キリンビールとキリンビバレッジは2026年11月10日、両社が実施したSNSキャンペーンで使っていた外部ツール「OWNLY」（提供元：スマートシェア）が第三者による不正アクセスを受け、キャンペーン参加者の情報1,825件が外部へ漏えいしたことを確認したと発表した。漏えいしたのはLINEの表示名とX（旧Twitter）のユーザー名で、このうち、実名のフルネームなど個人を特定できる表示名329件を個人情報として扱っている。
当初はアクセスを確認できず、その後の調査で形跡を確認
両社の発表によると、2026年10月18日にOWNLYで不正アクセスが確認された。当初の調査では両社のキャンペーン参加者の情報へのアクセスは確認されなかったが、詳しい調査を続けた結果、10月28日に参加者情報へのアクセスの形跡が見つかった。直ちに対象のアカウントを無効化して調査を進め、11月6日に両社のキャンペーン参加者の情報が漏えいしたことを確認したという。
OWNLYを提供するスマートシェアは、これに先立つ10月27日、同ツールへの不正アクセスにより、別の企業のキャンペーン参加者の情報が漏えいしたと公表していた。同社の発表では、ファイルアップロード機能の不備が侵入経路とされている。
漏えいした情報と対象キャンペーン
漏えいを確認した情報は、LINEの表示名とXのユーザー名の計1,825件。内訳は、個人を特定できない表示名やユーザー名などが1,496件、実名のフルネームなど個人を特定できる表示名が329件である。両社は、個人情報保護法のガイドラインに沿って、表示名が実名になっているものを個人情報として扱うと説明している。
メールアドレス、パスワード、電話番号、住所、クレジットカード情報などの漏えいは、現時点で確認されていない。対象となったキャンペーンは2021年以降に始まったもので、発表資料の別紙に一覧が示されている。現時点で不正利用などの二次被害は確認されていない。
両社は不正アクセス経路の遮断と対象アカウントの無効化、ログ（システムへのアクセスや操作などの記録）の保全と外部専門機関による調査を行った。原因と影響範囲はスマートシェアが外部専門機関の協力を得て調べており、個人情報保護委員会などへの報告を予定している。
外部ツールに残る「過去のキャンペーンのデータ」
今回の対象には、数年前に実施されたキャンペーンの参加者情報も含まれていた。SNSキャンペーンの運営では、応募の受け付けや抽選に外部のツールを使うことが多い。キャンペーンが終わった後も参加者のデータがツール側に残っていれば、そのツールが不正アクセスを受けたときに漏えいの対象になりうる。
外部のサービスを使う企業は、どのデータをどこに預けているかを把握し、利用目的を果たしたデータを削除する、または保存期間を決めて管理することで、漏えい時の被害範囲を抑えられる。あわせて、ツールの管理画面への多要素認証（パスワードに加えて別の手段で本人確認をする仕組み）の設定や、アクセスできる担当者の範囲も見直しておきたい。
同じ手口に、自社は備えられていますか？