顧客248名の個人情報が流出、スカのAPI攻撃

スカで、内部用会員照会機能（API）を通じた外部攻撃により、顧客248名の個人情報が流出した。スカは攻撃開始から10分で異常を認識し、攻撃IPとアクセス経路を遮断したと説明している。

事故は2026年10月7日午後10時13分に発生し、同日午後10時23分に異常アクセスを認識した。分析の結果、顧客情報が外部に流出したことが確認された。

流出した情報には、名前、生年月日、性別、携帯電話番号、メールアドレス、住所、会員番号及び運転免許証の一部情報が含まれているが、パスワードやカード番号、口座番号などの決済情報は含まれていないとされている。

スカの関係者は、今回の攻撃はAPIのオブジェクトレベル権限検証の不備を悪用した「BOLA」脆弱性によるものだと述べている。BOLAは、サーバーが要求者の特定情報に対する権限を適切に確認しないために発生する脆弱性である。

スカは、異常を認識した直後に緊急対応体制を稼働し、攻撃に使用された経路と関連IPを遮断した。外部から内部サービスへのアクセス経路も全面遮断し、正常に遮断されているかを確認している。