電子書籍ストア「コミックシーモア」を運営するNTTソルマーレ株式会社は2026年10月21日、同ストアへの不正アクセスに関する第4報を公表し、外部の専門機関と連携した調査で流出した情報の範囲を確認したと発表した。会員データベースからはメールアドレスやハッシュ化されたパスワードなど319件が、システムの動作などを記録するログファイルからはメールアドレスやニックネームなど最大約420万件が流出した。クレジットカード情報は対象のシステムに保有しておらず、流出していないとしている。
流出が確認された情報は2系統
発表によると、流出が確認された情報は次の2つに分かれる。
- 会員データベース上の登録情報：319件。メールアドレス、ハッシュ化されたパスワード（元のパスワードを読み取れない形に変換したもの）、ニックネーム、生年月日、性別
- システムログファイル上の情報：最大約420万件。メールアドレス、ニックネーム、生年月日、性別。パスワードは含まれない
ログファイル側の件数には、同じ利用者の情報が重複して数えられている可能性があるという。対象となる項目は利用者ごとに異なり、すべての項目が流出したわけではない。同社は該当する利用者にメールで連絡するとしている。
一方、購入履歴の流出や、購入済み作品を管理する「MY本棚」の流出・消失・欠損は確認されていない。
侵入経路は遮断済み、サービス再開は関係機関と調整中
同社は、不正アクセスの侵入経路と攻撃手法を特定し、遮断の対応も終えたうえで、安全性の確保と再開の準備を進めているとした。再開は、購入済み作品のWebでの閲覧と読み放題サービスの閲覧を最優先とし、作品の購入や各種決済は安全が確認できたものから順次再開する予定である。再開の時期は関係機関と調整中で、決まり次第知らせるという。
利用者への対応として、サービスを使えなかった期間に有効期限を迎えたポイントの再付与などを検討している。再開時には、すべての利用者にパスワードの再設定を求める予定だ。
ログに残る個人情報が被害を広げうる
今回の発表で注目したいのは、流出件数の大半が会員データベースではなく、システムのログファイルに由来する点である。ログは障害の調査や利用状況の分析に欠かせないが、メールアドレスや生年月日といった個人情報がそのまま書き込まれていると、データベースを厳重に守っていても、攻撃者がログを保管するサーバーやデータの保存先にアクセスできれば、大量の情報が持ち出されうる。
自社のシステムについては、ログに記録される個人情報の種類、保存期間、保管場所に加え、ログにアクセスできる人や仕組みが適切に管理されているかを確かめておきたい。必要のない個人情報をログに残さない設計にすることも、万一の際の被害の規模を左右する。
利用者の側では、同社が呼びかけているように、コミックシーモアと同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合は、そちらのパスワードも変更しておくことが望ましい。同社などを装った不審なメールにも注意が必要である。
同じ手口に、自社は備えられていますか？