📡 Signal｜LINE 連携の COMSBI、3 週間で 2 度目の不正アクセス

LINE 公式アカウントの運用を企業に代わって担うクラウドサービス「COMSBI (SaaS版)」が11月9日深夜から10日朝にかけて不正アクセスを受け、利用する複数の企業・団体の顧客情報が流出した。提供元のソニックムーブが12日に公表した。同社の別の基盤「COMSBI エンタープライズ基盤」も10月23日に侵入されており、同じ会社のサービスが 3 週間で 2 度破られた。

ソニックムーブ — 「COMSBI（SaaS版）」への不正アクセスによる個人情報の漏えいに関するお知らせとお詫び (2026年11月12日・経緯の時刻と原因を確認)sonicmoov.com

14日には京阪ホールディングスが、グループ 4 社の公式 LINE アカウント 6 つで顧客情報が流出した可能性があると発表した。氏名や電話番号などが流出したおそれのある人は、京阪百貨店だけで最大 2 万 8,000 人にのぼる。運用を任せた 1 社の管理権限が破られると、その会社に任せていた企業すべての顧客が一度に巻き込まれる。

社内アカウント 1 つから、複数社の顧客情報へ

ソニックムーブの公表による経緯は次のとおりだ (時刻は日本時間)。

• 11月9日23時4分 — 第三者が、同社が運用・サポートに使う社内アカウントの 1 つで管理画面にログインし、複数の企業・団体の情報を取り始めた
• 10日2時15分 — ほかの複数の社内アカウントも使い、取得を広げた
• 同日7時36分 — 同社がクラウド環境の異常を検知し、不正に使われた権限を遮断した
• 同日9時頃〜9時17分 — 攻撃元からのアクセスを遮断し、社内アカウントのパスワードを変えて強制的にログアウトさせた

流出したのは、企業ごとに項目は違うが、利用者の氏名・電話番号・メールアドレス・住所・生年月日・性別など。加えて、LINE 公式アカウントの友だちの表示名・プロフィール画像・ステータスメッセージ・LINE ユーザー ID も取られた。攻撃者はサービスを動かすクラウド環境にも入り込み、システムの設定情報と認証情報も取得している。クレジットカード情報は、このサービスでは持っていないという。

原因について同社は、社内アカウントの認証情報が不正に取得され、そのアカウントに複数の企業・団体の管理機能を操作できる権限が付いていたためだと説明した。認証情報が外部に渡った経緯は調査中としている。

京阪の 6 アカウントで見る広がり

京阪ホールディングスの発表は、1 つの委託先の侵害が利用者の側でどう見えるかを具体的に示している。流出した可能性がある人数の最大値は次のとおりだ。

会社	アカウント	氏名・連絡先などの個人情報	LINE の表示名・ユーザー ID
京阪電気鉄道	京阪電車ファン情報	—	2 万 6,914 人
京阪流通システムズ	京都タワーサンド	9 人 (氏名か住所)	9 万 550 人
京阪流通システムズ	枚方モール	3 万 5,025 人 (生年月日か性別)	4 万 6,957 人
京阪百貨店	京阪百貨店	2 万 8,000 人	5 万 1,223 人
京阪ホテルズ&リゾーツ	THE THOUSAND KYOTO・京都センチュリーホテル	1,298 人	8,742 人

同じ人が複数のアカウントに登録している場合は重複して数えられており、精査で減る可能性があるという。京阪がソニックムーブから報告を受けたのは11月11日。二次被害は確認されていないとし、準備が整い次第、個人情報保護委員会への報告と対象者への連絡を行うとした。

「別の基盤」でも、同じ形で破られた

10月26日、ソニックムーブはエンタープライズ基盤への不正アクセスを公表していた。10月23日午前に第三者が管理システムへ不正にログインし、管理画面の機能の不備を通じてサーバーの認証情報を取得した、という内容だ。同社はこのとき、SaaS版は別のシステム基盤で動いており影響は確認されていないとし、SaaS版についても「より一層のセキュリティ対策の強化をすすめます」と書いていた。

今回の公表は、立場を入れ替えて同じ文言を使っている。SaaS版は「COMSBI エンタープライズ基盤」とは別のシステム基盤で動いており、エンタープライズ基盤の利用者には影響がない、という説明だ。

2 つの侵入は、基盤は別でも入口が共通している。どちらも管理画面の認証情報が第三者の手に渡り、そこからサーバーやクラウドの認証情報まで取られた。基盤を分けても、管理する人の認証情報の守り方が同じなら、同じ形で破られる。今回の再発防止策には、管理画面の「2 段階認証の必須化」と「接続元の制限」が並んだ。

LINE は日本で企業と顧客をつなぐ主要な窓口になった。その運用を外部の SaaS に任せる企業は多い。今週は大阪市の行政オンラインシステムでも、委託先が使っていたメール配信サービスへの侵入で、利用者のメールアドレス 107 万件余りが漏えいした (13日の記事)。発注した側の企業は、委託先の管理画面に誰がどう入れるかを、自分では確かめにくい。

次に見るもの

• ソニックムーブのお知らせのページ — 社内アカウントの認証情報が外部に渡った経緯の調査結果が出るか。10月の侵入で取られた情報とのつながりがあるかどうかが焦点になる
• COMSBI (SaaS版) を使う他の企業・自治体の発表 — 京阪に続いて、自社の公式 LINE の利用者への影響を公表する発注元が出るか

ことば

• SaaS — インターネット経由で使うソフトウェアのサービス。企業は自前でシステムを持たずに機能を借りられるが、同じ基盤を多くの企業が共有するため、提供元の侵害は利用企業すべてに及びうる。
• LINE ユーザー ID — LINE が利用者ごとに発行する内部の識別子。友だち検索に使う LINE ID とは別のもので、企業の公式アカウントが個々の友だちにメッセージを送るときの宛先になる。

🔗 一次ソース

• ソニックムーブ — 「COMSBI（SaaS版）」への不正アクセスによる個人情報の漏えいに関するお知らせとお詫び (2026年11月12日・経緯の時刻と原因を確認)sonicmoov.com
• 京阪ホールディングス — お客さま情報の流出に関するお詫びとお知らせ (2026年11月14日・4 社 6 アカウントの対象者数を確認)keihan.co.jp
• ソニックムーブ — 「COMSBI エンタープライズ基盤」への不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び (2026年10月26日)sonicmoov.com
• 大阪市 報道発表 — 行政オンラインシステムのメールアドレス漏えい (終報)大阪市