TL;DR
- 01何が起きたか
NTTソルマーレが運営する電子書籍ストア「コミックシーモア」で、2026 年 10 月 15 日、同社はサーバーに外部から不正なアクセスが行われた可能性が高いと判断してサービスを止めた。翌 16 日、会員情報を管理するシステムへの不正アクセスと、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームの流出を確認した。10 月 18 日の第 3 報では、一部のシステムログファイルも閲覧・取得されていたことが分かったとした。件数は精査中で、再開日は決まっていない。
- 02なぜ見分けられないか
会員情報を保管するシステムなら、どの項目が入っているかは決まっている。ログは、書き方しだいで中身が変わる。同社は、取られたログに会員情報が含まれているかを確かめるため、ログの精査を続けている。公表から読み取れる範囲では、取られたログに会員情報が無いと、すぐには言えない状態だった。侵入経路と攻撃手法は特定して対処しているとしたが、中身は公表していない。
- 03欠けていた層
対応は速かった。不正アクセスの可能性が高いと判断した当日にサービスを止め、停止から 3 日後の第 3 報で侵入経路の特定を公表した。効かなかったのは、ログに何が残るかを、取られる前から決めて確かめておく層である。
何が起きたか
- 事業者・サービス
- NTTソルマーレ。電子書籍ストア「コミックシーモア」を運営する。
- 侵入を受けたシステム
- 会員情報を管理するシステム。その内部に保管されていた会員情報が第三者へ流出した(第 2 報)。
- 流出した会員情報
- メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム。クレジットカード情報は対象のシステムで保有しておらず、流出していないとしている。購入履歴の流出と、MY本棚の流出・消失・欠損は、現時点で確認されていない。
- 件数
- 引き続き精査中(第 3 報)。流出が確認された人には、確認ができ次第連絡するとしている。
- システムログ
- 第 3 報で、一部のシステムログファイルも閲覧・取得されたことが判明したと公表した。同社は、会員情報の有無を確認するため、そのログを精査している。どのログが取られたか、何が書かれていたかは公表されていない。
- 侵入の経路
- 第 3 報で「侵入経路および攻撃手法の特定を行い、対処を実施しております」とし、原因も特定できたとした。経路と手法の中身は公表されていない(特定済み・非公表)。同社は、同様の不正アクセスと被害の拡大を防ぐ措置を取っているとしている。
- パスワードの扱い
- 第 2 報はハッシュ化されたパスワードを「特殊な文字列に変換し暗号化されたパスワード」と説明し、第 3 報で「元の内容を読み取れない形に変換したもの」と改めた。変換の方式は公表されていない。
用語メモ
システムログ — サーバーやアプリケーションが、処理の記録として書き出すファイル。何を書くかの設計しだいで、利用者の識別子や入力の一部が残る。
ハッシュ化されたパスワード — パスワードをそのまま保存せず、元に戻せない形に変換したもの。変換の方式によっては、よく使われるパスワードと照合されて割り出されることがある。
パスワードリスト攻撃 — 流出したメールアドレスとパスワードの組み合わせを、別のサービスのログインに使い回して試す攻撃。
公表から読み取れる範囲で欠けていたのは ④ の手前で、ログに何が残るかを、取られる前から決めて確かめておく手段。② の経路と手法は特定済みとされたが、公表されていない。
ログに何を書くかは、システムの設計しだい。
経路と手法は特定済み・非公表。
会員情報は 5 項目。ログの範囲と中身は公表されていない。
件数は精査中で、再開日は未定。
時系列 — 公表と対応
- 初報。サーバーに外部から不正なアクセスが行われた可能性が高いと判断し、11 時 35 分にサービスを停止して、不正アクセスの遮断対応を取った。
- 会員情報を管理するシステムへの不正アクセスと、会員情報の第三者への流出を確認し、第 2 報で公表した。新たな不正アクセスや被害の拡大は確認されていないとした。
- 第 3 報で、侵入経路と攻撃手法を特定して対処していること、一部のシステムログファイルも閲覧・取得されていたことを公表した。再開には安全性の確保と関係機関との調整が要るとして、再開日時は示さなかった。
- 第 4 報は出ていない。件数、取られたログの中身、侵入の経路は公表されていない。
本件の事実は、NTTソルマーレの初報から第 3 報に拠る。侵入経路と攻撃手法は、同社が特定したとしているが公表されていない。流出の件数、取得されたシステムログの範囲と中身、パスワードを変換した方式も公表されていない。調査は外部の専門機関と連携して進められているが、独立した第三者による調査結果は公表されていない。
公表後の対応
- 利用者へのお願い: 同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そちらのパスワードも変えるよう求めた。流出した情報が悪用され、同社を装うメールやフィッシングサイトに誘導される可能性があるとして注意を呼びかけている。
- 再開の方針: 安全性を確保できた段階で、購入済みの書籍をウェブで読めるところから順に再開するとしている。再開時には、すべての会員にパスワードの再設定を求める予定である。
なぜ止まらなかったか
この事案の失敗は、侵入を許したことだけでも、件数をまだ示せていないことだけでもない。公表から読み取れる範囲では、取られたログに何が書かれていたかを、取られた後に調べるしかなかったことにある。
ログが、それ自体、中身を調べ直さなければ範囲の言えない流出物になった。
