要点
発表された事実
- スマートシェア株式会社は2026年10月27日、SNSキャンペーンツール「OWNLY」への不正アクセスで、モスバーガー関連の3キャンペーンの参加者情報1万4034件が閲覧・ダウンロードされたと公表した（スマートシェア）。
- 侵入経路はファイルアップロード機能の不備。10月16日未明に監視システムが検知したが、通知設定の誤りで開発者が気づくのが遅れた。経路は同日中に遮断した（同）。
- 流出したのはXやLINEのユーザー名・ID、エントリー日時、抽選・クーポンの取得状況など。氏名・住所・電話番号・メールアドレス・カード情報・SNSのパスワードは収集していない。上記以外のキャンペーンで参加者情報が閲覧・取得された形跡は、現時点で確認されていない（同）。
- モスバーガーも同日、SNSキャンペーンで使っている外部ツール「OWNLY」が不正アクセスを受けたと公表した（モスバーガー）。
わかっていないこと
- 不正アクセスが始まった時期と、検知から遮断までの正確な時間
- アップロード機能の不備の具体的な内容（拡張子・ファイル種類の検証漏れ以外の要因があるか）
- 他の導入企業のキャンペーンで形跡が「確認されていない」とした調査の範囲と方法
関係しそうな既知の手口
- （考察）ファイルの種類を確かめずに受け付けるアップロード機能は、Webシェル（サーバーを遠隔操作するためのファイル）を置かれる典型的な入口。対策として「受け付けるファイル形式の限定」を挙げていることから、この型だった可能性が高い。
概要
- 企業のSNSキャンペーンを運営するクラウドサービス「OWNLY」で、ファイルアップロード機能の不備を突かれた。
- モスバーガーのLINE・Xキャンペーン3件、1万4034件分の参加者のSNSアカウント名・IDや抽選結果が見られ、ダウンロードされた。
- 監視システムは検知していたが、通知設定の誤りで気づくのが遅れた。経路は当日中に塞がれ、全導入企業に管理者パスワードの変更と多要素認証の設定が求められた。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-08-03〜08-31 | 「モスのレシートチャレンジ」（LINE）を実施（スマートシェア） |
| 10-01〜10-21 | VALXコラボキャンペーン（X）を実施（同） |
| 10-15〜10-17 | ハロウィンキャンペーン（X）を実施（同） |
| 10-16 未明 | 監視システムが不正アクセスを検知。通知設定の誤りで開発者の認知が遅れたが、同日中に侵入経路を遮断（同） |
| 10-21 | 個人情報保護委員会と総務省関係機関に報告（同） |
| 10-27 | スマートシェアとモスバーガーが公表（スマートシェア、モスバーガー） |
発表内容の整理
事実（スマートシェア）
| キャンペーン | SNS | 期間 | 件数 |
|---|---|---|---|
| モスのレシートチャレンジ | LINE | 2026-08-03〜08-31 | 2995 |
| ハロウィンキャンペーン | X | 2026-10-15〜10-17 | 1万1001 |
| VALXコラボキャンペーン | X | 2026-10-01〜10-21 | 38 |
| 合計 | 1万4034 |
- 閲覧・ダウンロードされた情報：OWNLYのサーバーに保存されていた、X・LINEのユーザー名とユーザーID、エントリー日時、抽選・クーポンの取得状況など。対象キャンペーンでは氏名・住所・電話番号・メールアドレス・カード情報・SNSのパスワードを集めていない（スマートシェア）。
- 実施済みの対策：ファイルアップロード機能の修正（受け付けるファイル形式の限定など）、類似の不備の社内点検（現時点で未検出）、全OWNLYアカウントへの不正アクセス有無の点検（現時点で未検出）、全導入企業へのアカウント管理画面のパスワード変更・多要素認証・IPアドレス制限などの設定依頼、監視システムの通知設定の見直し（同）。
- 今後の対策（年内に要否の検討・方針整理）：管理画面ログインのセキュリティ向上策の追加（多要素認証の種類の追加など）、参加者情報のダウンロード手順の見直し、外部調査機関による総点検の要否と実行（同）。
- 対象者の連絡先を持っていないため個別連絡はせず、この公表をもって個人情報保護法に基づく本人への通知に代える。専用の問い合わせフォームは2027年1月26日まで受け付ける（同）。二次被害は確認されていない（同）。
事実（モスフードサービス）
- モスバーガーは、10月16日にOWNLYが不正アクセスを受け、一部の参加者情報が閲覧・ダウンロードされた形跡があると判明したとし、詳細はニュースリリースで案内している（モスバーガー、ニュースリリースPDF）。
考察
漏れた情報は氏名や連絡先を含まないが、SNSのユーザーIDと「モスのキャンペーンに応募した」「当選した」という情報がそろう。これを使えば、当選連絡や景品の受け取りを装ったDMで、偽サイトへ誘導する詐欺が組み立てやすい。SNSキャンペーンの当選詐欺は以前から多いため、件数に比べて悪用されやすい情報だといえる（考察）。
監視システムは攻撃を検知していたのに、通知設定の誤りで人が気づくのが遅れた。検知の仕組みがあっても、通知が届くかを定期的に試していなければ役に立たない、という典型例だ（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日に公開し、その後更新している注意喚起で、国内で相次ぐ不正アクセスの類型の一つとして、公開Webサーバーへのファイル設置（Webシェル）を挙げている（JPCERT/CC）。
考察
スマートシェアは不備の詳細を明らかにしていないが、対策の筆頭が「受け付けるファイル形式の限定」であることから、本来は画像などを受け付ける機能に、実行できるファイルを置かれた可能性がある。そのうえで管理画面のデータをダウンロードされたのなら、全導入企業に管理者パスワードの変更を求めたのも筋が通る（考察）。
利用者・運用者がいまできること
- モスバーガーのLINE・Xキャンペーンに応募した人は、当選や景品を名乗るDM・メッセージのリンクを開かず、個人情報やカード情報を入力しない。当選の確認は公式アカウントや公式サイトで行う。
- OWNLYを導入している企業は、管理者パスワードの変更、多要素認証とIPアドレス制限の設定を済ませる。
- ファイルアップロード機能を持つサービスの運用者は、受け付けるファイルの種類を拡張子と中身の両方で確かめ、アップロード先で実行できないようにする。監視の通知が実際に担当者に届くかも定期的に試す。