バッテリー交換に関するデータやクレジット情報は別系統で無傷

　2026年10月20日、バッテリー交換サービス「Gachaco（ガチャコ）」（株式会社Gachaco）が、情報漏洩の可能性がある対象者に向けて告知しました。

「当社がウェブサイト上のフォームを通じて取得し、『スタジオ』（Studio株式会社）上で管理していた個人情報についても、外部に流出した可能性があることを確認しております」

　クラウドサービス「スタジオ」が提供するサービスを使って、ガチャコは利用を検討するなどの外部からの問い合わせを受け付けていました。

「当社ウェブサイトに設置した『お問い合せフォーム』にご入力いただいた情報が、外部に流出した可能性がある」

　漏洩した可能性のある情報は、氏名、メールアドレス、電話番号、お問い合わせ内容です。問い合わせフォームの性格上、生年月日などの個人の特定を補強する個人情報は含まれていません。

　外部からの問い合わせに関するデータに限定されているため、バッテリー交換などサービス利用のパスワード、バッテリー利用履歴、クレジット情報なども含まれていません。

　ただ、少なくとも問い合わせデータの流出の可能性があることから、内部データの管理という点で、ガチャコにとっては少なからず影響があります。同社は、その対象範囲を次のように話します。

「対象期間は2022年4月から2026年2月までで、対象となる方は813名です」

使っていない「旧問い合わせフォーム」から漏れた可能性は“ゴミ箱”に

　今回の不正アクセスの特徴は、なぜ使っていないフォームから情報が漏洩した可能性があるのか、です。

　情報は2026年2月まで利用していた「旧お問い合わせフォーム」の入力データでした。スタジオが不正アクセスを受けた日は9月30日～10月1日。旧フォームを閉じた後です。ガチャコは次のように話します。

「当社は旧フォームの利用を終える際に、該当データを削除しておりました。しかしながら、削除済みデータは、まず『スタジオ』サービス内の“ごみ箱”に移る形となり、当該データがごみ箱に残り続けていたことで、今回の不正アクセスで外部に流出した可能性を否定できない状況となりました。削除後もデータが残っていたことにつきましては、当社のデータ管理として見直すべき点があったと受け止めております」

　クラウドサービスを狙った不正アクセスは、企業の管理体制により漏洩の範囲が異なるため、利用者側の個人情報の管理だけでは、被害をコントロールできない側面があります。

「ごみ箱に残っていた当該データについて、現在は完全に削除いたしました。今後、同様の事態が起きないよう、利用サービスにおけるデータの管理方法を見直してまいります」（前同）

　個人情報保護委員会は、ゴミ箱対策を次のように話します。

「ゴミ箱にデータを入れるだけでは不十分で、場合によっては、暗号化するなどしてデータを消去することが必要」

　不正アクセスを受けたスタジオは、自社サイトに次のような掲載をしています。

「脆弱性はすでに修正し、不正アクセスに利用された経路も塞いでおります」

　また、経緯については次のように説明します。

「第三者が一部機能の脆弱性を悪用して弊社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認いたしました。この状態は、2026年10月14日に弊社が対処するまで続いておりました。実際に第三者に取得された事実は確認できておりませんが、取得されたものとみなして対応を進めております」

　不正アクセスでは、侵入ログを改ざんすることが典型的な隠蔽手口となっています。プラットフォームの提供元であるスタジオは、さらに詳細な調査を続けて漏洩の有無を確定させ、ガチャコと連名で委員会に報告します。