覆面調査サービスにPWリスト攻撃 - なりすましによるポイント交換も

消費者参加型の覆面調査サービス「ファンくる」において、パスワードリスト攻撃と見られる不正アクセスを受けたことがわかった。なりすましによるポイント交換も確認されている。

同サービスを提供するファンくるによれば、2026年8月20日22時から同月24日13時にかけて、利用者本人になりすましてログインを試みるパスワードリスト攻撃を受けたもの。506万270回に及ぶログインの試行があり、5万9389人の会員がログインを許した。

第三者によりログインされたアカウントでは、同サービスに登録されている氏名や電話番号、生年月日、メールアドレスなどの個人情報が参照された可能性がある。また2件のアカウントで、第三者によってポイントが不正に交換された。

不正アクセスに用いられた認証情報について、同社では流出した可能性も踏まえて調査を実施しているが、内部から流出した痕跡などは確認されていないとしている。

今回の問題を受けて同社は警察や個人情報保護委員会へ報告。第三者にログインされた可能性がある会員に対しては、個別にメールで連絡を取り、パスワードの再設定を案内した。

またサービスを一時停止し、メンテナンスを実施。不正な通信を遮断するとともに、ログイン画面に不正アクセス対策を導入し、監視体制を強化した。サービスについては、8月25日12時に再開している。

（Security NEXT - 2026/09/09 ）ツイート