Koto Onlineの個人情報記録公開漏えいと保存範囲を分けて確認する

資料で確認できること

メールアドレス1673件、うち20件でパスワードも記録

公式発表によると、記録されたメールアドレスは1673件で、このうちSNSを利用した登録は191件です。20件ではメールアドレスとパスワードの両方が記録されていました。20件は1673件とは別枠の数字ではなく、その一部です。対象期間は2023年3月31日から2026年9月18日までとされています。

会社は、パスワードが記録されたのは、画面読み込みが完了する前に送信するなど、限定的な条件で操作した場合と説明しています。該当する20件のパスワードを無効化し、対象者へ個別連絡したとしています。

• 資料 01株式会社コアコンセプト・テクノロジー：当社サービス『Koto Online』における個人情報の不適切な記録について

当事者の説明

9月14日の指摘後に修正し、10月9日に機能を再開

会社は、アクセス解析の支援事業者から9月14日に指摘を受け、9月17日から18日にかけて修正したと説明しています。会員登録・ログイン・パスワード再設定を一時停止し、修正後の安全確認を経て10月9日に再開しました。全利用者を一度ログアウトさせ、再ログインを求めています。

各記録先のデータ削除も進めていますが、削除には時間を要するとしています。会社は、不正ログインの有無を調査し、外部サービス事業者に保存状況を確認中です。パスワードをほかのサービスでも使っている場合は変更するよう案内しています。

• 資料 01株式会社コアコンセプト・テクノロジー：当社サービス『Koto Online』における個人情報の不適切な記録について

未確認の点

外部事業者側の保存・削除完了と不正ログイン調査は継続中

10月12日の確認時点で、外部サービス事業者側に残るデータの範囲、すべての保存先からの削除完了、不正ログイン調査の最終結果、記録先ごとの件数は公開資料から確定できません。対象者ごとの具体的な記録内容は、個別通知を除いて確認できません。

公表資料は、インターネット上で不特定多数が閲覧できる状態や、外部への流出を確認していないと説明しています。これは、すべての外部事業者の記録を会社が検証し終えた、あるいは二次利用の可能性が完全に否定された、という意味ではありません。

確認の範囲

このコラムの確認範囲

本稿は2026年10月12日に取得したコアコンセプト・テクノロジーの10月9日付公式発表と、個人情報保護委員会の10月7日付注意喚起を照合したものです。JBJはサイトのプログラム、サーバー記録、外部ツールの保存データ、個別通知を独立に確認していません。掲載画像は情報の記録先を確認する姿勢を表した説明用イメージで、Koto Onlineの実際の職員・利用者・画面・システム・漏えい記録ではありません。

• 資料 01株式会社コアコンセプト・テクノロジー：当社サービス『Koto Online』における個人情報の不適切な記録について
• 資料 02個人情報保護委員会：個人情報の漏えい等事案が相次いでいることを踏まえた注意喚起

JBJの見解

入力した情報が意図しない場所へ記録されていた

コアコンセプト・テクノロジーは2026年10月9日、同社が運営するKoto Onlineの会員登録・ログイン・SNS登録画面で入力された個人情報が、サーバーの記録、アクセス解析ツール、広告・マーケティング関連ツールなどへ送信・記録されていたと公表しました。

会社は、不特定多数が閲覧できるインターネット上への公開や、第三者による不正取得は確認していないと説明しています。ただし、外部サービス事業者側の保存状況をすべて確認し終えたわけではありません。『公開されていない』と『本来と異なる記録がなかった』を同じ意味にしないことが重要です。

JBJの見解

一つの入力が複数の記録先へ送られると、全体像を追いにくい

Webサービスでは、サーバー記録、アクセス解析、広告・マーケティングのツールが別々に動くことがあります。入力画面の表示だけを見ても、どの情報がどこへ送られるかを利用者が判断するのは困難です。さらに、外部事業者が関わると、保存と削除の確認に時間がかかります。

この構造を説明することは、運営会社の設計・点検責任を軽くするためではありません。入力項目の最小化、送信先の棚卸し、意図しない記録のテスト、外部事業者を含む削除確認を継続し、利用者へ結果を知らせる必要があります。

JBJの見解

利用者が確認するログイン、通知、パスワードの記録

Koto Onlineを利用したことがある場合は、登録方法、利用したメールアドレス、公式通知の受信日時、パスワード変更日時、不審なログイン通知を記録してください。ブラウザーの履歴に登録・ログイン画面のURLが残っている場合があるため、共有端末では履歴や保存済み認証情報も確認します。

パスワードを使い回している場合は、同じパスワードを使うほかのサービスから変更し、多要素認証が利用できる場合は設定します。不審な連絡では本文中のリンクを開かず、Koto Onlineの公式サイトへ自分でアクセスして案内を照合してください。

• 資料 01株式会社コアコンセプト・テクノロジー：当社サービス『Koto Online』における個人情報の不適切な記録について
• 資料 02個人情報保護委員会：個人情報の漏えい等事案が相次いでいることを踏まえた注意喚起

JBJの見解

公開の有無だけで結論を出さず、記録と削除の範囲を追う

不特定多数への公開や不正取得が確認されていないことは、現時点の重要な確認事項です。同時に、利用者が想定しにくい記録先へ情報が送られていたこと、パスワードを含む20件があったこと、外部事業者側の確認が続いていることも軽視できません。

正当な批判は、設計、点検、通知、削除、再発防止の具体的な改善へ向けられます。根拠なく流出や悪用を断定したり、利用者や担当者個人を攻撃したりすると、必要な検証から焦点が離れます。JBJは、公表された記録範囲と未確認の外部保存を分けて追います。