株式会社円谷プロダクションと、同社が利用するデジタル整理券システム「mogily（モギリー）」を提供するmogily株式会社は2026年9月11日、このシステムが外部から不正アクセスを受け、グッズ購入の抽選結果が第三者に書き換えられていたと発表した。本来「当選」だった133人のステータスが「落選」に変更されていたという。両社とも、今回の不正アクセスによる個人情報の漏えいは確認されていないとしている。公表されている範囲では、情報が持ち出されたのではなく、業務の結果そのものが書き換えられた事案ということになる。
9月9日から10日にかけて、管理システムが侵入を受けた
mogily社の発表によると、不正アクセスが発生したのは2026年9月9日から9月10日にかけてで、侵入を受けたのは同社が提供するデジタル整理券システムの「管理システム」である。その結果、一部の利用者の抽選結果データに改ざんが生じた。
影響を受けたのはクライアント1社、利用者133名で、それ以外のクライアントと利用者のデータには影響がないとしている。侵入経路について、mogily社は「侵入経路となった箇所の特定およびシステム上のセキュリティ強化対策を完了しており、現在、新たな不正アクセスは発生しておりません」と記すにとどめ、どのような手口だったのかは公表していない。誰がどのように異変に気づいたのかも公表されていない。
mogilyは、LINEアプリ上で順番待ちの整理券や抽選を扱うサービスである。店舗やイベントの主催者は、専用アプリを用意しなくても、利用者が普段使っているLINEの中で受付や抽選を完結させられる。今回問題になったのは、その運営側の管理画面にあたる部分だった。
対象は「ふわふわお座りぬいぐるみ」の購入抽選
影響を受けたクライアント1社が、円谷プロダクションである。同社が運営する直営店「ULTRA MART」は、人気商品の販売にこのシステムを使って購入抽選を実施していた。
円谷プロの発表によれば、改ざんの対象となったのは、9月9日と10日の抽選枠で販売した「M78ウルトラマン ふわふわお座りぬいぐるみ」の購入抽選である。9日は「ウルトラマンティガ」の枠のうち10時から18時までの各回、10日は同じティガの全枠に加え、「ウルトラマンタイガ」の大半の枠と「ウルトラマンブレーザー」の全枠が該当する。2日間にわたり、時間枠単位でまとめて改ざんされた形だ。
個人情報は漏れていない。それでも被害は残る
mogily社は、詳細な調査の結果、今回の不正アクセスに伴う氏名や連絡先といった個人情報の漏えいは一切発生していないことを確認した、としている。円谷プロも同様に、個人情報の漏えいは確認されていないと説明している。
では被害がなかったのかというと、そうではない。抽選に当たっていたはずの133人は、その事実を知らないまま「落選」という誤った結果を受け取っていた。商品を買う権利が、本人の知らないところで失われていたことになる。個人情報保護の観点では「漏えいなし」と整理される事案でも、利用者の体験と企業の信頼という観点では損害が出ている。
復旧そのものは進んでいる。mogily社は事象の発覚後ただちにログ調査を実施して対象の133人を特定し、ステータスはすべて本来の「当選」の状態に戻したと説明している。改ざんされた範囲を後から正確に割り出せたのは、ログが残っていたからである。同社は本件を「極めて悪質な犯罪行為」と位置づけ、警察などの関係機関と連携して調査を進め、法的措置を含めた対処を行うとしている。
円谷プロは19日以降の抽選を一旦停止、補填を検討
円谷プロは、該当の抽選で本来「当選」していた顧客の特定は完了しており、9月11日から順次、LINEで個別に連絡していると説明した。すでに受付を済ませている9月18日までの抽選分は通常どおり案内する一方、9月19日以降の抽選は一旦停止し、今後の予約方法は確定次第あらためて知らせるとしている。本来当選だった顧客には補填対応を検討している。再発防止については、システム提供元でセキュリティ基盤の強化を進めているとした。
守るべきなのは「漏れないこと」だけではない
サイバー攻撃の被害というと、まず個人情報の漏えいが思い浮かぶ。社内の報告体制も、個人情報保護委員会への報告を軸に組み立てられていることが多い。だが今回の事案は、漏えいがゼロでも事業が傷つくことを示している。損なわれたのは情報の秘密を保つこと（機密性）ではなく、データが正しい状態を保つこと（完全性）だった。
完全性への攻撃が厄介なのは、痕跡が「異常」の形で出てこない点にある。ファイルが暗号化されればすぐ分かるし、サービスが止まれば誰でも気づく。しかし「当選」が「落選」に変わっただけのデータは、システムから見ればごく普通の値でしかない。落選した利用者は不審に思わないし、運営側の画面にもエラーは出ない。受注データの金額、在庫数、承認ステータス、支払先の口座情報——静かに書き換えられて困るデータは、どの企業のシステムにもある。
もう一点は、侵入されたのが自社のシステムではなかったことである。円谷プロにとってmogilyは外部の事業者が提供するサービスだが、顧客に謝罪し、抽選を止め、補填を検討する責任は円谷プロ自身に残る。外部サービスを業務に組み込むということは、その事業者のセキュリティを自社のリスクとして引き受けることでもある。契約時にインシデント発生時の連絡経路と調査への協力範囲を決めてあるか、自社が使っているクラウドサービス（SaaS）の管理者アカウントがどう保護されているかは、一度棚卸ししておく価値がある。
そして今回、133人という具体的な数字を出して「全員を元に戻した」と言えたのは、管理システムの操作ログが残っていて、事後に追跡できたからである。侵入を完全には防げないという前提に立つなら、何が起きたかを後から言葉にできる状態を保っておくことが、被害の範囲を確定させる唯一の手立てになる。
同じ手口に、自社は備えられていますか？