ツイキャスに不正アクセス、検知から15分でサービスを全停止 — 外部に触られた個人情報は7件、モイの第2報に学ぶ「止める判断」
ライブ配信サービス「ツイキャス」を運営するモイは2026年10月29日、同サービスへの不正アクセスの第2報を公表した。攻撃者の探索が始まってから25分ほどでサービスを完全に止め、停止までに外部からアクセスされた個人情報は7件にとどまったという。売上が止まることを恐れて停止の判断が遅れがちな中小企業にとって、誰がどの条件でサービスを止めるかを事前に決めておく意味がよく分かる事例である。
背景
モイの第2報によると、10月28日の時系列は次のとおりである。
- 10時20分ごろ：第三者によるシステムへのアクセス試行（探索行動）が始まる
- 10時30分ごろ：社内のシステムが不正アクセスの痕跡を自動で検知
- 10時40分ごろ：サービスの緊急停止を開始
- 10時45分ごろ：サービスを完全に停止し、詳しい調査を開始
停止までに外部からアクセスされた痕跡があった個人情報は、次の7件である。
- クレジットカードの有効期限と、暗号化された名義情報：1件（カード番号とセキュリティコードは保持していない）
- メールアドレスと活動履歴などの情報：6件
このほか、サーバー上のログデータへのアクセスも確認された。ログの一部にはアカウントIDとメールアドレスが含まれるが、氏名や住所は含まれていないとしている。対象データの規模は調査中である。大規模な流出は確認されておらず、収益化機能の利用者が提出した本人確認書類などは暗号化して保存しているため、流出の可能性は認められないという。
追加の措置として、モイはX、Google、Facebookなど連携するすべてのSNSとの接続と、外部サービスへの認証情報をリセットした。警察などへのアクセス記録の提出も進めている。サービスの再開時期は、原因の特定とセキュリティの見直しに時間がかかるため、慎重に判断するとしている。
リスクの全体像
今回の被害が7件で済んだのは、検知と停止が早かったからである。侵入に気づかないまま数日から数週間たち、その間に顧客データをまとめて持ち出される事故は珍しくない。モイの例では、自動検知から10分ほどで緊急停止に入り、さらに5分で全停止している。検知の仕組みがあっても、停止を決める人がつかまらなかったり、「売上が止まる」と迷ったりすれば、その間に被害は広がる。
一方で、止めた代償も大きい。ツイキャスは第2報の時点でも再開の見通しを示しておらず、配信者や視聴者は使えない状態が続いている。止める判断には、売上の減少、利用者からの問い合わせ、取引先への説明がついて回る。だからこそ、事故が起きてから経営会議で議論するのではなく、平時に「この条件なら止める」「止める権限はこの人にある」と決めておく必要がある。
見落としやすいのが、外部サービスとの連携である。SNSでのログインや、ほかのサービスとのデータ連携に使う認証情報は、盗まれると連携先のアカウントまで操作されかねない。モイがすべての連携をリセットしたのは、この二次被害を断つためである。中小企業でも、ECサイトと会計ソフト、予約システムとカレンダーなど、裏で認証情報をやり取りしている連携は多い。
チェックリスト
自社でWebサービスやECサイト、予約システムを運営している企業は、次の点を確かめる。
- 不正アクセスの兆候を自動で知らせる仕組み（EDR、WAF、サーバー監視、ホスティング事業者の通知など）があるか。通知は誰に届くか
- サービスを緊急停止する権限を持つ人が決まっているか。その人が不在のときの代わりは誰か
- どんな条件なら売上より停止を優先するか、書いて共有しているか
- 停止の手順（メンテナンス画面への切り替え、サーバーの切り離し）を、担当者以外でも実行できるか
- SNSログインや外部サービスとの連携に使っている認証情報を一覧にできるか。一括で無効にする手順を知っているか
- カード番号やセキュリティコードなど、持たなくてよい情報を自社で保存していないか
打ち手
最初に、停止の判断基準と権限を1枚にまとめる。たとえば「管理画面に見覚えのないログインがあった」「顧客データベースへの大量アクセスを検知した」といった条件と、その場合に止める人、連絡する相手を書く。社長が不在でも現場の責任者が止めてよいと明記しておけば、判断を待つ時間がなくなる。
次に、検知の仕組みを確かめる。自社で監視していなくても、レンタルサーバーやクラウドの事業者が異常を知らせる機能を持っていることは多い。通知先が退職者のメールアドレスのままになっていないか、夜間や休日に誰が受け取るかを点検する。
最後に、外部連携の認証情報を棚卸しする。どのサービスとどの認証情報でつながっているかを一覧にし、事故のときに一括で無効にして再発行する手順を確かめておく。あわせて、カード番号のように持つ必要のない情報は決済代行会社に預け、自社では保存しない。モイがカード番号とセキュリティコードを持っていなかったことも、被害を小さくした理由の1つである。
あわせて読みたい
- 【はじめてのセキュリティ 第7回・最終回】会社で守る ― ルールとインシデント対応の初歩
- ランサムウェアとは？ 仕組み・感染経路・対策・初動までやさしく解説【完全ガイド】
- メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
Omamori AI の結論
- 事実: ツイキャスへの不正アクセスで、モイは自動検知から約15分でサービスを全停止した。停止までに外部からアクセスされた個人情報は7件で、ログデータへのアクセスの範囲は調査中である。
- 判断軸: 被害の大きさは、侵入に気づく速さと止める判断の速さで決まる。止める条件と権限を、事故の前に決めてあるかを問う。
- 打ち手: 停止の基準と権限者を1枚に書き、検知の通知先を点検する。外部連携の認証情報を一覧にし、持たなくてよい情報は保存しない。
経営者視点で考えるべきこと
サービスを止めれば、その日の売上は確実に減る。止めなければ、被害がどこまで広がるか分からない。この二択を、攻撃を受けている最中に初めて考えるのでは遅い。モイの対応が速かったのは、検知の仕組みと止める判断が平時から用意されていたからだと読める。経営者が確かめるべきことは3つある。異常に気づく仕組みがあるか、止める権限を誰に渡しているか、止めたあとに利用者と取引先へ何を伝えるかである。止める権限を現場に渡すことは、経営者が事前にできる数少ない被害対策である。
