の再入力や送金を求める不審な連絡に注意してください。
根拠はNELの「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」です。発見は10月14日、公表は10月29日で、侵入開始日と同じとは限りません。以下は10月29日の公式発表で確認できる範囲を整理したものです。
スポンサーリンク
23万5,329人は速報値で対象項目は人により異なる
NELが10月17日に個人情報保護委員会へ提出した速報では、対象者数を23万5,329人としています。この人数を確定した最終調査結果として扱うことはできません。また、全員について同じ情報が流出したという意味でもありません。登録状況により該当項目が異なり、ログイン用の外部サービスIDと利用履歴だけが対象の人も含まれます。
osina会員の対象情報は、氏名、住所、電話番号、生年月日、口座名義を含む銀行口座情報、報酬額、SNSアカウント名、SNS連携用認証情報、LINE・Appleのログイン用外部サービスID、利用履歴です。プロフィールだけでなく、報酬や外部アカウントとの接続に関係する情報が含まれる点が利用者の判断に関わります。
取引先担当者では氏名、メールアドレス、ハッシュ化済みパスワードが対象です。問い合わせを行った人では氏名、メールアドレス、電話番号、会社名・役職、問い合わせ内容、提携候補のクリエイターでは活動名、年齢、性別、居住地、SNSのURLなどが挙げられています。などの技術情報も含まれます。
一方、NELはosina会員のメールアドレスとパスワードを保有しておらず、クレジットカード情報も取り扱っていないため、これらは対象に含まれないと説明しています。取引先担当者のハッシュ化済みパスワードと、会員のSNS連携用認証情報は別の情報です。「会員パスワードは対象外」という説明から、外部SNSへの影響もないと判断しないよう注意が必要です。
SNS連携と金融機関を装う連絡への公式案内
NELは、連携用認証情報が対象の場合、第三者が利用者のSNSアカウントで投稿・閲覧などを行うおそれがあると説明しています。各SNSの公式アプリにある「連携アプリ」などの設定でosinaとの連携状況を確認し、身に覚えのない投稿や設定変更がある場合は連携を解除するよう求めています。方法が分からない場合は同社窓口へ問い合わせる案内です。
今回の公表では、各SNSの種類ごとの有効期限や付与権限、認証情報の失効状況までは示されていません。すべての会員のSNSが操作されたと断定することも、SNSのパスワード変更だけで連携の問題が解消すると説明することもできません。まず本人に該当する対象情報と連携状況を確認することが必要です。
銀行口座を登録していた会員には、NELや金融機関を装う口座情報の確認・再登録、振込の要求への注意が案内されています。同社はメール、SNSメッセージ、電話などでパスワード、認証コード、銀行口座情報の入力や送金を依頼しないと明記しています。身に覚えのない取引があれば、金融機関の公式窓口へ相談するよう求めています。
スポンサーリンク
アクセス制限後も調査は継続
NELは発見後すぐにアクセス制限などの措置を実施し、10月29日時点で新たな不正アクセスは確認されていないとしています。再発防止策を順次実施するとともに、被害範囲などの調査を続けています。同日時点で本件に起因する二次被害の申告も確認されていませんが、これは流出がなかったという説明ではありません。
原因について公式が確認したのは、利用していたデータ分析ツールの脆弱性の悪用です。製品名、番号、侵入開始時期や詳細な手口は発表されていません。他社の分析ツール侵害と似ていることだけで同じ製品や攻撃者と結び付けることはできません。
退会済みの利用者も確認窓口を利用できる
対象者には10月29日、osinaアプリ内のお知らせ、プッシュ通知、メールなどで案内したとしています。退会済みなどで連絡が届かない人には、公式ページと問い合わせ窓口で案内します。自分の対象情報の確認や被害相談は退会済みの人も受け付けるとしています。窓口はNELの情報セキュリティ対応窓口で、受付時間は平日10時から19時です。
本サイトからの提案として、届いた連絡のリンクだけを頼りにせず、公式発表から窓口を確認してください。口座情報や報酬額を知っている相手からの連絡でも、それだけで正規の案内とは判断できません。運用担当者にとっても、分析用途のデータに金融情報や外部連携用認証情報が含まれる場合、本人通知と連携権限への対応を分けて整理する必要性が見える事件です。
