> JapanHacked_
[拡大防止済][深刻度：重大][Web脆弱性の悪用]

palan：データ分析ツールへの侵入で、利用者・観光企画参加者など最大3万3,348人の情報が漏えい

分析ツールの弱点を突かれ、最大33,348人の情報が流出。サービス利用者の氏名・連絡先・保護されたパスワードや、自治体の観光企画参加者の情報を含む。

公表日

2026-10-26

関連組織数

12

漏洩件数（恐れを含む）

3.3万

33,348

停止期間

不明

何が起きたか

  1. 株式会社palanが社内で使うデータ分析ツール（Metabase）の脆弱性を突いた不正アクセスが始まり、不正に作られた管理者アカウントから自社サービスのデータベースが読み取られた。 [1] [5]

  2. この日より後に個人情報を含むデータが取られた記録はない。 [1]

  3. 不正アクセスに気付き、外部からの接続を断ち、不正なアカウントを無効にしてツールを止めた。 [1]

  4. 公表し、個人情報保護委員会に報告した。 [1]

  5. 岐阜県、宮崎県などのイベントを委託した自治体が、自らの参加者の分を相次いで公表した。 [2] [3] [4] [5] [6] [7]

影響

対象は最大33,348人（区分間の重複を含む）。サービス登録者24,273人は氏名、メールアドレス、電話番号、会社名、契約プラン、支払いの金額と日付、パスワードのハッシュ値など。企業や団体のキャンペーンの参加者7,225人は氏名、メールアドレス、年齢層、性別、一部の市区町村、アンケートの回答など。問い合わせや資料請求をした1,850人は氏名、連絡先、問い合わせ内容など。カードや口座の情報は持っていない。 [1]

キャンペーンを委託していた県や市が自らの分を公表している。岐阜県と熊本県は、事業の終了後に消すはずのデータがpalanに残っていたとしている。 [2] [7]

委託元
件数
内容
岐阜県
1,135
2024年度の「清流の国ぎふ 地産地消デジタルスタンプラリー」の参加者のメールアドレスとアンケートの回答。岐阜新聞社がpalanに管理を任せていた。
宮崎県
551
AR観光ガイド「みやざき神話さんぽ」で集めたアンケート551件。メールアドレス、性別、年代、居住エリアなど7項目。
府中市（東京都）
179
「まち歩き×AR解説 武蔵府中郷土かるた巡り」の利用者179人のメールアドレスと暗号化されたパスワード。
茨城県
2,776
「デジタル里山アドベンチャー」のARフォトラリー参加者2,776人のメールアドレスと年代・性別など。県からJTB、ジェイアール東日本企画、ジェイ・エヌ・エスを経てpalanに委託されていた。
熊本市
1,084
2024年度のAR式デジタルスタンプラリーの利用者1,084人のメールアドレスとユーザー名など。TOPPANからpalanに再委託されていた。
熊本県
478
2024年度のARスタンプラリー「くまモンテクテク」の全参加者478人のメールアドレス、年代、性別など。JTBパブリッシングからの再委託で、契約終了後も消されていなかった。
[2] [3] [4] [5] [6] [7]

対応

palanはデータ分析ツールを廃止し、社内システムへのアクセスと権限を見直し、ソフトウェアの脆弱性の監視を強めるとしている。 [1]

観光サービスには、スマートフォンのカメラ映像にキャラクターや案内を重ねる機能がある。茨城県の資料では、委託先をJTB、ジェイアール東日本企画、ジェイ・エヌ・エス、palanの順に明記し、対象データを保管・管理していたのはpalanだけとしている。 [5] [1]

経緯

  1. 発生 2026-08-09
  2. 検知 2026-10-22
  3. 公表 2026-10-26
  4. 78日

攻撃・原因の概要

攻撃手法
[Web脆弱性の悪用]
被害の種類
[情報漏洩]
侵入経路
Webアプリ

漏洩した（恐れのある）情報

[氏名][メールアドレス][電話番号][性別][ID・パスワード][購入履歴]

サプライチェーンへの影響

株式会社palan

[直接被害]

