NEL「osina」などで23万5,329人の情報流出―SNS連携の認証情報も対象

NELは2026年10月29日、利用していたデータ分析ツールの脆弱性を悪用され、個人情報が流出したと公表しました。発見は14日で、17日に個人情報保護委員会へ提出した速報では対象者を23万5,329人としています。ツール名やCVE番号は非公表です。

「osina」の会員情報には、氏名・住所・電話番号・生年月日、銀行口座情報、報酬額、SNSアカウント名と連携用認証情報などが含まれます。登録状況によって項目は異なり、LINE・Appleの外部サービスIDと利用履歴だけが対象の人もいます。

取引先担当者では氏名・メールアドレス・ハッシュ化済みパスワード、問い合わせ者や提携候補クリエイターの情報も対象です。一方、会員のメールアドレス・パスワードとカード情報は保有していないため対象外と説明しています。「パスワードは対象外」という説明を取引先まで広げない点に注意が必要です。

SNS連携用認証情報が対象の場合、第三者が投稿や閲覧を行うおそれがあります。同社は公式アプリの連携設定を確認し、身に覚えのない投稿・設定変更があれば連携を解除するよう案内。29日時点で新たな不正アクセスや本件による二次被害の申告はなく、対象者への通知も同日実施したとしています。