漏えいの可能性2026.09.29 公表

クオカード「LINE公式アカウントのキャンペーンシステム」の情報漏えい

クオカードのLINE公式アカウントのキャンペーンシステムが第三者による不正アクセスを受け、一部利用者のLINE表示名およびキャンペーン当選情報が流出した可能性がある。決済システムを含む他システムからは完全に独立している。

キャンペーン用システムを決済や基幹ネットワークから完全に切り離すことで、侵害時の影響を最小限に抑えられる。

公表された内容

規模: 一部のお客さま（件数は調査中）
情報: LINE表示名、キャンペーン当選情報
含まれない: 要配慮個人情報、クレジットカード情報、銀行口座情報（保持していない）
原因: LINE公式アカウントのキャンペーン専用システムへの第三者による不正アクセス。対象システムを特定して対策を実施した。このシステムは決済システムを含む他のシステムから独立している。

LINE公式アカウントのキャンペーン専用システムに対して第三者による不正アクセスが発生した。侵入の手法や脆弱性の詳細は公表されていない。

対象システムは決済システムを含む同社の他のシステムから完全に独立しており、対策は実施済みとされている。

流出のおそれがある情報は、一部利用者の「LINE表示名」および「キャンペーン当選情報」。

要配慮個人情報やクレジットカード情報、銀行口座情報などの決済関連情報はシステムに保持していないため流出はない。件数と影響範囲は調査中とされている。

一般に、SNS連携のキャンペーンシステムでは、Webhook連携の検証不備やキャンペーン応募用Webサーバー・データベースの設定不備、APIキーの管理不備などが不正アクセスの起点となることがある。

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。

SNS連携APIの認証トークン管理や入力値検証、アクセス制御を徹底する。外部公開される応募フォームや管理画面に脆弱性が残らないようセキュリティ診断を実施する。

期間限定のキャンペーンやプロモーション用のシステムは、基幹システムや決済システムから切り離して作る。キャンペーン用のシステムに入られても、決済などほかのシステムへ広がらないようにできる。

応募段階では必要以上の個人情報を取得せず、当選後の賞品発送が必要な場合のみ個別に入力させるなど、保管するデータを最小限に留める。

LINEの懸賞やキャンペーンに参加する際、LINEの表示名（アカウント名）は相手に渡る。

LINEの表示名に本名（フルネーム）を設定していると、キャンペーンシステムや外部サービスから表示名が漏えいした際に本名が特定されてしまう恐れがある。

LINEの表示名はニックネームなどにしておくのが無難である。

クオカードやキャンペーン事務局を装い、当選連絡や確認を名目にクレジットカード情報や認証コード、現金の振り込みを要求する不審な連絡には応じないよう注意する。

内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。