要点
発表された事実
- 株式会社ユーザベースは2026年10月8日、運営するソーシャル経済メディア「NewsPicks」で業務に使っている管理ツールが第三者の不正アクセスを受け、利用者の個人情報の一部が外部へ漏えいした可能性があると公表した（NewsPicksの第一報）。
- 10月8日12時48分に検知し、14時1分に第三者による不正アクセスと判断して該当サーバーを遮断した。21時44分に個人情報保護委員会へ速報を出し、警察に被害を相談した（同）。
- 10月9日の第二報で、漏えいは「NewsPicksが業務で利用する管理ツールの脆弱性を突いたもの」で、サービス本体やユーザベースの他の情報システムへの侵入は確認されていないとした（NewsPicksの第二報）。
- 最大想定件数は、メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件、所属（勤務先など）6.5万件、所属先の電話番号2.9万件、所属先の役職の7分類27.3万件、ウェブ決済のクレジットカード情報の一部（名義、番号の下3桁または下4桁など）36.2万件。法人向けサービスの運営担当窓口名と連絡先メールアドレス122件も含まれる（同）。
- カード番号の全体は決済代行会社が管理していて同社のシステムには保存されておらず、セキュリティコードも保存していない。パスワードの漏えいは確認されていない（同）。
わかっていないこと
- 管理ツールの種類（自社開発か外部製品か）と、突かれた脆弱性の内容
- 管理ツールがインターネットから到達できる状態だったか
- 不正アクセスが始まった時期と、12時48分の検知のきっかけ
- 実際の対象人数（項目ごとの最大想定件数のみ公表）
- 根本的な再発防止策
関係しそうな既知の手口
- （考察）JPCERT/CCは10月の注意喚起で、被害は一般向けのアプリに限らず、BIツールや従業員向け管理システムなど不特定多数のアクセスを想定していないシステムでも起きているとし、データ分析ツールMetabaseの脆弱性（CVE-2026-72898）の悪用を類型の一つに挙げた。本件の「業務用の管理ツール」がこれらに当たるかは公表されていない。
概要
- NewsPicksが業務で使う管理ツールの脆弱性が突かれ、利用者のメールアドレス最大32.3万件、カード情報の一部最大36.2万件などが漏えいした可能性がある。
- 検知から約1時間でサーバーを遮断し、当日中に第一報、翌日に項目ごとの件数を示した第二報を出した。
- 管理ツールのアクセスキーの再発行や権限の縮小を実施済みとしているが、ツールの種類や脆弱性の内容はまだ明らかにされていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-08（木）12:48 | 不正アクセスを検知し、対策本部を設置（第一報） |
| 2026-10-08（木）14:01 | 社内調査で第三者による不正アクセスと判断し、該当サーバーを遮断（第一報） |
| 2026-10-08（木）21:44 | 個人情報保護委員会へ速報を提出し、所轄警察署へ被害を相談（第一報） |
| 2026-10-08（木） | 第一報を公表。漏えいした可能性のある項目（氏名、勤務先、メールアドレス、住所、電話番号、カード名義、カード番号の下3桁または下4桁など）を示す（第一報） |
| 2026-10-09（金） | ITmedia NEWSなどが報道。第二報で原因を「管理ツールの脆弱性」とし、項目ごとの最大想定件数を公表。対象者へ10月9日から順次メールで連絡するとした（第二報） |
発表内容の整理
事実（第一報・第二報）
| 項目 | 内容 |
|---|---|
| 侵入箇所 | NewsPicksが業務で利用する管理ツール（名称は記載なし） |
| 原因 | 管理ツールの脆弱性を突いたもの |
| 侵入が確認されていないもの | NewsPicksのサービス本体、ユーザベースの他の情報システム。顧客企業とのやり取り、パスワードの漏えいも確認されていない |
| 利用者の情報（最大想定件数） | メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件、所属6.5万件、所属先の電話番号2.9万件、所属先の役職の7分類27.3万件、カード情報の一部36.2万件 |
| 取引先の情報 | NewsPicks Enterprise・NewsPicks Educationの運営担当窓口名と連絡先メールアドレス122件 |
| 含まれないもの | カード番号の全体（決済代行会社が管理）、セキュリティコード（保存していない） |
| 実施済みの対応 | 管理ツールのアクセス遮断とアカウント削除、管理ツールからアクセスできるデータへのアクセスキーの再発行、管理ツールのデータアクセス権限を業務上必要な最小限に縮小、送信元をNewsPicksのサービス全体で遮断 |
| 対象者への連絡 | 10月9日から順次、NewsPicksサポート窓口（no-reply@newspicks.com）からメール |