対応は速かった。同社は不正アクセスの可能性が高いと判断した当日の 11 時 35 分にサービスを止め、翌日には流出を確認し、停止から 3 日後の第 3 報で侵入経路と攻撃手法の特定を公表した。ただ、停止の時点で会員情報とログはすでに取られており、侵入がいつ始まったかは公表されていない。効かなかったのは、その手前である。項目が設計で決まっている保管先なら、流出した項目はすぐ言える。会員情報は第 2 報の時点で 5 項目が示された。ログは、処理の記録として書き出されるもので、利用者の識別子や入力の一部が紛れ込むことがある。第 3 報の時点で、同社はそのログに会員情報があるかどうかを精査している。ログが、それ自体、中身を調べ直さなければ範囲の言えない流出物になった。
ログには一般に、何が起きたかの証拠という役割もある。取られたログがそうした記録だったかは公表されていないが、影響の範囲を決める調査は、ふつうアクセスの記録に頼る。今回公表されているのはログが「閲覧・取得」されたことまでで、書き換えられたとはされていない。それでも、攻撃者が届いた場所に置かれていた記録は、そのままでは、書かれた時点から変わっていないと示せない。侵入された環境の外で確かめられる形が要る。
前回発表いたしました流出した会員情報に加え、一部のシステムログファイルにつきましても閲覧・取得されたことが判明したことから、会員情報の有無を確認するため当該ログの精査を行っております。 — NTTソルマーレ(第 3 報)
ログが漏れる先になる構造は、これまでの Brief にも現れている。DeepSeek では、認証のないデータベースから 100 万行を超えるログと平文のチャット履歴が露出した。侵入の経路がどこまで公表されるかは、事業者によって違う。SpeeCAN RAIDEN のアルカディアは経路になった 2 つのサービスとそのホスト名まで出した(手口は非公表)。今回は、経路と手法を特定して対処していると述べるにとどめている。経路が分からないあいだも、ログに何を残し、どこに置くかは、組織の側で決められる。
対策するには
侵入の経路が分からなくても、ログから漏れるものは減らせる。経路の公表を待たなくても、今日から確かめられることがある。ログに何を書くかを決めて、会員情報を書かないこと。書いたログは、会員情報を管理するシステムとは別の場所に、書き換えられたら分かる形で残すこと。そうしておけば、取られたときに中身を一から精査しなくても漏れた範囲を言え、残した記録を証拠として示せる。
注意したい業界・業務
- 業界メディア・コンテンツ
- 電子書籍、動画、ゲームなど、多数の会員をメールアドレスとパスワードで管理するサービス。会員の数だけ、流出したときの影響が大きい。
- 業界サービス・小売
- 会員登録とログインを持つオンラインストア。同じメールアドレスとパスワードが、他のサービスでも使われていることが多い。
- 業務照会・参照
- 会員情報やログを、運用や障害対応のために参照する業務。ログに何が残るかが、そのまま漏れうる範囲になる。
同じ穴は、会員を持つ多くのサービスにある。データベースは守っていても、ログに何が書かれているかを一覧で言える組織は多くない。
いまの対策で埋まるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 会員情報のデータベースの保護(アクセス制御・暗号化) | 一部 | データベースの中は守れても、ログに書き出された情報には及ばない。 |
| パスワードのハッシュ化 | 一部 | パスワードそのものは保存しない。ただ、方式によっては、よく使われるパスワードと照合されて割り出されることがある。今回の方式は公表されていない。 |
| 侵入の検知とサービスの停止 | 一部 | 被害の広がりは止められる。すでに取られた情報と、取られたログの中身は戻らない。 |
| 再開時の全会員のパスワード再設定 | 一部 | このサービスへの不正ログインは防げる。同じ組み合わせを使い回した、ほかのサービスには及ばない。 |
- ログに書く項目を決め、会員情報を書かない。メールアドレス、生年月日、入力された文字列を、そのままログに書き出さない。調査で利用者を見分ける必要があるなら、置き換えた値を使う。何を書くかが決まっていれば、ログを取られたときも、中身を精査し直さずに漏れた範囲を言える。
- ログを、会員情報を管理するシステムとは別の場所に残す。同じ環境に置けば、一度の侵入で両方に届く。書き出したログはすぐ外へ送り、元の環境からは消せず、書き換えられない置き場に移す。
- 残したログが、書いた時点のままかを外から確かめられるようにする。ログのまとまりごとに要約値(ハッシュ)を取り、侵入された環境の外に記録しておく。調査で使うログがその値と一致すれば、取られた後に書き換えられていないと示せる。
会員情報を扱うサービスで確かめる 3 項目
- ログが取られたとき、何が漏れたかをすぐに言えるか。
- ログは、会員情報を管理するシステムと同じ環境に置かれていないか。そこに届いた攻撃者が、ログを消したり書き換えたりできないか。
- 侵入されたとき、調査に使うログが書き換えられていないことを、何で示すか。
注：ログの中身や置き場を変えても、会員情報を管理するシステムへの侵入そのものは防がない。また、今回は侵入の経路が公表されていない。続報で判明すれば、この Brief を改訂する。
Sources
- 一次・運営事業者NTTソルマーレ「『コミックシーモア』会員情報の流出に関するご報告(第3報)」
- 一次・運営事業者NTTソルマーレ「『コミックシーモア』会員情報の流出に関するお詫びとお願い(第2報)」
- 一次・運営事業者NTTソルマーレ「『コミックシーモア』の緊急メンテナンスについて(初報)」
報道・解析 2 件
- 報道ITmedia NEWS「コミックシーモア、会員のメールアドレスや生年月日など流出 件数は精査中」
- 報道電ファミニコゲーマー「「コミックシーモア」停止続く、再開日時は未定。不正アクセスの原因は特定済み」
参照: 侵入された側のログが証拠にならない論点は「MCPツール呼び出しの監査証跡を、あとから検証できる形で残す」、事後の検知が証明にならない論点は「AI 時代のサイバー防衛に残された、最後の層」。