2026年9月、グローバルファンプラットフォーム「Weverse」を運営するWeverse Companyは、一部顧客の情報流出を伴うセキュリティインシデントについて公表した。背景には、韓国インターネット振興院（Korea Internet & Security Agency：KISA）から、Weverseサービスに関するセキュリティ脆弱性の報告があった旨の連絡を受けたことがあり、同社はこれを契機として緊急点検と対応を実施している。
事案の詳細
本件の発端は、2026年9月3日（KST）にWeverse CompanyがKISAからの連絡を受けたことである。連絡内容は、外部の報告者から「Weverseサービスのセキュリティ脆弱性」に関する指摘が寄せられたというものであり、KISAはその情報を運営事業者であるWeverse Companyに伝達した。
連絡を受けたWeverse Companyは直ちに社内での自主点検と緊急対応を行い、その過程で一部利用者の情報が外部に流出していた事実を確認した。確認された流出規模は、アカウントIDベースで合計42万2,584件とされており、対象はWeverseの利用者アカウントに紐づく内部識別情報や決済関連情報である。
具体的な流出項目としては、プラットフォーム内部で利用者を識別するために生成される内部識別番号（固有番号）のほか、決済手段、決済代行業者（PG）名、通貨形態、購入およびキャンセル金額、取引日時、決済状態などが含まれると説明されている。一方で、氏名や連絡先など、利用者を直接特定し得る個人識別情報は含まれておらず、漏えいした情報のみを用いて決済の偽造や不正送金が行われる可能性は低いとされている。
脆弱性の種別については、決済情報処理に関わるAPIにおいて、内部識別子などの情報が外部から参照可能な状態となっていた点が問題となったと説明されている。これに対し、同社は決済情報処理APIのアクセス制御を強化し、内部識別子情報が外部に露出しないようにするなどの技術的な修正・補完を実施した。
また、Weverse Companyは2026年9月4日に、KISAへ侵害事故の報告を提出している。報告には、脆弱性に関する点検結果および対応状況が含まれており、同社は当局と連携しながら原因の分析と再発防止策の検討を進めているとされる。なお、現時点で不正アクセスの具体的な手口や攻撃者像、脆弱性の発見経緯（技術的検証内容）など、より詳細な技術情報については公表されていないため、詳細は現時点で不明である。
影響と背景
オンラインサービスにセキュリティ脆弱性が存在し、そこから情報流出が発生した場合、利用者の安心感やサービスへの信頼性に大きな影響が及び得る。今回の事案では、Weverseサービスの決済関連APIにおける脆弱性に起因して、内部識別情報や決済履歴など、約42万件規模のデータが外部に露出したことが確認されている。
ただし、氏名・連絡先・パスワードなどの直接的な個人識別情報や認証情報は含まれておらず、漏えいした情報のみを用いた決済偽造や不正送金のリスクは限定的と説明されている。一方で、内部識別子や取引履歴が外部に渡ることにより、利用者単位の行動履歴や利用傾向が推測される余地が生じるなど、プライバシー保護および情報管理の観点から看過できない影響がある。
背景として、KISAや外部の報告者による脆弱性の通報が契機となり、事業者がリスクを認識し、緊急点検を通じてインシデントを把握したという構図が確認できる。これは、外部からの脆弱性報告・通報が、サービス運営者にとってセキュリティ改善への重要な入口となることを示す事例でもある。Weverse Companyは、通報を受けて即時に自主点検を行い、影響範囲を把握した上でKISAへ侵害事故を報告し、決済APIのアクセス制御強化や内部識別子の露出防止といった技術的対策を講じたと公表している。
対策・今後の展望
- 運営側：サービス運営者においては、脆弱性の有無や影響範囲を速やかに確認し、技術的な修正・緩和策（アクセス制御の強化、不要な識別情報の削除、ログ監視の強化など）を適用することが求められる。あわせて、KISAなど関係当局への報告義務がある場合は適切に履行し、利用者に対しては流出規模や対象項目、現時点で判明している事実、再発防止策などを分かりやすく案内することが重要となる。
- 利用者側：Weverseや関連サービスから公式に案内が出た場合は、内容を確認した上で、推奨される手順（アカウント設定の見直し、ログイン履歴の確認、決済明細のチェックなど）を実施することが望ましい。根拠不明の通知や、不審なリンク・添付ファイルを含む連絡には反応せず、必ず公式サイトや公式アプリ、正規のサポートチャネルを通じて情報の真偽を確認する。
- 組織（企業）側：自社が業務やマーケティング活動の一環としてWeverseを利用している場合、社内での利用実態（どの部署がどの機能を使っているか）を把握し、インシデント発生時に公式発表に基づく対応方針を迅速に共有できるよう連絡体制を整えることが必要である。また、外部サービスに依存する業務プロセスについては、インシデント時の代替手段や一時停止判断の基準をあらかじめ検討しておくことが望ましい。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIの診断現場では、脆弱性やインシデントに関する外部からの連絡があっても、「どの担当が受けるか」「社内で誰が判断するか」が決まっておらず、メールや通知が放置されてしまう例が目立つ。監視サービス（MDR等）を導入していても、外部公開資産の設定変更や不審なログイン試行が重なって初めて問題に気づくケースが多く、初動対応が後手に回る要因となっている。
【平易な解説】脆弱性は、例えるなら「鍵がかかっているはずの扉に、たまたま開いてしまう隙間がある」ようなものだ。扉そのものは存在し、通常は閉まっているが、特定の条件が重なるとその隙間から中が見えたり、勝手に出入りされたりしてしまう可能性がある。つまり、悪意ある人にその隙間を見つけられると、意図しない操作や情報ののぞき見につながるおそれがある、ということになる。
【今週中にできること】まず、自社でWeverseを業務利用している部署やプロジェクトがあるかを棚卸しし、公式の案内やインシデント情報が出たときに「誰が確認し、誰に共有するのか」を明確に決めてください。次に、社内の連絡先メールアドレスや通知先（メーリングリスト、チャットチャンネルなど）が最新かどうか点検し、担当者不在や連絡先不備により重要な通知を見落とさない体制を整えます。最後に、不審な案内や真偽不明の情報が届いた際は、必ずWeverse公式のお知らせやKISAなど信頼できる公的情報で裏取りを行う方針を全員に共有し、平時から訓練しておくことが重要です。