要点
発表された事実
- Vookは2026年10月30日、社内業務で使っていたデータ分析ツールの脆弱性を第三者に悪用され、ツールを経由してデータベースに不正アクセスされたと公表した（Vook）。
- 10月14日に社内の点検で、ツール内に同社が作っていない不審なアカウントを見つけた。10月22日に、脆弱性の悪用とデータベースへのアクセス、データ取得の可能性を確認した（同）。
- ツールはデータベースを読み取るだけの設定で、改ざんや破壊は確認されていない（同）。
- 10月22日に全会員のログイン用認証情報を無効にし、データベースへの接続情報を変更した。弁護士に相談し、個人情報保護委員会に報告し、警察に相談している（同）。
わかったこと
- 【2026-11-13追記】Vookは11月12日の第二報で、以前運営していた人材紹介サービス「Vook求人」に応募し、すでにVookのアカウントを削除した人の情報も対象に含まれると公表した（Vook 第二報）。
- 【2026-11-13追記】追加で判明した項目は、申し込み・応募時の自由記述（応募時のメッセージ等）、その中に含まれていた健康状態に関する記述、パスワード再設定用の文字列（確認できた範囲では取得時点で有効期限切れ）。ログインパスワードは含まれない（同）。
- 【2026-11-13追記】取得された情報にはログイン用の認証情報が含まれ、これを使うと会員本人の決済サービスの画面で、過去の決済履歴、カード番号の下4桁、カード会社、有効期限を閲覧できる状態だった。認証情報は10月22日に無効化済み。実際に閲覧されたかはシステム記録から確認できていない（同）。
- 【2026-11-13追記】ツールの脆弱性の公表後、同社が最初に不正なログインを検出したのは2026年8月9日。8月9日〜10月22日の決済を調べた範囲で不審な決済は確認されていない。対象者には順次メールで個別に知らせる（同）。
わかっていないこと
- データ分析ツールの製品名と、悪用された脆弱性（CVE番号）
- 不正アクセスが始まった時期（【2026-11-13追記】最初の不正ログインの検出は8月9日。脆弱性の公表との関係は示されたが、ツール名と公表日は未公表）
- 対象者の人数（【2026-11-13追記】第二報でも人数は示されず、範囲は精査中）
- 不審なアカウントが作られた経緯
- 実際に取得された情報の範囲
関係しそうな既知の手口
- （考察）JPCERT/CCは10月の注意喚起で、データ分析ツールMetabaseの脆弱性の悪用を国内の不正アクセスの類型の一つに挙げている。Vookのツールが何かは公表されておらず、同じ製品かはわからない。
概要
- 映像制作者向けサービスVookのデータベースに、社内の分析ツールを経由して外部から入られた。
- 会員だけでなく、問い合わせをした非会員や取引先の担当者の情報も対象になっている。
- ログイン用の認証情報は無効化済みで、会員のログインパスワードは対象に含まれない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-08-09 | （【2026-11-13追記】第二報で判明）ツールの脆弱性の公表後、最初に不正なログインを検出（Vook 第二報） |
| 2026-10-14（水） | 社内の点検で、データ分析ツール内に不審なアカウントを発見（Vook） |
| 10-22（木） | 脆弱性の悪用とデータベースへのアクセス、データ取得の可能性を確認。全会員のログイン用認証情報を無効化し、データベースの接続情報を変更（同） |
| 10-30（金） | 第一報を公表（同） |
| 11-12（木） | 第二報。Vook求人の退会済み応募者、自由記述・健康状態の記述、決済画面の閲覧可能性などを追加で公表（【2026-11-13追記】）（同） |
発表内容の整理
事実（Vook、10月30日）
| 項目 | 内容 |
|---|---|
| 入口 | 社内業務で使っていたデータ分析ツールの脆弱性 |
| 対象者 | Vook会員、イベント申込者、問い合わせをした人（非会員を含む）、取引先企業の担当者、業務委託先などの担当者 |
| 項目 | 氏名、メールアドレス、電話番号、住所、生年月日、勤務先、職務経歴・学歴の一部、ログイン用の認証情報（無効化済み）、作品の閲覧パスワード、IPアドレス、SNSのプロフィール、決済サービスの顧客ID、アンケートの回答、同社が送った通知など |
| 含まれない情報 | クレジットカード・銀行口座の情報、会員のログインパスワード |
| 改ざん・破壊 | 確認されていない（ツールは読み取り専用の設定） |
| 対応 | ツールの利用停止、外部から接続できるシステムの見直し |
| 問い合わせ | security-info@vook.co.jp |
考察
不審なアカウントの発見から悪用の確認まで8日かかっている。分析ツールにアカウントを作れたということは、脆弱性によって管理者に近い権限を得られていた可能性がある（考察）。
分析ツールは本番データベースに広い読み取り権限で接続することが多い。そのため、ツールが一つ破られると、会員以外の問い合わせ者や取引先の情報まで一度に見えてしまう。今回の対象者の広さはその典型に見える。
「作品の閲覧パスワード」は、限定公開の作品を見るためのパスワードとみられる。他のサービスと同じ文字列を使っていた人は注意が要る。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月の注意喚起で、データ分析ツールMetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）の悪用を、国内の不正アクセスの類型（ケースC）として挙げた。BIツールなど不特定多数のアクセスを想定していないシステムでも被害が起きているとしている（JPCERT/CC）。
- 9月30日には、採用管理基盤ApplyNowが「データ分析ツールの脆弱性」を悪用された不正アクセスを公表している（吉野家HD／ApplyNowの記事）。
考察
「社内業務で使うデータ分析ツールの脆弱性」という説明はApplyNowの事案と同じ型だが、どちらもツール名を明かしていない。名前が出れば、同じツールを使う組織がすぐに点検できる（考察）。
利用者・運用者がいまできること
- Vookの会員は、同社からの案内を確認する。作品の閲覧パスワードと同じ文字列を他で使っていれば変更する。
- Vookや取引先を名乗り、勤務先や職歴を知っている前提で近づく連絡に注意する。
- データ分析ツールやBIツールを使う組織は、ツールがインターネットから開けないか、最新版か、身に覚えのないアカウントがないかを確認する。