【速報】ファンくる不正アクセスで421万件流出｜直接会員と連携会員で漏れた情報が違う。今やること

覆面調査・モニターサイト「ファンくる」を運営する株式会社ファンくるが第三者の不正アクセスを受け、2026年11月9日の第三報で、会員情報の流出が合計421万7,663件にのぼると発表しました。ファンくるに直接登録している会員が103万741件、ポイントサイトなどの「モニター」コーナー経由で使っていた連携会員が318万6,922件です。

この2つは、漏れた情報の重さがまったく違います。直接会員はメールアドレスや氏名、ハッシュ化されたパスワードまで含まれますが、連携会員は連携用のID・性別・登録日の3つだけと説明されています。この記事では、自分がどちらに当たるかの見分け方、連携先サイトごとの告知、今やることを、公式発表をもとに整理しました。続報が出たら更新します。

何が起きた？第三報までにわかっていること

株式会社ファンくるのコーポレートサイトに掲載された第一報（11月2日）・第二報（11月4日）・第三報（11月9日）をもとに、経緯を時系列でまとめます。

原因は、会員登録の流れの中で使われる参照用のWeb APIの1つに、権限の確認が足りない不備（脆弱性）があったことです。同社は、問題はこの1つのAPIに限られ、共通の認証基盤やほかの機能には影響しないと説明しています。

対策として、該当のAPIに厳格な認可チェックを加え、攻撃を再現するテストで未認証のリクエストが通らないことを確かめたとしています。すべてのWeb APIのソースコード点検でも同じ種類の不備は見つからなかったとのことで、第三者による脆弱性診断は準備中です。個人情報保護委員会への速報と、警察への相談・被害申告も行われています。

公表された時刻を並べると、情報が取得されていたのは約33時間で、社内の検知はその期間が終わったあとでした。停止から再開までは4日間、件数が出そろったのは発生から10日後です。

自分はどっち？直接会員と連携会員で漏れた情報が違う

今回の件でいちばん大事なのは、自分が「直接会員」と「連携会員」のどちらに当たるかです。第三報の内容を並べると、次のようになります。

連携会員の3項目について同社は、外部からどの連携先やブランドの会員かを特定できないと説明しています。つまり連携会員の情報だけでは、名前もメールアドレスもわからないということです。

注意したいのは、ポイントサイトに載っている「ファンくる 新規会員登録」のような広告（案件）を経由して登録した人です。この場合はファンくるに自分のアカウントを作っているので、直接会員の側に当たると考えられます。また、ファンくるに直接登録していて、別のポイントサイトのモニターコーナーも使っていた人は、両方に当てはまります。

連携先サイト別の告知まとめ

連携会員への案内は、ファンくるではなく連携先の各サイトが個別に行うとされています。2026年11月11日に確認できた告知は次のとおりです。

含まれない情報として、VモニターはV会員番号・氏名・電話番号・メールアドレスなどを、ECナビは名前・メールアドレス・パスワード・住所・電話番号・生年月日・保有ポイントを挙げています。ポイントタウンは、メールアドレスなどの個人情報をそもそもファンくる社へ渡しておらず、今回の情報でポイントタウンに不正ログインしたりポイントを不正に交換したりすることはできない、としています。

ECナビは、11月9日15時の時点でこの情報を悪用した被害は確認されていないとしています。表を読むときの注意が2つあります。ちょびリッチは提携先の社名を書いていませんが、停止の時期と延長後の期限がファンくるの案内と一致しています。そして連携先の名前は、ファンくる側からは公表されていません。

連携会員318万6,922件のうち、件数まで確認できたのはVモニターの39万3,785名だけです。表にないサイトでも、「モニター」「覆面調査」のコーナーを使ったことがあるなら、そのサイトのお知らせと、届いているメールを確認しておきましょう。

パスワードは変えるべき？ハッシュ化でも安心しきれない理由

ここからは直接会員の話です。漏れたパスワードは「ハッシュ化」された状態でした。ハッシュ化は、パスワードを元に戻せない形に変換して保存する方法で、同社も復号できない形式だと説明しています。

ただし、どの方式で変換していたかは公表されていません。一般論として、短いパスワードやよくある単語のパスワードは、候補を片っぱしから変換して突き合わせる方法で割り出されることがあります。しかも今回は、メールアドレスとセットで外に出ています。

