NewsPicksへの不正アクセス(2026年10月公表)
結論から
- 2026年10月8日、NewsPicksを運営するユーザベースは、業務で使う管理ツールが不正アクセスを受けたと公表しました。10月9日の第2報で、管理ツールの脆弱性を突かれたものと説明しています。
- 第2報によると、漏えいした可能性があるのは最大でメールアドレス32.3万件、カード情報の一部36.2万件などです。件数は項目ごとの最大想定です。カード番号の全体とセキュリティコードは、会社のシステムに保存していないため漏えいしていません。
- 原因の特定と再発防止策は、2026年10月30日時点で調査中です。対象者には10月9日から順次メールで連絡しています。サービスは防御措置を講じたうえで続いています。
概要
- 公表日
- 2026年10月8日
- 検知・発覚
- 2026年10月8日
- 最新の公表
- 2026年10月9日
- 組織・業種
- 株式会社ユーザベース(NewsPicks)(ソーシャル経済メディア / メディア・出版・人材)
- 漏えいした情報・件数
- 第2報(2026-10-09)の項目別の最大想定件数: メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件、所属(勤務先など)6.5万件、所属先の電話番号2.9万件、所属先の役職の7分類27.3万件、ウェブ決済に関わるクレジットカード情報の一部(名義・番号の下3桁または下4桁など)36.2万件。取引先等の運営担当窓口名と連絡先メールアドレス122件。当初(第1報、10-08)は件数未公表。カード番号の全体とセキュリティコードは保存しておらず漏えいしていない。パスワードの漏えいは確認されていない
- 業務への影響
- 管理ツールのアクセスを遮断しアカウントを削除。NewsPicksのサービス本体・ユーザベースの他の情報システムへの侵入等は確認されていない。サービスは防御措置を講じたうえで継続
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 個人情報保護委員会へ速報を提出し、所轄警察署へ被害相談をしたと公表(2026-10-08)
- 手口
- 不正アクセス(経路未公表)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
12時48分、不正アクセスを検知し、対策本部を設置 [1]
-
14時1分、社内調査の結果、第三者による不正アクセスと判断。該当サーバーを遮断し、被害拡大防止措置を実施 [1]
-
21時44分、個人情報保護委員会へ速報を提出し、所轄警察署へ被害相談 [1]
-
第1報を公表。個人情報の一部が外部へ漏えいした可能性があると発表。件数は示さなかった [1]
-
日本経済新聞が、対象件数は明らかにされていないと報道 [2]
-
第2報。管理ツールの脆弱性を突いたものと説明し、項目別の最大想定件数(メールアドレス32.3万件、カード情報の一部36.2万件など)を公表 [4]
-
対象の顧客へ、NewsPicksサポート窓口(no-reply@newspicks.com)からのメールでの連絡を順次開始 [4]
-
ITmedia NEWSが、当初報じた「最大117万件」は重複を考慮しない数値だったとして記事を訂正 [5]
侵入経路と原因
ユーザベースによると、NewsPicksの業務で使っている管理ツールが、第三者による不正アクセスを受けました。2026年10月9日の第2報で、会社はこれを管理ツールの脆弱性を突いたものと説明しています。
どの管理ツールの、どの脆弱性が使われたのかは、2026年10月30日時点で公表されていません。攻撃者が誰かも公表されていません。会社は外部専門機関の助言も踏まえ、原因の特定を進めているとしています。
会社は2026年10月8日の12時48分に不正アクセスを検知しました。社内調査を経て、14時1分に第三者による不正アクセスと判断しています。不正アクセスが始まった日時は公表されていません。
第2報によると、NewsPicksのサービス本体や、ユーザベースのほかの情報システムへの侵入などは確認されていません。
影響
第2報で、会社は漏えいした可能性がある情報の件数を、項目ごとの最大想定件数で示しました。メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件です。所属(勤務先など)は6.5万件、所属先の電話番号は2.9万件、所属先の役職の7分類は27.3万件です。第1報の時点では、件数は示されていませんでした。
ウェブ決済に関わるクレジットカード情報の一部は、36.2万件が対象です。これはカード名義と、カード番号の下3桁または下4桁などです。会社によると、カード番号の全体は決済代行会社が管理しており、自社のシステムには保存していないため漏えいしていません。セキュリティコードも保存していないとしています。
取引先に関する情報も含まれます。法人向けの「NewsPicks Enterprise」と「NewsPicks Education」の運営担当窓口名と連絡先メールアドレスで、122件です。顧客企業とのやり取りやパスワードの漏えいなどは、確認されていないとしています。
会社が示したのは項目ごとの最大想定件数で、対象となる人数は2026年10月30日時点で公表されていません。ITmedia NEWSは当初、項目を足した「最大117万件」と報じましたが、重複を考慮しない数値だったとして訂正しています。