このサイトに掲載している組織数
12

影響を受けたサービス

サービス検索で表示

関連組織

  • [委託先経由][重大]東京都 府中市市区町村179件

    府中市（東京都）

    「まち歩き×AR解説 武蔵府中郷土かるた巡り」の利用者179人のメールアドレスと暗号化されたパスワード。

  • [直接被害][重大]東京都 新宿区情報通信業33,348件

    株式会社palan

    データ分析ツールから自社サービスのデータベースが読み取られた。サービス登録者24,273人、キャンペーン参加者7,225人、問い合わせ者1,850人、最大33,348人（重複を含む）。

  • [委託先経由][大]茨城県 水戸市都道府県2,776件

    茨城県

    「デジタル里山アドベンチャー」のARフォトラリー参加者2,776人のメールアドレスと年代・性別など。県からJTB、ジェイアール東日本企画、ジェイ・エヌ・エスを経てpalanに委託されていた。

  • [委託先経由][大]岐阜県都道府県1,135件

    岐阜県

    2024年度の「清流の国ぎふ 地産地消デジタルスタンプラリー」の参加者のメールアドレスとアンケートの回答。岐阜新聞社がpalanに管理を任せていた。

  • [委託先経由][大]熊本県 熊本市 中央区都道府県478件

    熊本県

    2024年度のARスタンプラリー「くまモンテクテク」の全参加者478人のメールアドレス、年代、性別など。JTBパブリッシングからの再委託で、契約終了後も消されていなかった。

  • [委託先経由][大]東京都 港区生活関連サービス業，娯楽業2,776件

    株式会社JTB

    茨城県のデジタル里山アドベンチャーを受託。再委託先palanが保管する参加者2,776人のメールアドレスなどが漏えいした。

  • [委託先経由][大]東京都 台東区製造業1,084件

    TOPPAN株式会社

    熊本市の観光スタンプラリーを受託し、palanに再委託。参加者1,084人のメールアドレスやユーザー名などが漏えいした。

  • [委託先経由][大]宮崎県 宮崎市都道府県551件

    宮崎県

    AR観光ガイド「みやざき神話さんぽ」で集めたアンケート551件。メールアドレス、性別、年代、居住エリアなど7項目。

  • [委託先経由][大]熊本県 熊本市 中央区市区町村1,084件

    熊本市

    2024年度のAR式デジタルスタンプラリーの利用者1,084人のメールアドレスとユーザー名など。TOPPANからpalanに再委託されていた。

  • [委託先経由][大]岐阜県 岐阜市情報通信業1,135件

    株式会社岐阜新聞社

    岐阜県の地産地消スタンプラリーを受託し、palanにデータ管理を委託。参加者1,135人のメールアドレスとアンケート情報が漏えいした。

組織検索で表示

出典

  1. [1][公式発表]不正アクセスによる個人情報の漏えいに関するお知らせとお詫びpalan · 2026-10-26
  2. [2][公式発表]県が令和６年度に実施した「清流の国ぎふ 地産地消デジタルスタンプラリー」の業務を受託した(株)岐阜新聞社から、データ管理を請け負った(株)palan で発生した不正アクセスに伴う 個人データの漏えいについて岐阜県 · 2026-10-27
  3. [3][公式発表]「みやざき神話さんぽ－キキタビ観光ガイド－」における個人情報の外部流出に伴う注意喚起について宮崎県 · 2026-10-27
  4. [4][公式発表]「まち歩き×AR 解説武蔵府中郷土かるた巡り」運営事業者への不正アクセスに伴う個人情報の不正取得について府中市 · 2026-10-30
  5. [5][公式発表](株)palan のシステムへの不正アクセスによる情報漏えいについて茨城県 · 2026-10-30
  6. [6][報道]1084人分の個人情報流出 熊本市「ARスタンプラリー」委託先システムに不正アクセス 二次被害確認されずRKK熊本放送 · 2026-10-30 16:28
  7. [7][報道]「くまモンテクテク」参加４７８人分の個人情報漏えい、データ管理会社が消去しておらず…不正アクセス被害読売新聞 · 2026-11-03 11:48