DCM「マイボ」 ― 注意喚起後のログ点検で不正アクセスが判明

要点

発表された事実

DCMホールディングスは2026年10月13日、子会社の株式会社マイボフェローズが運営する会員サービス「マイボ」の会員情報を管理するシステムに第三者の不正アクセスがあり、一部の会員情報が外部に漏えいしたと公表した（DCMホールディングスの発表）。
9月21日、システムに通常とは異なる多数のアクセスがあった。10月8日、サイバー攻撃に関する注意喚起を受けてアクセス記録を点検したところ、第三者による不正アクセスが判明した。直ちに不正アクセス元からの通信を遮断し、翌9日から「マイボアプリ」の全サービスを一時停止した（同）。
漏えいしたのは419人分（精査中）で、項目は会員番号、メールアドレス、会員ステータス（会員登録の状態）、会員ステージ、保有ポイント数、失効予定ポイント数および失効予定日。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれない（同）。
外部への公開や第三者による悪用は確認されていない。「ＤＣＭアプリ」には被害は確認されていない（同）。
マイボアプリは緊急メンテナンスのため10月9日14時30分から利用できず、メンテナンスの終了は未定。停止中は「マイボサイト」か「ＤＣＭアプリ」に登録済みのメールアドレス・パスワードでログインすれば会員証として使える（マイボサイト）。

わかっていないこと

侵入の手口（どの機能・APIに対する、どんな不備が使われたか）
9月21日の「多数のアクセス」を当時どう扱ったか（検知していたのか、記録に残っていただけか）
9月21日以外にも不正なアクセスがあったか、10月8日の遮断までに続いていたか
419人という人数が確定値になるか（精査中）
点検のきっかけになった「サイバー攻撃に関する注意喚起」がどの機関のものか
マイボアプリの再開時期

関係しそうな既知の手口

（考察）情報通信研究機構（NICT）は10月13日、国内で相次ぐ情報漏えいの原因の一つとして、公開されているAndroidアプリを解析して接続先のサーバーの仕様を調べ、APIの認可不備（IDOR/BOLA）などを突く「A2B攻撃」を特定したと注意喚起した（NICT）。本件は会員アプリの裏側のシステムで「多数のアクセス」があり、取られた項目が会員番号ごとのポイント情報に限られている。経過は矛盾しないが、DCMは手口を公表しておらず、A2B攻撃かどうかはわからない。

概要

DCMの会員サービス「マイボ」で、会員419人分のメールアドレスと、保有ポイントや失効予定日などのポイント情報が漏えいした。
不正アクセスがあったのは9月21日だが、判明したのは約2週間半後、注意喚起を受けてアクセス記録を見直した10月8日だった。
件数は小さく、氏名や住所も含まれない。ただ「あなたのポイントが失効します」という詐欺に、本物の残高と期日を書き込める情報が漏れている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-09-21（月・祝）	マイボの会員情報を管理するシステムに、通常とは異なる多数のアクセス（DCMホールディングスの発表）
2026-10-08（木）	サイバー攻撃に関する注意喚起を受けてアクセス記録を点検し、第三者による不正アクセスが判明。不正アクセス元からの通信を遮断（同）
2026-10-09（金）14:30	「マイボアプリ」の全サービスを一時停止（同、マイボサイト）
2026-10-13（火）	公表。会員419人分の漏えいを確認したとし、対象者にマイボフェローズ（info@myvot.fun）からメール等で順次連絡するとした（同）

発表内容の整理

事実（DCMホールディングスの発表）

項目	内容
対象サービス	会員サービス「マイボ」（運営：株式会社マイボフェローズ）
対象	419人分（現時点で把握している人数。精査中）
項目	会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数および失効予定日
対象外	氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報
公開・悪用	外部への公開、第三者による悪用は確認されていない
対応	不正アクセス元からの通信の遮断、マイボアプリの全サービス停止、アクセス制御の強化など
報告	個人情報保護委員会への報告など、必要な対応を進めている
影響のないサービス	ＤＣＭアプリ（被害は確認されていない）
対象者への連絡	マイボフェローズ（info@myvot.fun）からメール等で順次
問い合わせ	お問い合わせフォーム、マイボコンタクトセンター 0570-069-868（9:00〜18:00）