会社は、この件による二次被害は確認されていないとしています。サービスは、外部からの不正アクセスへの防御措置を講じたうえで続いています。
会社の対応と再発防止策
会社は検知と同時に対策本部を設けました。14時1分に第三者による不正アクセスと判断し、直ちに該当サーバーを遮断しています。同日21時44分には、個人情報保護委員会へ速報を提出し、所轄の警察署へ被害を相談しました。
第1報は、検知した当日のうちに出しています。会社は、影響を受ける可能性がある利用者にいち早く状況を伝え、注意を促すために急いで速報を出したと説明しています(ITmedia ビジネスオンラインの報道)。翌10月9日には、件数を含む第2報を公表しました。
第2報によると、会社はすでに4つの対応を取りました。管理ツールのアクセス遮断とアカウント削除、管理ツールからアクセスできるデータのアクセスキーの再発行です。あわせて、管理ツールのデータアクセス権限を業務上必要な最小限まで縮め、不正アクセスの送信元をNewsPicksのサービス全体で遮断しました。
根本的な再発防止策は、調査で原因が分かり次第、決めて知らせるとしています。原因の特定と全容の解明は、外部専門機関の助言も踏まえて進めています。2026年10月30日時点で、再発防止策の内容は公表されていません。
対象の顧客には、10月9日から順次、NewsPicksサポート窓口(no-reply@newspicks.com)からメールで連絡しています。問い合わせは、メール(info@newspicks.com)とお問い合わせフォームで受け付けています。会社がメール・SMS・電話・郵送で、パスワードやクレジットカード番号を尋ねることはないとしています。
この事案から学べること
- 顧客向けのサービスではなく、業務で使う管理ツールの脆弱性が入口になりました。社内向けの仕組みも、顧客情報への入口として守る対象です。
- 会社は対応の1つとして、管理ツールのデータアクセス権限を業務上必要な最小限まで縮めました。管理ツールからどこまでのデータに届くかが、漏えいの範囲を左右します。
- 会社は検知から約9時間で、個人情報保護委員会への速報と警察への相談を済ませ、翌日には件数を公表しました。初動の手順を決めておくと、短い間隔で続報を出せます。
- 公表された件数は項目ごとの最大想定件数で、人数は示されていません。読む側は、項目別の件数を足して人数とみなさないよう注意が要ります。
自社で確認すること
- 1 業務で使う管理ツールで、誰がどの顧客情報を見られるか、把握していますか?
- 2 管理ツールが使うアクセスキーや権限を、業務に必要な最小限にしていますか?
- 3 不正アクセスを検知したとき、遮断・報告・公表を誰が判断するか、決めていますか?
関連する事案
よくあるご質問
- NewsPicksの不正アクセスで、何が漏れたのですか?
- 会社は2026年10月9日の第2報で、項目ごとの最大想定件数を公表しました。メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件、所属6.5万件、所属先の電話番号2.9万件、役職の7分類27.3万件、カード情報の一部36.2万件などです。
- 漏えいしたのは何人分ですか?
- 人数は2026年10月30日時点で公表されていません。公表されたのは項目ごとの最大想定件数です。ITmedia NEWSは、項目を足した数は重複を考慮しない数値だったとして記事を訂正しています。
- パスワードやクレジットカード情報は漏れましたか?
- パスワードの漏えいは確認されていないとしています。カードは、名義と番号の下3桁または下4桁などが対象です。会社によると、カード番号の全体は決済代行会社が管理しており、自社のシステムに保存していないため漏えいしていません。セキュリティコードも保存していないとしています。
- 自分が対象かどうか、連絡は来ますか?
- 会社は2026年10月9日から順次、NewsPicksサポート窓口(no-reply@newspicks.com)からメールで対象の顧客に連絡するとしています。会社がメール・SMS・電話・郵送でパスワードやクレジットカード番号を尋ねることはないとしています。
- 問い合わせ窓口はどこですか?
- 本件の問い合わせ窓口は、メール(info@newspicks.com)とお問い合わせフォーム(https://newspicks.zendesk.com/hc/ja/requests/new)です。第2報でも同じ窓口が案内されています。
- 利用者は何をすればよいですか?
- 会社は、NewsPicksを装った不審なメールやSMSに注意し、リンクや添付ファイルを開かないよう求めています。二次被害は第2報(2026年10月9日)の時点で確認されていないとしています。2026年10月30日時点で、これより新しい公式の発表はありません。
出典
- 【重要】NewsPicksのお客様の個人情報漏洩の可能性に関するお詫びとお知らせ ↗ (株式会社ユーザベース、2026-10-08)
- NewsPicks、個人情報漏洩の可能性 第三者が不正アクセス ↗ (日本経済新聞、2026-10-08)
- NewsPicks、個人情報漏えいの可能性 業務ツールへの不正アクセスで ↗ (ITmedia ビジネスオンライン、2026-10-08)
- 【第二報】NewsPicksのお客様の個人情報漏洩の可能性に関するお詫びとお知らせ ↗ (株式会社ユーザベース、2026-10-09)
- NewsPicks、メアド32.3万件やクレカ情報の一部36.2万件漏えいか【訂正あり】 ↗ (ITmedia NEWS、2026-10-09)