要点
発表された事実
- プレイドは2026年11月13日、同社が提供する「KARTE」に対する第三者からの不正アクセスを検知し、緊急メンテナンスとしてKARTE全体のサービスを停止したと適時開示した（プレイド 適時開示）。
- 対象はKARTEを利用するすべてのプロジェクト。Web・アプリの計測、各種配信、管理画面の操作を含む全機能を、一斉ではなく順次停止する（同）。
- ステータスページは同日14時44分に停止を告知した。KARTE Messageの一括メール配信は途中で止まる場合があり、KARTE Datahubのジョブフローで処理中のデータ連携は失敗する場合があるとしている。終了時期は未定（KARTE Status）。
- 同日23時35分の更新で、「外部に漏洩した可能性のある情報を確認し、該当のお客様にはメールにてご連絡させていただきました」と報告した（同）。
- 2026年12月期の業績への影響は精査中（プレイド 適時開示）。
わかっていないこと
- 不正アクセスの原因、侵入経路、発生時期。
- 漏えいした可能性のある情報の種類（利用企業のアカウント情報か、KARTEが計測したエンドユーザーのデータか）と件数、対象の利用企業の数。
- KARTEを使う企業が、自社の顧客情報の漏えいとして公表する必要があるかどうか。
- サービスの再開時期。
関係しそうな既知の手口
- （考察）多くの企業が共通で使うSaaSが侵害されると、1社の事故が利用企業全体の事故になる。国内ではメール配信のアララ（アララ メッセージ ― 不正アクセスで配信リストのメールアドレスが流出）の件で利用企業・自治体の公表が続いており、認証基盤prismatixの件ではギフティが主要機能を止めた（ギフティ「giftee」 ― 認証基盤への不正アクセスで主要機能を停止）。KARTEの件との関係は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日時（JST） | 出来事 | 出典 |
|---|---|---|
| 2026-11-13 | KARTEへの第三者からの不正アクセスを検知 | プレイド 適時開示 |
| 2026-11-13 14:44 | ステータスページで全サービスの停止を告知 | KARTE Status |
| 2026-11-13 15:00 | 調査継続と更新 | 同 |
| 2026-11-13 | 適時開示「当社サービスへの不正アクセスに関するお知らせ」 | プレイド 適時開示 |
| 2026-11-13 23:35 | 漏えいの可能性のある情報を確認し、該当顧客にメールで連絡したと報告 | KARTE Status |
発表内容の整理
事実（適時開示とステータスページによる）
| 項目 | 内容 |
|---|---|
| 対象 | KARTEを利用する全プロジェクト |
| 停止した機能 | Web・アプリの計測、接客の配信、管理画面、チャット、KARTE Message、KARTE Datahub、API v2 など（ステータスページでは全項目がMajor Outage） |
| 処理中の影響 | 一括メール配信は途中で停止の場合あり。Datahubのデータ連携は失敗の場合あり |
| 情報 | 外部に漏えいした可能性のある情報を確認し、該当顧客にメールで連絡（11月13日23時35分） |
| 再開 | 未定 |
考察
- KARTEは利用企業のWebサイトやアプリにタグやSDKとして組み込まれ、訪問者の行動データを集める。サービス全体を止める判断は、侵害が特定の顧客環境ではなく共通基盤に及んだ可能性を示すが、公式には範囲が示されていない。
- 「該当のお客様」はプレイドの顧客、つまり利用企業を指すと読める。利用企業がエンドユーザーにどう説明するかは、漏えいした情報の種類次第で、今後の利用企業側の発表を見る必要がある。
- タグ配信型のサービスでは、配信基盤が乗っ取られるとサイト上で任意のスクリプトが動く恐れがある。全機能の停止はその経路を断つ意味もあると考えられるが、配信の改ざんがあったかどうかは公表されていない。
利用者・運用者がいまできること
- 利用企業：プレイドからの連絡メールの有無を確認する。KARTE Message・Datahubで途中停止したジョブを洗い出し、再開後の二重配信や欠損に備える。
- 利用企業：KARTEに連携しているAPIキーや外部サービスの認証情報があれば、プレイドの案内を確認したうえで、差し替えの要否を検討する。
- 利用企業：サイトに埋め込んだKARTEタグの停止・削除の手順を確認しておく（再開時の挙動を含む）。