考察

この発表でいちばん重いのは、件数より経過だ。9月21日に「通常とは異なる多数のアクセス」があったことは、アクセス記録には残っていた。それが不正アクセスだとわかったのは、注意喚起を受けて記録を見直した10月8日で、約2週間半のあいだ誰も気づいていなかったことになる（考察）。発表は当時アラートが出ていたかどうかを書いていない。記録はあったのに見られていなかったのか、見ていたが不正と判断できなかったのかで、必要な手当ては変わる。

逆に言えば、記録が残っていて、注意喚起を受けてすぐ見直したからこそ見つかった事案でもある。10月8日はJPCERT/CCが国内で相次ぐ不正アクセスについて注意喚起を出した日で、IPAや総務省もその後に点検を求めている。DCMはどの注意喚起かを書いていないが、こうした呼びかけが実際に点検を促し、埋もれていた被害を掘り起こした例と読める（考察）。

取られた項目も特徴的だ。会員番号、メールアドレス、ステージ、保有ポイント、失効予定ポイントと失効予定日は、会員アプリのマイページに表示されるような情報の組み合わせに見える（考察）。氏名や住所、パスワードが含まれていない点と合わせると、データベースを丸ごと抜かれたというより、会員ごとの情報を返す仕組みに多数の問い合わせをかけた結果に近い、という見方もできる。ただし、手口は公表されておらず、これは推測にとどまる。

関係しそうな既知の手口

事実（既知の知見）

NICTの脅威情報分析チームLETTICEは10月13日、公開Androidアプリを解析してAPIの接続先や仕様を調べ、バックエンドサーバーに合わせた攻撃を行う「A2B攻撃（App-to-Backend Attack）」を、国内の情報漏えい事案の原因の一つとして特定したと発表した。重点的に点検すべき脆弱性として、APIの認可不備（IDOR/BOLA）、SSRF、RCE、SQLインジェクションなどを挙げている（NICT CYNEX、NICTのプレスリリース）。
総務省は同日、アプリ等の利用者側からの通信は信頼できるものとは限らないことを前提に、アプリ側の制御のみに依存せず、サーバー側で適切な認証・認可や入力値の検証を行うことが重要だとした（総務省）。
会員アプリの裏側の仕組みが突かれた国内の事例として、ローソンIDでは、アプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えいし、9月中旬の不正アクセスが判明したのは10月7日だった（ローソンIDの記事）。

考察

ログを残すだけでは見つからない：本件もローソンIDも、不正アクセスから判明まで数週間あいている。アクセス記録があっても、ふだんと違う量や順番のアクセスにアラートを出す仕組みがなければ、外からの呼びかけや別の兆候が出るまで見過ごされる。
ポイント情報は詐欺の筋書きになる：保有ポイント数と失効予定日がわかれば、「○月○日に○○ポイントが失効します。こちらから手続きを」という、数字まで本物と一致する詐欺メールが書ける。DCMが「ポイントの失効などを理由に、パスワードやクレジットカード番号などをお尋ねすることはございません」とわざわざ書いているのは、この使われ方を想定しているからだろう（考察）。

利用者・運用者がいまできること

事実（発表に基づく）

DCMグループやマイボを装った不審なメール、SMS、電話に注意する。DCMグループから、ポイントの失効などを理由にパスワードやクレジットカード番号を尋ねることはない。
不審な連絡に書かれたURLは開かない。
ポイント残高や利用履歴に身に覚えのない変動があれば、マイボコンタクトセンター（0570-069-868）かお問い合わせフォームに連絡する。
マイボアプリの停止中は、マイボサイトかＤＣＭアプリで会員証を表示できる。

考察（利用者向け）

ポイントの残高や失効日は、メールのリンクからではなく、マイボサイトかＤＣＭアプリに自分でログインして確かめる。
対象者への連絡は info@myvot.fun から届くとされている。それ以外の差出人で「マイボ」を名乗る連絡は、特に疑ってかかる。差出人の表示は偽装できるので、正しいアドレスから来ていても、本文のリンクは使わない。

考察（運用者向け）

会員アプリの裏側のAPIについて、他人の会員番号を指定して情報を取れないか（認可の確認がサーバー側にあるか）を点検する。NICTの注意喚起が挙げる点検項目が参考になる。
同じ送信元からの大量アクセスや、会員番号を順に変えるようなアクセスにアラートを出す。記録を残すだけでなく、誰がいつ見るかを決めておく。
注意喚起が出たときに、過去のアクセス記録を遡って点検する手順を用意しておく。本件は、その点検で見つかっている。

参考リンク

原文をGitHubで読む ↗