第二報・第三報を読んだ範囲では、パスワードの変更を求める記述は見当たりませんでした。それでも、ファンくるのパスワードを変え、同じものを使っているサービスも変えるのが安全です。サービスは再開しているので、ファンくるにログインして変更できます。

連携会員はパスワードが漏れていないので、この章の作業は必須ではありません。ただ、複数のサイトで同じパスワードを使っているなら、この機会に分けておくと安心です。具体的な分け方は[ポイントサイトの不正アクセス対策の記事](https://pointactivity-maestro.com/pointsite-fusei-jiei-2026/)にまとめています。

止まっていた間のモニターとポイントはどうなった？

ファンくるは11月1日10時43分から11月5日まで止まっていました。モニターは「お店を利用する→期限までにアンケートやレシートを出す」という流れなので、停止に期限が重なった人がいちばん影響を受けます。

同社は、メンテナンス期間中に期限を迎えた提出物（アンケート、レシートなど）と、期間中に期限を迎えるポイントを、どちらも11月9日（月）まで延長しました。ただ、延長後の期限は11月9日で、この記事の公開時点ではすでに過ぎています。出しそびれた提出物がある人は、公式の問い合わせフォーム（コーポレートサイトの「お問合せ受付フォーム」）から相談してください。救済されるかどうかは、公式の発表には書かれていません。

ポイントの面では、第二報の時点で、漏れた情報を使った不正ログインや不正なポイント交換は確認されていないとされ、第三報でも二次被害は確認されていません。一方で、お詫びのポイントや金銭といった補償についての記載は、第一報から第三報のどこにもありませんでした。

Vモニターは11月11日の確認時点でまだ停止中です。実施済みの人はレシートと証明画像を保管して再開を待ち、まだ実施していない人は停止中に来店しないよう案内されています。延長後の期限は、再開の時期によって変わる可能性があります。

3か月足らずで2回目。8月の不正ログインとの違い

ファンくるの情報セキュリティの事案は、この3か月で今回が2回目です。公式のお知らせから、時系列を並べます。

2つの事案は性質が違います。8月は、よそで漏れたIDとパスワードの組み合わせを試される「使い回しを突かれる」型でした。今回はファンくる自身のシステムの不備から、ログインなしで情報を取られた型です。利用者がパスワードをどれだけ強くしていても、防げなかった種類の事故だといえます。

8月の件でパスワードを変えた人も、その新しいパスワードが今回ハッシュ化された状態で外に出ています。変更は1回済ませたから大丈夫、とはなりません。続けるかどうかの判断は、準備中とされる第三者の脆弱性診断の結果を見てからでも遅くありません。

届いた連絡はこう疑う

直接会員は、メールアドレスと氏名がセットで漏れています。同社も、ファンくるや実在の企業を装った不審なメールへの注意を呼びかけています。公式発表から、見分ける手がかりを整理しました。

4つめは今回ならではの注意点です。氏名、郵便番号、電話番号の下4桁を知っている相手は、いかにも正規の窓口らしく見えます。けれども、その3つは今回まさに外に出た情報です。下4桁を知っている＝本物の窓口、ではありません。

今やること・やらないこと

やることは、自分がどちらの会員かで変わります。直接会員はパスワードの変更、連携会員は連携先のお知らせの確認が基本です。

反対に、次の3つはやらないでください。

退会を考えている人は、ポイントサイトの退会前チェックの記事の手順が、ファンくるにもそのまま使えます。

今後の注目点

サービスは再開しましたが、まだ出ていない情報があります。続報で確かめたいのは次の5つです。

連携先からの個別メールが出そろうまでの間は、本物の案内と偽のメールが同じ時期に届きやすいタイミングです。新しい発表があれば、この記事にも追記します。

よくある質問

まとめ：まず「直接会員か、連携会員か」を確かめる

ファンくるの不正アクセスは、件数だけ見ると421万7,663件と大きな事案です。ただ、その4分の3を占める連携会員の情報はID・性別・登録日の3つで、重いのは直接会員103万741件のほうです。最初にやることは、自分がどちらに当たるかを確かめることです。

ファンくるの仕組みと注意点はファンくるのレビュー記事、連携先のサイトはECナビ・ポイントタウン・ちょびリッチのレビュー記事でまとめています。10月に起きたinfoQの不正アクセスとGポイントの不正アクセスは別の速報記事に、ポイントをどこにどれだけ置いておくかの考え方はポイントの出口設計の記事に整理しました。この記事は、第三者診断の結果や連携先の追加の告知が出しだい更新します。