タカラトミー デュエマ公式アプリ、認証不備で15万人分の個人情報が閲覧可能な状態に 11カ月放置

認証不備が11カ月間見過ごされていた #

タカラトミーは7月28日、スマートフォンアプリ「デュエル・マスターズ サポートアプリ」で、最大約15万5000人分の個人情報を第三者が閲覧できる状態だったと発表した。原因はユーザー認証機能の設計・実装の不備で、公開直後の2025年8月1日から今年7月13日の改修完了まで、約11カ月間にわたり穴が開いたままだった。閲覧された恐れがあるのは氏名・住所・電話番号・性別・生年月日・メールアドレス・アプリ内ID・ハンドルネーム・XユーザーIDの9項目。現時点で不正利用は確認されていないという。

「不正侵入」ではなく「認証設計ミス」という怖さ #

今回は攻撃者が脆弱性を突破して侵入した事案ではなく、正規のログイン機構そのものが他人のデータへ通り抜けられる作りだった可能性が高い。典型的なのは、APIがリクエスト元の主張するユーザーIDをそのまま信じ、本来必要な認可チェックを省く「IDOR(直接オブジェクト参照)」型の不備だ。侵入検知や外形監視の対象になりにくく、攻撃の痕跡も残らないため、外部からの指摘が入るまで誰にも気づかれなかったとみられる。公開から11カ月間、誰も気づかないまま放置されるというのは、この種の設計不備の発見しづらさを物語っている。

子ども向けIPだからこそ問われる設計思想 #

デュエル・マスターズは子どもの利用者も多いIPで、生年月日や住所まで含む個人情報を扱うアプリ設計自体にリスクが伴う。開発段階での認可ロジックレビューと、公開後の定期的な第三者診断を組み合わせなければ、同種の不備は今後も見過ごされ続ける。ゲーム会社のアプリだからと軽視せず、決済や会員基盤と同水準の認証設計チェックを課すべき局面に来ている。