要点
発表された事実
- 競輪・オートレースの投票サービス「チャリロト」を運営する株式会社チャリ・ロト（東京都渋谷区）は2026年10月24日、2026年10月21日9時30分頃から13時頃まで、チャリロトのシステムで脆弱性を悪用した第三者による不正アクセスが発生したと発表した（チャリ・ロト）。
- 10月22日に情報セキュリティの点検で不審なログを見つけ、調査で脆弱性を悪用した不正アクセスと判明したため、アプリサービスを停止して緊急メンテナンスに入った。10月23日に脆弱性の修正を反映し、安全を確認してアプリを再開した。10月24日に影響範囲を精査し、取得された情報を特定した（同）。
- 対象はチャリロトアプリ利用者のうちチャリカ会員の373名。不正に取得されたのは、会員情報（会員ID、氏名、生年月日、性別、郵便番号、住所、メール、サブメールアドレス、ニックネーム、電話番号、会員ランク、オートチャージ種別、通知設定など）、銀行口座情報（銀行名、支店名、口座種別、口座番号、名義カナ）、クレジットカード情報（名義、下4桁、有効期限、ブランド）、チャリカ情報（残高、入出金履歴、精算履歴、購入可能額など）、投票履歴（場、レース、券種、買い目、購入金額、的中、払戻金額）（同）。
- ログインパスワード、カード番号の全桁、セキュリティコードの漏えいはない。二次被害は確認されていない。対象者には順次個別に連絡し、個人情報保護委員会には速報を行った（同）。
わかっていないこと
- 悪用された脆弱性の種類（API・認可の不備か、ソフトウェアの既知の脆弱性か）
- 373名に限られた理由（攻撃者が取得した範囲なのか、時間で止まったのか）
- 点検で見つかるまでの約1日、なぜ検知できなかったか
関係しそうな既知の手口
- （考察）取得された情報が「会員1人分のマイページに表示される内容」をほぼそのまま並べた形になっており、ほかの会員の情報をアプリのAPI経由で取得できる認可の不備が使われた可能性がある。ただし同社は脆弱性の種類を公表していない。
概要
- 競輪・オートレースのネット投票サービス「チャリロト」のシステムが脆弱性を突かれ、約3時間半にわたって不正アクセスを受けた。
- チャリカ会員373名の住所や電話番号に加え、払戻金の振込先の銀行口座と、どのレースにいくら賭けたかという投票履歴まで取得された。
- 脆弱性は翌々日に修正され、対象者数も確定している。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-21（水）9時30分頃〜13時頃 | 脆弱性を悪用した不正アクセス（チャリ・ロト） |
| 10-22（木） | 点検で不審なログを発見、不正アクセスと判明、アプリを停止して緊急メンテナンス |
| 10-23（金） | 脆弱性の修正を反映、アプリ再開 |
| 10-24（土） | 影響範囲を特定、本人通知と公表 |
発表内容の整理
事実（チャリ・ロトの発表）
| 項目 | 内容 |
|---|---|
| 対象 | チャリロトアプリ利用者のうちチャリカ会員 373名 |
| 会員情報 | 会員ID、氏名、生年月日、性別、郵便番号、住所、メール、サブメールアドレス、ニックネーム、電話番号、会員ランク、オートチャージ種別、通知設定など |
| 銀行口座 | 銀行名、支店名、口座種別、口座番号、名義（カナ） |
| カード | 名義、番号下4桁、有効期限、ブランド |
| チャリカ・投票 | 残高、入出金・精算履歴、購入可能額、投票履歴（場、レース、券種、買い目、購入金額、的中、払戻金額） |
| 対象外 | ログインパスワード、カード番号の全桁、セキュリティコード |
考察
件数は373名と小さいが、中身は濃い。住所・電話番号・生年月日に銀行口座とカードの一部がそろい、さらに賭けた金額や払戻の履歴がある。公営競技の利用状況は、本人が周囲に知られたくない情報になりうる。払戻金や口座の確認を装った詐欺電話・メールの材料にもなる（考察）。
不正アクセスが約3時間半で止まり、検知が翌日の点検だった点からは、リアルタイムの異常検知ではなく事後のログ確認で見つかったと読める。とはいえ、発見から1日で修正・再開し、3日で対象者を特定して公表した対応は速い（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月、国内組織で相次ぐ不正アクセスについて注意喚起を出し、公開アプリの解析によるAPIの特定や内部APIの不正な呼び出しなどの手口を挙げている（JPCERT/CC）。
- 10月にはローソンID（記事）やグリーンモンスター「FXなび」（記事）でも、アプリで本人に情報を表示する仕組みやAPIが悪用された。
考察
アプリのAPIが、要求された会員IDとログイン中の本人が一致するかを確かめていなければ、IDを変えながら他人の情報を集められる。今回もそうだったかは公表されていないが、取得情報の並びは同じ型の事例とよく似ている（考察）。
利用者・運用者がいまできること
- チャリロトの利用者は、チャリロトや銀行を名乗り、払戻金・口座・カード情報の確認を求める電話やメールに応じない。確認はメールのリンクを使わず、公式アプリや公式サイトから行う。
- 口座やカードの明細に覚えのない動きがないかを確認する。
- アプリを提供する事業者は、APIが返すデータを要求者本人の分に限る認可の確認と、短時間に多数の会員データを取得する動きの検知を点検する。