| 問い合わせ | info@newspicks.com、お問い合わせフォーム |
考察
第二報の「実施済みの対応」が、この事案を読む手がかりになる。「管理ツールからアクセス可能なデータへのアクセスキーの再発行」と「データアクセス権限を、業務上必要な最小限まで縮小」は、管理ツールがデータベースや保存領域に接続するための鍵を持っていて、その権限が業務に必要な範囲より広かったことを示していると読める（考察）。ツールそのものに脆弱性があり、そのツールが広い権限の鍵を持っていたため、ツールを足場に大量の会員データに届いた、という構図が考えられる。
件数は項目ごとにばらつきがあり、メールアドレス32.3万件に対して氏名は5.9万件、住所は3.1万件と少ない。カード情報の一部が36.2万件とメールアドレスより多いことから、同じ人の複数の決済記録が数えられている可能性や、件数が人数ではなくレコード数である可能性がある（考察）。同社は「最大想定件数」とだけ書いており、実際の人数は示していない。
検知から遮断まで約1時間13分、当日のうちに公表と個人情報保護委員会への速報を済ませている。初動の時刻が分単位で公表されている点は、他の組織が自社の検知や判断にかかる時間と比べる材料になる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日（9日更新）の注意喚起で、被害はスマートフォンアプリなど一般向けのシステムに限らず、BIツールや従業員向け管理システムなど、不特定多数のアクセスを想定していないシステムでも起きているとした。類型の一つに、データ分析ツールMetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）の悪用（ケースC）を挙げている（JPCERT/CC）。
- 対策として、APIトークンを最小権限・適切な有効期限にすること、漏えいが疑われるトークンの速やかな無効化、業務上必要のない管理機能の公開停止を挙げている（同）。
- 9月30日には、ApplyNowの採用管理基盤が「データ分析ツールの脆弱性」を悪用した不正アクセスを受け、委託元の吉野家・はなまるなどの応募者情報が漏えいしたと公表されている（吉野家HD／ApplyNowの記事）。
考察
- 社員向けの道具は、守りの基準が甘くなりがち：利用者が使うサービス本体は脆弱性診断や監視の対象になっていても、社内の分析や運用のための管理ツールは「社員しか使わない」という理由で、更新や公開範囲の点検が後回しになりやすい。一方で、こうしたツールは仕事の性質上、会員データ全体を読める権限を持っていることが多い。本件のツールが何かはわからないが、同じ構図はどの組織にもありうる。
- ツールの名前が出ないと、他社は点検できない：JPCERT/CCがMetabaseを名指ししたのは、同じ製品を使う組織がすぐに確認できるようにするためだ。NewsPicksの管理ツールが既知の製品なら、名前と脆弱性の識別番号が出るだけで、同じツールを使う他の組織の点検が進む。
利用者・運用者がいまできること
事実（発表に基づく）
- ユーザベースやNewsPicksを装った不審なメール・SMS・電話に注意する。身に覚えのない連絡のURLを開かず、個人情報を入力しない。
- 同社がメール・SMS・電話・郵送でパスワードやクレジットカード番号を尋ねることはない。
考察（利用者向け）
- 漏えいの可能性がある情報には勤務先や役職の分類が含まれる。氏名と勤務先、役職がそろうと、取引先や社内の人物を装ったメール（ビジネスメール詐欺）の材料になる。業務用のアドレスで登録していた人は、職場にも共有しておくと防ぎやすい。
- カード番号の下3桁・4桁と名義は、それだけでは決済に使えない。ただし「ご利用のカード（末尾1234）」のように実在の情報を添えて信用させる電話やメールに使われることはありうる。カード会社を名乗る連絡は、カード裏面の番号にかけ直して確かめる。
考察（運用者向け）
- 社内で使っている管理・分析ツールを洗い出し、それぞれインターネットから届くか、最新版か、どのデータベースにどの権限の鍵でつながっているかを一覧にする。
- 管理ツールが使う接続用の鍵は、読める範囲を業務に必要なテーブルや項目に絞り、定期的に再発行する。事故の後にやる対応を、事前にやっておく。
参考リンク
- 【重要】お客様の個人情報漏洩の可能性に関するお詫びとお知らせ（NewsPicks、2026-10-08）
- 【第二報】お客様の個人情報漏洩の可能性に関するお詫びとお知らせ（NewsPicks、2026-10-09）
- NewsPicksユーザーの個人情報漏えいか 勤務先やカード番号下4桁も……管理ツールに不正アクセス（ITmedia NEWS、2026-10-09）
- 「NewsPicks」でも不正アクセス クレジットカード番号の一部など漏洩か（テレ朝NEWS、2026-10-09）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）