自社が使っているソフトウェアの脆弱性が公表されたとき、「うちは大丈夫か」と調べに行けるかどうかで、その後の展開は大きく変わる。人気VTuberグループ「ホロライブプロダクション」のトレーディングカードゲーム公式サイトで起きた事案は、まさにその一手によって発覚した。2026年8月25日の発表によれば、CMS（コンテンツ管理システム）の脆弱性公表を受けた社内調査の過程で不正アクセスの痕跡が見つかり、問い合わせフォームに入力された氏名や連絡先が外部に取得されたおそれがあるという。
「脆弱性が公表された」から調べたら、痕跡があった
公式サイト「hololive OFFICIAL CARD GAME」の発表によると、起点は2026年7月17日。運営元が利用するCMSにおいて脆弱性が公表されたことを受け、社内で調査を実施した結果、同サイトのCMS上に不正なアクセスの痕跡が確認された。
順序を確認しておきたい。改ざんされたページに気づいたわけでも、利用者からの通報があったわけでもない。「使っている製品に脆弱性が見つかった」という外部の情報を受けて自ら点検し、その結果として侵害の痕跡に行き当たっている。脆弱性情報を自組織の資産と突き合わせる作業が機能していた例といえる。
なお、どのCMSのどの脆弱性だったのかは公表されていない。報道でもCMSの脆弱性を突かれた可能性として扱われており、製品名や脆弱性の識別番号は確認できない。
狙われたのは「一時的に保存されていた」問い合わせ内容
被害の中身は、サイトの見た目には表れないところにあった。同社は、サイト上の掲載内容について改ざんに当たる事実は確認されていないとしている。一方で、問い合わせフォームを利用した際の情報の一部がシステム上に一時的に保存されており、不正アクセスに伴って外部に取得されたおそれを否定できない状況であったことが判明した。
対象となるのは、2026年7月4日から7月19日までの間に問い合わせフォームを利用した利用者で、項目は氏名、メールアドレス、電話番号、問い合わせ内容。単品カード交換対応窓口は対象外とされている。対象人数は公表されていない。
実際に外部へ持ち出された事実は現時点まで確認されていないが、同社は「漏えいのおそれがある」ものとして扱い、対象者にはメールで個別に案内している。事象確認後にCMSのプログラム更新などの対策を完了し、サイトの監視と調査を継続中で、不正アクセスの拡大や追加の被害は確認されていないという。外部の関係会社と連携して対応にあたっているとしている。
同社はあわせて、心当たりのないメールに記載されたリンクや添付ファイルを開かないよう呼びかけている。氏名・メールアドレス・電話番号に加えて問い合わせ内容まで揃えば、「あのときの問い合わせの件で」と語りかける、それらしいメールを作ることは難しくない。
フォームの裏側に、どれだけデータが残っているか
この事案が示すのは、Webサイトのリスクが「改ざんされて怪しい表示が出る」だけではないということだ。表側は無傷でも、裏側に蓄積されたデータが持ち出される可能性がある。今回対象になったのは、送信されてそのまま消えていると思われがちな、フォーム経由の一時保存データだった。
自社サイトの問い合わせフォームが、送信内容をどこに、どのくらいの期間置いているかを即答できる組織は、意外に多くない。CMSのプラグインやフォーム機能が既定でデータベースに保存する設定になっていることもあり、メール転送だけのつもりが実は溜まり続けている、という構成は珍しくない。保持しなくてよいデータを保持しないことは、脆弱性を潰す作業と同じくらい、被害の上限を下げる効果がある。
もう一つは、脆弱性公表から自組織の点検までの距離だ。今回は7月17日の公表を受けて調査し、痕跡を見つけている。攻撃側は脆弱性の公表直後に、あるいは公表前から探索を始める。公表を受けて修正プログラム（パッチ）を当てるだけでなく、「すでに入られていないか」まで確認する運用があるかどうかで、気づけるか気づけないかが分かれる。CMSを含むWeb基盤についても、更新の適用状況とアクセスログの点検を組み合わせて初めて、侵害の有無を判断できる。
同じ手口に、自社は備えられていますか？