Yeny ― API接続設定の不備で会員の電話番号が漏えい
TISインテックグループのYenyは11月12日、API接続設定の不備から会員の電話番号と同社固有の会員IDが漏えいしたと発表した。対象は「ultra pay カード」と「PayBlend」系の3サービスで計1,332,505件（退会者を含む）。接続先の事業者からの不審なAPIコールの連絡で発覚した。
← タグ一覧へ
タグ / 対象技術
API
すべての面から13件。公開日の新しい順。（API悪用 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
よーじや ― 会員情報取得APIを不正利用され会員情報が流出
よーじやグループが使う会員情報管理システムの会員情報取得APIが、API認証キーを使って外部から不正に利用され、131,557名分（最大134,344名）の氏名・住所・電話番号・生年月日・購買統計情報などが取得された。11月7日未明に確認し、キーを無効化した。
WorkOS ― 検証環境を抜け出したAIエージェントが社内ツールに侵入
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
DIRIGIO「PICKS」 ― モバイルオーダーのAPIに不正アクセス
モバイルオーダー基盤「PICKS」を提供するDIRIGIOで2026年10月27日にシステムAPIへの不正アクセスが検知され、全サービスが緊急停止した。利用ブランドの発表では、サーティワンで最大8174名（注文9799件）、SUBWAYで7名、DEAN & DELUCAで3名の氏名・メールアドレスなどが漏えい、または漏えいの可能性があり、カード情報は含まれない。
グリーンモンスター「FXなび」 ― アプリのAPIから情報取得のおそれ
グリーンモンスター（東証グロース 157A）は2026年10月23日、FXデモトレードアプリ「FXなび」で10月17日に第三者の不正アクセスを確認し、調査の過程で、2026年4月27日20時26分頃から30日14時26分頃にかけて別のIPアドレスの第三者がユーザー情報等を継続的に取得していたおそれが判明したと発表した（第一報）。対象は約619万件で、メールアドレス6万6003件、初回アンケートの回答480万9631件、ログイン用の認証情報や引き継ぎコードなど。原因は「本アプリのAPIの機能」で、APIを修正し、修正前の認証情報をすべて無効化した。10月の不正アクセスの調査で、半年前の4月に別のIPから約619万件のユーザー情報が継続取得されたおそれが判明、原因は「アプリのAPIの機能」。
日本ピザハット ― 決済APIに不正アクセス、顧客情報が漏えい
日本ピザハットは2026年10月23日、国内向けオンライン注文サービスに関連する決済APIに10月19日に第三者が不正アクセスし、お客様情報を含むデータベースから一部の情報を取得したと発表した。漏えいが確認されたのはお客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれない。件数は公式発表にはなく、報道では最大約448万件とされている。
ソースネクスト ― 会員情報取得APIの不正利用で情報流出
ソースネクストは10月15日、会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報取得APIを不正に利用されて最大22,519,960件の個人情報が流出した可能性があると公表した。不正アクセスは10月9日10時頃から始まり、10月13日9時頃に確認、同日13時36分に封じ込め。パスワードを含む13項目が対象で、クレジットカード情報は対象システムに保存されていない。全会員のパスワードは変更済み。10月19日のITmedia NEWSの取材に対し、同社はパスワードを暗号化して保存していたが、復号鍵にアクセスできるAPIに不正アクセスされ、パスワードが復号された状態で流出したと説明した。
アエナ公式通販アプリ ― 機械的な連続アクセスで会員情報が閲覧された
化粧品アウトレットを展開するアエナは10月14日、運営する「ECアプリ」に第三者の不正アクセスがあり、会員マイページの情報が不正に閲覧されたと公表した。システムログの解析で10月13日5時58分に判明し、閲覧された可能性があるのは最大81万7215人分。氏名、住所、電話番号、メールアドレス、生年月日、登録したお届け先（第三者宛を含む）、登録済みクレジットカードの下4桁・有効期限・名義などが含まれる。原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」とし、詳細は調査中。カード番号の全桁・セキュリティコードとパスワードは流出しておらず、会員情報の変更や購入の確定操作も行われていないとしている。
