要点
発表された事実
- ゲインズは、Getchu.comの会員管理システムが不正アクセスを受け、会員情報が流出したと公表した（Getchu.com）。
- 対象は2026年10月28日17時30分までに登録した会員で、流出した項目には会員ID・メールアドレス・パスワード・氏名・郵便番号・住所・電話番号が含まれる（会員によって登録項目は異なる）（同）。
- クレジットカード情報は含まれず、DL.Getchu.comとGyutto.comは影響を受けていない（同）。
わかったこと
- 【2026-11-11追記】Getchu.comは11月4日のお知らせを11月6日17時に更新し、アフィリエイター会員については、既に公表した項目に加えて支払口座情報（銀行名、支店名、口座種類、口座番号）も流出したと公表した（Getchu.com）。
わかっていないこと
- 流出した会員の件数。
- 侵入経路と原因。
- パスワードがどのような形式で保存されていたか。
関係しそうな既知の手口
- （考察）パスワードが流出項目に含まれているため、同じメールアドレスとパスワードを使い回している他サービスへのパスワードリスト攻撃が最も現実的な二次被害になる。
概要
- 10月28日17時30分ごろ、会員管理システムへの不正アクセスが判明した（Getchu.com）。
- 11月4日1時ごろまでに遮断と安全確認の対応を終えた（同）。
- 会員のパスワードは強制的にリセットされ、利用者にはパスワードリスト攻撃への注意が呼びかけられている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-28 17:30ごろ | 会員管理システムへの不正アクセスが判明 | Getchu.com |
| 2026-11-04 1:00ごろ | 遮断と安全確認の対応を完了 | 同 |
| 2026-11-04 | 会員情報の流出を公表、パスワードを強制リセット | 同 |
| 2026-11-06 17:00 | お知らせを更新し、アフィリエイター会員の支払口座情報（銀行名・支店名・口座種類・口座番号）の流出を公表 | Getchu.com |
発表内容の整理
事実（ゲインズの発表による）
- 対象：2026年10月28日17時30分までに登録した会員。
- 流出項目：会員ID、メールアドレス、パスワード、氏名、郵便番号、住所、電話番号（会員によって異なる）。
- 含まれないもの：クレジットカード情報。DL.Getchu.comとGyutto.comは対象外。
考察
- 発表は「パスワード」が流出したとしているが、保存形式（ハッシュ化の有無や方式）は書かれていない。形式によって解読のしやすさが大きく変わるため、続報で確認したい。
- 件数が出ていないため、被害の規模は判断できない。
関係しそうな既知の手口
事実
- ゲインズは利用者に対し、パスワードリスト攻撃への注意を呼びかけている（Getchu.com）。
考察
- 会員管理システムそのものへの侵入は、Webアプリケーションの脆弱性や管理者アカウントの悪用が原因になることが多いが、今回どちらだったかは発表されていない。
利用者・運用者がいまできること
- Getchu.comと同じパスワードを他のサービスで使っている場合は、そちらのパスワードを変更する。
- 登録したメールアドレスや電話番号に届く、Getchu.comをかたる連絡に注意する。
- 運用者は、会員パスワードを強いハッシュ関数で保存しているか、管理系システムへの経路が絞られているかを確認する。