株式会社くふうカンパニーは2026年9月22日、家計簿アプリ「くふう Zaim」で、外部からの不正なアクセスにより、一部の利用者の登録情報が一時的に書き換えられていたと公表しました。対象は14名です。情報の漏えい、不正なログイン、家計簿のデータへの影響は、いずれも確認されていないとしています。
件数は小さい事故です。ただ、「中身は読まれていないが、書き換えられた」という型は、漏えいの事故と見るところが違います。公式の公表で経緯を確かめ、自社のサービスや業務システムで確かめる点をまとめます。
何が起きたか
| 日時 |
出来事 |
| 9月18日20時9分〜19日1時42分 |
外部の第三者が、くふう Zaimのシステムに不正なデータの書き込みを行った。14名の登録情報が、本来とは違う内容に書き換えられた |
| 9月19日〜21日 |
不正な書き込みの影響で、新しく登録した一部の利用者に、家計簿の記録が一時的に保存できないエラーが出た |
| 9月21日15時47分ごろ |
システムのエラー通知をもとに調査し、事象を把握。同じ日のうちに、保存エラーの解消、悪用された箇所の修正、14名のデータの復旧を完了 |
| 9月22日 |
公表。監督官庁へ報告し、対象の14名に個別に連絡 |
くふうカンパニーのお知らせの「発生した事象」と「お客様への影響」出典: 株式会社くふうカンパニー「家計簿アプリ「くふう Zaim」への不正アクセスによる一部ユーザーの登録情報書き換えに関するお知らせとお詫び」(引用)
書き込みが終わってから同社が把握するまで、約2日半です(編集部の計算)。把握のきっかけは、書き換えそのものの検知ではなく、別の利用者に出た保存エラーの通知でした。
書き換えられたもの、影響が無かったもの
| 区分 |
内容 |
| 書き換えられた |
名前(ニックネーム)、メールアドレス、旧認証方式で使っていたパスワード関連情報(いまはログインに使われていないもの) |
| 漏えい |
無い。情報を書き換えるもので、元の登録情報や家計簿の内容を第三者が読み取ることはできない仕組みだった |
| 不正なログイン |
無い。ログインは「くふうアカウント」で行われ、その情報は影響を受けていない |
| メール |
書き換えられたメールアドレスは、各種のお知らせの宛先に使われる。書き換えから復旧までの間に、対象の利用者あてのメールが送られた記録は無い |
| 家計簿の記録 |
影響は無い。収支の記録、金融機関との連携情報、予算などのデータは書き換えられていない |
原因と再発防止策
原因について、同社は「当社システムの一部の処理に不具合が生じていたこと」と書いています。この不具合を第三者が悪用して、データを書き込みました。不具合は修正済みです。
再発防止策は2つです。
- 同じ事象を引き起こす箇所が無いことを、システム全体で改めて確かめる
- 今回の事象に限らず、システムの異常を早く検知する仕組みと、監視の体制を強める
この事故から情シスが確かめること
ここからは、公表に書かれた内容ではなく、編集部の補足です。
1つ目は、情報が読まれなくても、書き換えは事故だという点です。漏えいの有無だけを見ていると、書き換えは見落とします。メールアドレスのような連絡先が書き換えられると、本人あての通知が別の宛先に届くようになります。今回は、その間にメールが送られた記録は無かったとされています。
2つ目は、気づき方です。同社が把握したきっかけは、エラー通知でした。登録情報の変更そのものを見張る仕組みがあったかどうかは、公表に書かれていません。自社のサービスでは、メールアドレスやパスワードの変更が、本人の操作として記録されているかを確かめる価値があります。
3つ目は、使っていない認証情報です。書き換えられた項目の1つは、いまはログインに使われていない、旧認証方式のパスワード関連情報でした。今回は実害が無かったとされていますが、使わなくなった項目がデータベースに残っていることは、多くのシステムで起きています。
JPCERT/CCは2026年10月8日に出した注意喚起(10月9日に更新)で、アプリの管理用のAPIへの不正なリクエストによって、情報の不正な書き換えなどが起きている事例の報告を受けている、と書いています。くふうカンパニーの公表は、悪用された箇所がAPIかどうかを書いていません。今回の件との関係も、どちらの資料にも書かれていません。同じ「書き換え」の型として、自社の点検の材料にしてください。注意喚起の中身は、JPCERT注意喚起を情シスの週次点検に API・管理画面・BIツールの確認先にまとめています。
影響する人・会社、しない人・会社
- 影響する人: 登録情報が書き換えられた14名。同社が個別に連絡していて、データは元の状態に復旧済みです
- 影響した人(復旧済み): 9月19日から21日に新しく登録し、家計簿の記録が保存できないエラーが出た一部の利用者。データへの影響は無いとしています
- 影響しない人: 上の2つに当てはまらない、くふう Zaimの利用者。公表に、パスワードの変更などを求める記載はありません
- 影響する会社(確認が要る): 利用者が登録情報を持つサービスを、自社で作って動かしている会社。書き換えの検知と、使っていない項目の後始末は、同じように当てはまります(編集部の補足)
- 影響しない会社: そうしたサービスを持たない会社。この件で動くことはありません
会社・情シスが今日やること
- 自社のサービスで、メールアドレスとパスワードの変更が、いつ・だれの操作で行われたかを記録しているかを確かめる。記録が無ければ、開発の担当に、足せるかを聞きます
- 連絡先が変わったとき、変わる前の宛先にも知らせる仕組みがあるかを見る。書き換えに本人が気づける、数少ない手がかりです(編集部の補足)
- エラー通知を、だれが、どのくらいの間隔で見ているかを確かめる。今回は、エラー通知が把握のきっかけでした。休日や夜間に通知が埋もれないかも見ます
- 使っていない認証の項目(古い方式のパスワードの情報など)が、データベースに残っていないかを開発の担当に聞く。残す理由が無ければ、消す計画を立てます
- 外から書き込める入口(登録、更新、APIなど)で、本人のデータだけを書き換えられるようになっているかを、次の診断の項目に入れる
使わなくなった個人データを持ち続けない、という考え方は、個人情報保護委員会の注意喚起にも出てきます。個人情報保護委員会が漏えい対策を注意喚起 情シスの今週の確認で扱っています。
書かれていないこと
次の点は、公式の公表には書かれていません。この記事でも書きません。
- 不具合の中身と、悪用された箇所(画面か、APIかなど)
- 書き換えられた後の内容
- 14名のほかに、書き込みが試みられた利用者がいたかどうか
- 報告した監督官庁の名前
- 不正アクセスを行った者についての情報
- 保存エラーが出た利用者の人数