バイトル（ディップ） ― 仕様の不備を突かれメールアドレス漏えい
求人情報サイト「バイトル」「バイトルNEXT」を運営するディップは10月9日、Webサイトの一部機能への第三者の不正アクセスを10月6日に確認し、会員のメールアドレスが一部漏えいしたと公表した。漏えいした可能性のある件数は最大3,885,771件で、情報はメールアドレスのみ。原因は「システムの一部機能における仕様の不備を突いた、海外からの不正アクセス」で、海外からのアクセスをすべて遮断し、プログラムを改修した。どの機能のどんな不備かは公表されていない。
相次ぐ不正アクセスにJPCERT/CC・NCO・IPAが一斉に注意喚起
9月前後から国内で不正アクセスによる大量の個人情報漏えいの公表が相次いだことを受け、10月7日から9日にかけて個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室（NCO）、総務省、経済産業省、IPA、金融庁が注意喚起を出した。JPCERT/CCは既知の脆弱性の探索、管理用APIへの不正なリクエスト、MetabaseのSQLインジェクション、アプリケーションサーバーへのWebシェル設置の4類型と不審なIPアドレスを公開した。IPAは「特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていない」とし、直近1か月から段階的にログを点検するよう求めている。10月20日には、GMOサイバーセキュリティ byイエラエが日本企業を狙う攻撃元インフラでAIによる自律型ペネトレーションテストツール「ARTEX」の使用を確認したとする調査（10月19日公開）が報じられた。木原官房長官は同日午後、AI使用の有無について「現時点で確たることを申し上げる段階にはない」とし、国家サイバー統括室を司令塔に被害企業へのヒアリングなどを踏まえて分析していると説明した。調査結果を公表するかは今後判断するとしている。相次ぐ国内の不正アクセスに各機関が一斉に注意喚起。JPCERT/CCが示した4つの攻撃類型と、国家サイバー統括室・IPAが求める点検。
ローソンID ― アプリの表示の仕組みが悪用され情報漏えい
ローソンは10月8日、共通アカウント「ローソンID」が9月12日から14日に、予約・決済サービス「ローソンアプリ予約」が9月17日に不正アクセスを受け、ローソンIDの215万5345件（メールアドレス・氏名、入力していれば性別・電話番号・住所など）と、アプリ予約の26件（氏名・電話番号・クレジットカード番号の一部）が漏えいしたと公表した。原因は、アプリ上で利用者本人に情報を表示するためのセキュリティ機構への不正アクセス。判明は10月7日の調査で、具体的な手口は公表されていない。10月24日には、詳しい調査の結果としてメールアドレスとメルマガ取得情報は漏えいしておらず、代わりに生年月日が漏えいした可能性があると対象情報を訂正した。アプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えい、9月中旬の不正アクセスが判明したのは10月7日。
デンマーク CPR ― 正規の照会権限が悪用され住民情報が流出
デンマークの中央住民登録（CPR）で、民間企業に認められていた正規の照会アクセスが約10日間悪用され、登録者約1100万人のうち約880万人分の氏名・住所・CPR番号が取得された。データ保護庁は、有効なCPR番号を割り出すための大量の自動照会があったと説明している。デンマーク CPR（中央住民登録）。民間企業の正規の照会権限が悪用され、約880万人分の氏名・住所・個人番号が抜かれた。
集英社 HAPPY PLUS COMMUNITY ― CMS設定不備から情報漏えい
集英社はファッション誌ブロガー管理システム「HAPPY PLUS COMMUNITY」への不正アクセスで、ブロガー2,835人分の個人情報などが漏えいしたと9月28日に公表。原因はCMS設定不備に起因するAPI認証情報への攻撃と説明。CMS設定不備から特権アカウントが作られブロガー2835人分が漏えい。