当社におきまして発生いたしました不正アクセスによる情報漏洩、およびシステムの一時停止につきまして、改めまして、本件によりモニター会員様、お取引先様、並びに関係者の皆様に、多大なるご迷惑とご心配をおかけしておりますことを、心より深くお詫び申し上げます。

2026年11月4日付（第二報）の公表に続き、詳細なアクセスログ解析、原因となったプログラムの修正・検証、全システムに対するソースコード監査（SAST）が完了し、サービスの安全な再開および影響範囲につきまして、下記の通りご報告申し上げます。

1.概要及び発覚経緯

当社システム監視において異常なリクエストトラフィックを検知して以降、一次対応および詳細調査、安全確認を以下の通り進めてまいりました。

・11月1日（日）：異常アクセスを検知し通信を遮断。二次被害防止のため「ファンくる」システムを

　緊急停止。

・11月2日（月）：第一報の公表。

・11月4日（水）：第二報の公表（一部流出対象件数および状況のご報告）

・11月5日（木）：第二報公表後の詳細調査により原因特定、該当プログラムの修正・検証完了。

　全Web APIを対象としたソースコード監査（SAST）を実施し、同種の脆弱性が

　ないことを検証完了。安全性を確認のうえ、サービス運用を再開。

・11月9日（月）：対応状況および再発防止策のご報告。

2.漏洩件数および影響範囲

当社データベースのログ解析および詳細検証の結果、本不正アクセスにより影響を受けた件数は以下の通りとなります。

(1) 対象件数
・当社「ファンくる」直接会員様情報 ：1,030,741件
・パートナー連携会員様情報    　　     ：3,186,922件
【合計流出確定件数】      　　　　       ：4,217,663件

※退会されていた方は対象に含まれません。

(2) 流出対象となったデータ項目

【当社「ファンくる」直接会員様】
・会員ID、メールアドレス、パスワード（ハッシュ済み）
・氏名、性別、郵便番号、電話番号の下4桁（該当部分以外は非識別化）

※第二報から変更はございません。

【パートナー連携会員様】
・会員ID（各連携先における識別用ID）
・性別（選択値）
・会員登録日

※パートナー連携会員様データにおかれましては、直接個人を特定できる情報（氏名、電話番号、メールアドレス）、生年月日、ログイン認証情報、トークン等の他、「どの連携事業者様の会員であるか」を特定・識別する所属コードや企業情報は含まれておらず、外部から特定の連携先・ブランドと紐付けすることは不可能な状態であることを確認しております。

3.不正アクセスの技術的原因と改修実績

(1) 発生原因

「ファンくる」会員登録フロー中に利用する特定の参照Web API（1エンドポイント）において、プログラムに脆弱性があったことが判明いたしました。

なお、本脆弱性は当該特定APIのみに限定されたものであり、システム全体の共通認証基盤および他の機能の健全性には問題がないことを確認しております。

また、当社システムにおきましては、パートナー事業者様との連携時におけるデータの重複登録を防止し、システム間の整合性を維持・管理する目的から、当社サービス基盤上において共通の会員識別子（ID）および基本属性データ（性別・登録日）を保持する仕様となっておりました。そのため、本不正アクセスにおいて当該データが参照対象に含まれる結果となりました。

(2) 実施した改修および安全性の確保

① 該当機能のプログラム修正と検証
該当するAPIに対し、アクセス権限を厳密に検証する認可制御を実装し、未認証リクエストを完全に遮断する攻撃再現テスト（PoC検証）を実施・修復を完了いたしました。

② 全社ソースコード監査（SAST）の実施
当社が保有するすべてのWeb APIエンドポイントに対し、アクセス制御に関する全件監査を実施し、他エンドポイントに同種の脆弱性が存在しないことを確認いたしました。

③ モニタリング体制の強化および二次被害の状況
不正侵入検知システムおよびログ監視体制の強化を実施いたしました。なお、現在までに本件に起因する会員情報の不正利用や二次被害の発生は確認されておりません。

④ 第三者脆弱性診断の手配
客観的な安全性をさらに高めるため、外部のセキュリティ専門ベンダーによる「第三者脆弱性診断」の準備を進めております。

4.サービスの再開およびユーザー救済措置について

(1) サービスの再開
プログラムの修正、検証、および全APIの全件監査が完了したことを受け、2026年11月5日（木）より「ファンくる」サービス本体およびシステム連携基盤の運用を再開いたしました。

(2) モニター提出期限・ポイント有効期限の延長
サービス停止期間に伴い影響を受けた会員様への救済措置として、以下の通り期限延長を適用いたしております。
・モニター提出期限（アンケート・レシート等）：2026年11月9日（月）まで延長
・ポイント有効期限：メンテナンス期間中に期限を迎えたポイントにつき、2026年11月9日（月）まで延長

(3) パートナー連携会員様へのご案内について
パートナー連携サービスをご利用の会員様への本件に関する個別のご案内や対応につきましては、各パートナー事業者様と協議・確認の上、対応を進めております。

連携先サービスごとの詳細な対応状況やご案内につきましては、各パートナー事業者様から発信されるお知らせ等をご確認いただきますようお願い申し上げます。

5.行政報告および警察との連携

本件につきましては、個人情報保護委員会（PPC）への速報提出を完了しております。また、管轄警察署への相談・被害報告を行っており、今後も捜査に全面的に協力してまいります。

6.二次被害防止のためのご注意とお願い

漏洩した情報が悪用され、当社や実在する企業を装った不審なメール（フィッシングメール等）が送信される可能性がございます。

会員の皆様におかれましては、身に覚えのない不審なメールを受信された場合、本文中のURLのクリックや添付ファイルの開封、パスワード等の個人情報の入力を行わないよう、十分にご注意くださいますようお願い申し上げます。

7.本件に関するお問い合わせ先

本件に関するお客様からのご質問やご不安にお応えするため、専用のお問い合わせ窓口を設置いたしました。

ご不明な点やご心配な点がございましたら、下記窓口までお問い合わせくださいますようお願い申し上げます。
【お問い合わせ受付フォーム】
https://www.fancrew.co.jp/contact-support

皆様に多大なるご迷惑とご心配をおかけしておりますことを、重ねて深くお詫び申し上げます。全社をあげて再発防止とセキュリティ体制の再構築に取り組み、信頼回復に努めてまいります。