なぜ漏れた不正アクセス・情報漏えいの原因と再発防止

株式会社2りんかんイエローハット ／ 2りんかんアプリ

「2りんかんアプリ」の API を悪用した不正アクセス、会員 317万名分のデータが取得される

最終更新 2026-10-11

概要（公表された事実）

公表主体株式会社2りんかんイエローハット
業種卸売業，小売業
経緯
第1報: 2026-04-23
件数最大 3,179,454 件
最終報（2026-06-19）で特定された件数。第二報時点では「最大 3,455,754 名様分」
漏えいした情報氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーID、アプリパスワード、ポイント残高、車両情報
含まれない情報クレジットカード情報
報告先個人情報保護委員会、警察（被害申告）

分類

侵入経路自社実装の不備：種類は非公表
アプリの仕組み（API）を悪用した不正アクセスにより、会員専用サーバーの会員データが取得された。API のどの不備を突かれたかは公表されていない
MFA不明
委託先・SaaS 経由公表文では触れられていない
原因の公表度一部のみ公表
判定判定に必要な事実が非公表
根拠: 自社実装の不備とされたが、脆弱性の種類が公表されていない（判定ルール）

根拠となる公表文の記載

「アプリの仕組み（ＡＰＩ）を悪用した不正アクセスにより、以下の会員データが取得されたことが特定されました」
侵入経路 の根拠 ／ 出典
「対象データ数：3,179,454名様分」
被害 の根拠 ／ 出典

何が起きたか（エンジニアによる推定）

この節は公表された事実ではなく、公表文から読み取れる範囲の推定です。

公表文から読み取れる範囲の整理。

自分のシステムで確認すること

確認項目やり方
アプリ向け API が、リクエストした会員本人のデータだけを返しているか会員 ID・会員番号を受け取るエンドポイントを洗い出し、別アカウントで他人の ID を指定して拒否されるかを試す。テストにも入れる
1 クライアントから会員データを大量に取得されたときに止まるかユーザー・端末・IP 単位のレート制限と、会員情報 API の呼び出し数の急増アラートを置く
パスワードを復元できる形で保存していないかbcrypt / Argon2 などのソルト付き低速ハッシュで保存し、平文や可逆暗号で持たない。API のレスポンスに含めない

利用者がやること

出典