キャリー：マッチングサイト「Lili」のサーバーに3か月侵入され、会員約98,000人のパスワードや本人確認書類の画像が流出したおそれ

1. 2026-07-11

   この日から10月6日まで、第三者がサーバーに入り込んでいた。会員のパスワードを読み取るプログラムが置かれていた。 [1]

2. 2026-10-06

   サーバー上の不審なプログラムに気付いた。3時半ごろから13時ごろまで、パソコンで見た人に「Cloudflare」を装った偽の確認画面が出て、コマンドを貼り付けて実行させようとしていた。 [1]

3. 2026-10-11

   23時45分ごろ、別の経路から再び入られた。翌12日の3時20分ごろまでに経路をふさぎ、不正なプログラムを消した。偽の画面はこの夜も23時50分ごろから2時ごろまで出ていた。 [1]

4. 2026-10-14

   第1報を出し、すべての会員のパスワードを無効にした。 [1]

5. 2026-10-22

   第2報で、古い本人確認書類の確認用の縮小画像が残っていたと訂正し、対象を広げた。 [2]

• 会員最大約98,256人（利用中約71,456人、退会者約26,800人）：メールアドレス、パスワード、生年月日や都道府県などのプロフィール、サイト内のメッセージ、ログイン時のIPアドレス [1]
• 2025年12月1日から2026年10月12日までに出された本人確認書類の画像：最大7,261人 [1]
• 2020年9月からそれ以前に出された書類などの縮小画像（約320×240ピクセル）：新たに最大32,916人。粗くて読めないものもあるが、多くは記載事項を読める。 [2]
• 登録を途中でやめた最大約10,223人のメールアドレス、パスワード、プロフィールと、問い合わせフォームの最大1,364件の氏名、メールアドレス、電話番号、内容 [1]

パスワードは暗号化していたが、元に戻すプログラムが置かれていたため、平文で漏れた可能性が高いとしている。カード番号は決済代行会社が持ち、対象外。 [1]

不正なプログラムと接続手段を消し、侵入に使われた不備を直し、再侵入に使われた管理ツールを撤去した。パスワードは元に戻せない方式で保存するよう変えた。縮小画像は作らないように直し、サーバーから消した。個人情報保護委員会に報告し、警察に相談している。 [1] [2]