TONARIWA第2報導入2社で漏えい確認、件数調査中の範囲

当事者の説明

漏えいの可能性から、導入企業2社での確認へ更新

11月11日の初報は、TONARIWAで管理された一部の個人情報が外部に漏えいした可能性があると説明していました。11月12日の第2報では、システム基盤内の一部データについて外部持ち出しを示すログを確認し、現時点で導入企業2社の個人情報漏えいを確認したと更新しています。

確認された2社には個別に連絡し、状況説明を順次行うとしています。ほかの導入企業については、漏えいまたは漏えいのおそれの有無を引き続き検証中で、影響の有無にかかわらず個別に連絡すると説明しました。2社が最終的な全対象数だとは確定していません。

• 資料 01株式会社電通デジタル：当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告
• 資料 02株式会社電通デジタル：【第二報】当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいに関するお詫びとご報告

当事者の説明

氏名・生年月日・連絡先等と管理用トークン、決済情報は非対象

対象情報として示されたのは、一部の導入企業が取り扱うエンドユーザーの氏名、生年月日、連絡先などの属性情報と、LINE公式アカウント連携用アクセストークンなどのTONARIWA管理用アカウント情報です。個人ごとに含まれる項目は第2報では示されていません。

クレジットカード情報や金融機関口座情報などの決済関連情報は、漏えい対象に含まれていないことを確認したと説明しています。また、11月12日時点で、本件に起因する個人情報の不正利用や悪用は確認していないとしていますが、今後の被害がないことを保証する説明ではありません。

• 資料 01株式会社電通デジタル：当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告
• 資料 02株式会社電通デジタル：【第二報】当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいに関するお詫びとご報告

当事者の説明

認証情報を失効し全サーバーを停止、再開は安全検証後

初報では、11月10日に管理アカウントの認証情報漏えいに起因する第三者の不正アクセスと権限昇格を確認したと説明しています。第2報は、不正アクセスに使われた認証情報の失効、通信経路の遮断、全サーバーの停止による完全隔離を、完了済みの初動対応として挙げました。

復旧方針と再開見通しは検証中で、全容解明、原因究明、再発防止策、安全検証には数カ月程度を要する可能性もあるとしています。既存環境の復旧検証と並行し、導入企業への代替環境や後継システムへの移行支援も検討すると説明しました。

• 資料 01株式会社電通デジタル：当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告
• 資料 02株式会社電通デジタル：【第二報】当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいに関するお詫びとご報告

未確認の点

対象件数、全導入企業の影響、認証情報が漏れた経緯は未確認

2026年11月13日の確認時点で、漏えいが確認された2社の名称、エンドユーザーの人数・件数、個人ごとの情報項目、ほかの導入企業への影響は、公表資料だけでは確定できません。第2報も対象件数を特定中としており、確認済み範囲と調査継続範囲を分けています。

初報は管理アカウントの認証情報漏えいを起点として示していますが、その認証情報が漏れた具体的な原因・経路、権限昇格後の操作全体、持ち出された情報の保存・共有・二次利用は公表されていません。JBJはログやサーバー、個別通知を独立確認していません。

• 資料 01株式会社電通デジタル：当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告
• 資料 02株式会社電通デジタル：【第二報】当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいに関するお詫びとご報告

確認の範囲

このコラムの確認範囲

本稿は2026年11月13日に、電通デジタルの11月11日付初報、12日付第2報、IPAの10月26日付一般向け案内を確認しました。JBJは同社、導入企業、エンドユーザー、調査機関へ直接取材しておらず、サーバー、持ち出しログ、対象情報、個別通知、二次被害を独立確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社電通デジタル：当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告
• 資料 02株式会社電通デジタル：【第二報】当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいに関するお詫びとご報告
• 資料 03独立行政法人情報処理推進機構（IPA）：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

サービス提供者、導入企業、エンドユーザーの説明範囲を分ける

共通のマーケティング基盤では、サービス提供者が確認するシステム全体の事実、導入企業が保有する対象者情報、エンドユーザーへの個別通知が別の段階で進みます。導入企業名や件数が未公表の段階で、特定企業や全利用者への被害を断定しないことが必要です。

一方、導入企業は自社の影響判定と連絡方針を待つだけでなく、管理していた情報項目、利用期間、連携トークンの失効・再発行、エンドユーザーへの説明を記録する必要があります。利用者は公式通知を確認し、不審な連絡のリンクではなく正規窓口から確かめてください。

• 資料 01株式会社電通デジタル：当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告
• 資料 02株式会社電通デジタル：【第二報】当社が提供する『TONARIWA』における不正アクセスに伴う個人情報漏えいに関するお詫びとご報告
• 資料 03独立行政法人情報処理推進機構（IPA）：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』