要点
発表された事実
- スマートニュースは2026年11月1日、自社システムでセキュリティ上の問題を確認し、ニュースアプリ「SmartNews」の一部機能を止めたと公表した（11月1日のお知らせ）。
- 同日15時時点の続報で、10月31日から11月1日にかけて一部システムに第三者の不正アクセスがあり、ポイント・特典のシステムで不正な操作が行われたことを確認したと説明した。ポイント交換を一時停止している（続報）。
- 利用者のアカウントへの影響の有無、広告関連のシステムや情報への影響は調査中。広告配信は続いている（同）。
- パーソナライズ機能、プッシュ通知、一部の特典が使えず、断続的にサービスが使いにくくなる場合がある（同）。
- 同社は該当システムを止め、認証情報の無効化と更新を進めている。本件は10月22日に公表した問題とは別の事案として対応している（同）。
- 【2026-11-03追記】11月2日20時時点の続報で、プッシュ通知は復旧し、パーソナライズ機能は順次復旧していると案内した。ミッションの達成とポイントの獲得はできるが、ポイントの交換と一部の特典は引き続き停止している。広告管理画面の利用再開など広告の主要機能の復旧は完了した。影響の範囲と、その他広告関連のシステムや情報への影響は引き続き調査中（続報：一部機能の復旧）。
- 【2026-11-07追記】11月6日、同社は個人情報の一部が漏えいした可能性があると公表した。対象は、(1) メディアパートナー（媒体社）向けシステム担当者・部署のメールアドレス1,582件、(2) 広告サービス取引先担当者・部署のメールアドレス207件、(3) SmartNewsユーザーの内部ID 1,033件（内部システムのみで使うIDで、単体では個人を識別できないとしている）。パスワード、クレジットカード情報、その他不正利用の恐れの高い情報は含まれていない。二次被害は未確認。対象者には法令に応じ個別連絡する（個人情報漏えいに関するお詫びとお知らせ）。
わかったこと
- 【2026-11-07追記】個人情報の漏えい可能性が判明。媒体社向け1,582件・広告取引先207件のメールアドレス、ユーザー内部ID 1,033件（11月6日のお知らせ）。
わかっていないこと
- 侵入経路と、どの認証情報が使われたか
- ポイント・特典の不正操作の中身（不正な付与・交換か）と件数・金額
- 利用者アカウントや広告主情報への、上記以外の追加影響
- 10月22日の事案（サーバー環境の脆弱性）との関係
- ポイント交換・一部特典の再開時期
関係しそうな既知の手口
- 盗んだ認証情報やクラウドの鍵を使い、ポイント・ギフト系の仕組みを不正に動かして換金する手口（考察）。
概要
- ニュースアプリ「SmartNews」の運営会社で、10月31日〜11月1日に不正アクセスがあった。
- ポイントと特典のシステムで不正な操作が確認され、ポイント交換が止まっている。
- 10日ほど前にも別のセキュリティ問題が起きており、同社は今回を別件として扱っている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-22（木） | 別のセキュリティ上の問題を公表（10月22日のお知らせ） |
| 10-23（金） | 10月22日の件で機能を復旧。サーバー環境の脆弱性が原因で、同日正午時点で個人情報・広告データの流出は確認していないと説明（10月23日のお知らせ） |
| 10-31（土）〜11-01（日） | 一部システムに第三者による不正アクセス（続報） |
| 11-01（日） | 一部機能の停止を公表（お知らせ） |
| 11-01 15時時点 | 続報。ポイント・特典システムでの不正操作を確認、ポイント交換を停止（続報） |
| 11-02 20時時点 | 続報。プッシュ通知が復旧、パーソナライズ機能は順次復旧。ポイント交換と一部特典は停止を継続。広告管理画面など広告の主要機能は復旧（続報：一部機能の復旧） |
| 11-06（金） | 個人情報漏えいの可能性を公表。媒体社メール1,582件、広告取引先メール207件、ユーザー内部ID 1,033件（お知らせ） |
発表内容の整理
事実（スマートニュースの11月1日15時時点の続報による）
| 項目 | 内容 |
|---|---|
| 不正アクセスの期間 | 2026年10月31日〜11月1日 |
| 確認された被害 | ポイント・特典の当社システムでの第三者による不正な操作 |
| 止めているもの | ポイント交換、パーソナライズ機能、プッシュ通知、一部の特典 |
| 調査中 | 利用者アカウントへの影響、広告関連システム・情報への影響 |
| 広告 | 配信は継続 |
| 対応 | 該当システムを停止、認証情報の無効化と更新 |
| 利用者へのお願い | ポイントや特典の利用状況に心当たりのない変化があればヘルプセンターに連絡 |
考察
「認証情報の無効化と更新」を進めていることから、システムを操作するための鍵やトークンなどが攻撃者に使われた可能性がある。ただし同社はどの認証情報かを明らかにしていない（考察）。
10日ほどの間に2件の事案が続いた。同社は別件としているが、1件目で原因とされたサーバー環境の脆弱性の調査範囲や、その際の認証情報の扱いが、2件目と関係するのかは今後の発表で確認したい（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは、国内で相次ぐ不正アクセスの手口の一つとして「API経由での不正な操作」を挙げ、公開アプリを解析してAPIのエンドポイントやキーを特定する手口、画面からは実行できない内部APIへの攻撃、他のシステムの侵害で盗んだAPIキーの使用を示している。対策として、不要になったり漏えいが疑われたりするAPIトークンをすぐ無効化できるようにすることを勧めている（JPCERT/CC 注意喚起）。
- 本ブログでは、会員向けサービスで利用者の情報が不正に操作された国内事例も扱ってきた（例：DHC ― オンラインショップで会員情報が書き換えられた）。
考察
今回は個々の利用者アカウントへの不正ログインではなく、運営側のシステムでの不正操作と説明されている。JPCERT/CCが挙げるAPI経由の手口に当てはまるかどうかは、発表からは判断できない。ポイントは換金や商品交換ができるため、運営側の仕組みを直接動かせると被害が一度に大きくなりうる（考察）。
利用者・運用者がいまできること
- SmartNewsの利用者は、アプリ内のポイント残高や特典の利用履歴に心当たりのない変化がないか確認し、あればヘルプセンターに連絡する。
- 本件を口実にした「ポイント補償」などをうたうメールやSMSに注意する（考察）。
- ポイント・特典の仕組みを運営する事業者は、管理用の認証情報や外部連携の鍵の権限範囲と、交換処理の異常検知を見直す。