「ホロライブ」公式カードゲームサイトに不正アクセス ── CMS脆弱性の「パッチ猶予期間」を突かれる

何が起きたか #

カバー（東京都港区）が運営する「hololive OFFICIAL CARD GAME」の公式サイトで、第三者による不正アクセスの痕跡が見つかった。発表は8月25日だが、発覚のきっかけは7月17日に公表されたCMS（コンテンツ管理システム）の脆弱性だ。この脆弱性を受けて社内調査を進めたところ侵入の形跡が判明したという。

影響を受けるのは7月4日から19日の間に問い合わせフォームを利用したユーザーで、氏名・メールアドレス・電話番号・問い合わせ内容が流出した可能性がある。単品カードの交換対応窓口への問い合わせは対象外。件数は非公表で、対象者にはメールで個別通知済み、CMSの更新など対策も完了しているという。

「パッチ猶予期間」という盲点 #

今回のケースが浮き彫りにするのは、脆弱性が公表されてから実際にパッチが適用されるまでの「猶予期間」の危うさだ。CMSベンダーの脆弱性情報は防御側だけでなく攻撃者も同時に閲覧できる。防御側がパッチを検証・適用する時間を必要とする一方、攻撃者はスキャンツールで脆弱なサイトを即座に洗い出せる。

問い合わせフォームの対象期間（7/4〜19）は脆弱性公表日（7/17）をまたいでおり、公表とほぼ同時期に侵入が起きた可能性をうかがわせる。CMSやプラグインに依存する中小規模サイトほど、この初動の遅れが被害に直結しやすい。

読者への教訓 #

サイト運営側にとっての教訓は明快で、脆弱性情報の監視と即時パッチ適用が防御の生命線になる。一方で利用者側も無関係ではない。流出した問い合わせ内容や連絡先はフィッシングに転用されやすく、カバーも「心当たりのないメールのリンクや添付ファイルを開かない」よう呼びかけている。人気IPを騙る二次被害への警戒も忘れないでおきたい。