Weverseで42万件規模の情報流出｜自分は対象？漏れた情報・個別通知を整理

Weverseで42万件規模の情報流出｜自分は対象？カード番号・パスワードは？

グローバルファンプラットフォーム「Weverse」で、一部利用者の情報が外部へ流出していたことが分かりました。

運営するWeverse Companyが公表した流出規模は、アカウントID単位で422,584件（42万2584件）。ただし、これは「42万2584人分」と発表された数字ではありません。

気になるのは、何の情報が外部へ出たのかという点です。

Weverse Companyが個人情報として公表しているのは、社内でユーザーを識別するための内部識別情報です。このほか、決済手段の種類、購入金額、購入日時、決済代行会社名など、購入・決済に関連する一部情報も流出しました。

一方、今回公表された流出項目には、氏名、住所、電話番号、メールアドレス、クレジットカード番号、カード有効期限、セキュリティコード、Weverseのログインパスワードは記載されていません。

対象になったのは一部の利用者です。Weverse Companyは対象者へ個別に流出の事実を案内する手続きを進めていますが、日本語の公式公告では具体的な通知方法までは示されていません。

Weverseで何が起きた？42万2584件の情報流出を確認

今回の問題が表面化したのは2026年9月3日です。

Weverse Companyは、韓国インターネット振興院（KISA）から、外部の報告者がWeverseサービスのセキュリティ脆弱性を指摘しているとの連絡を受けました。

連絡後に社内点検と緊急対応を行い、その過程で一部利用者の情報が流出していたことを確認。翌9月4日には、点検結果と対応状況を含む侵害事故をKISAへ報告しています。

現在分かっている内容をまとめると、次の通りです。

Weverseを利用したことがある人全員の情報が流出した、という発表ではありません。

何が漏れた？個人情報として公表されたのは「内部識別情報」

公式公告では、流出した項目が「個人情報項目」と「一般情報項目」に分けて示されています。

個人情報として挙げられているのは、内部識別情報です。

これはWeverseへの登録時、社内でユーザーを識別するために生成される内部番号。Weverse Companyは、氏名や連絡先のように個人を直接特定する情報ではなく、同社の内部システム内で使用する識別値だと説明しています。

その内部識別情報とは別に、次の購入・決済関連情報も外部へ露出しました。

• 購入タイプ（決済手段）
• 決済代行会社（PG）名
• 通貨単位
• 購入金額
• 取消金額
• 購入日時
• 購入状態
• 返金日時（購入状態がCANCELEDの場合）

Weverse Companyは、これらを「個人情報には該当しない一般情報項目」としています。

内部番号だけが漏れたわけではなく、購入金額や日時なども含まれている点は押さえておきたいところです。

クレジットカード番号は流出した？

今回の公式発表で公表された流出項目に、クレジットカード番号は記載されていません。

同様に、

• カード有効期限
• セキュリティコード

も公表された項目には入っていません。

紛らわしいのが、流出項目にある「購入タイプ（決済手段）」という表現です。

これは決済方法に関する項目であって、カード番号そのものが流出したとWeverseが発表したわけではありません。

ニュースで「決済情報」「決済履歴」といった大きなくくりだけを見ると、カード番号まで外部へ出たように感じるかもしれませんが、今回公表された内容は分けて考える必要があります。

現時点で言えるのは、カード番号、有効期限、セキュリティコードは、Weverseが公表した確認済み流出項目には含まれていないということです。

パスワードは？氏名や住所、メールアドレスは？

Weverseのログインパスワードについても、今回公表された流出項目には記載されていません。

氏名、住所、電話番号、メールアドレスも同様です。

さらにWeverse Companyは、流出した内部識別情報について、氏名や連絡先など個人を直接特定する情報ではないと説明しています。

そのため今回の発表を、

「42万件の氏名や住所、カード番号、パスワードが流出した」

と受け取るのは正確ではありません。

一方で、現段階で公表されていない情報についてまで「絶対に流出していない」と広げるのも慎重であるべきです。

2026年9月8日時点では、Weverse Companyが確認済みとして公表した流出項目に含まれていないというのが現在地です。

購入した商品名まで漏れた？

購入関連では、金額、日時、決済手段、購入状態などが流出項目に含まれています。

しかし、購入した商品の名称は公式公告の流出項目に記載されていません。

つまり、

「Weverseでいつ、いくら使ったか」

に関係する一部情報は含まれるものの、

「具体的に何を購入したのか」

まで公表された流出内容に入っているわけではありません。

「購入履歴が丸ごと流出した」とまとめてしまうと、この違いが分からなくなります。

自分も対象？Weverseは対象者へ個別に案内

Weverse Companyは、今回の対象を一部の利用者としています。

ただ、9月8日時点の公式公告では、

• いつ登録した利用者が対象なのか
• Weverse Shopで購入した人だけなのか
• 特定期間に買い物した人なのか
• 特定の国・地域が対象なのか

といった具体的な条件は明らかにしていません。

そのため、公表情報だけを使って自分で対象かどうかを判定するのは難しい状況です。

Weverse Companyは、流出対象となった利用者に対して、関係法令で定められた基準に基づき、個別に流出の事実を案内する手続きを進めていると説明しています。

現時点では、この個別案内が自分の対象状況を知る重要な手掛かりになります。

個別案内はメールで届く？

日本語の公式公告には、具体的な通知方法が書かれていません。

登録メールアドレスなのか、Weverseアプリの通知なのか、別の方法なのかは明記されていないため、「対象者にはメールが届く」とは現段階では言えません。

個別案内を受け取った場合は、記載内容だけでなくWeverse公式のお知らせもあわせて確認した方が確実です。

通知が来ていないなら対象外？

まだ通知がないことだけでは、対象外とは判断できません。

日本語公式公告では、対象者へ個別に案内する手続きを「進めております」としています。

対象者への案内がすべて完了したとする発表ではないため、

「何も届いていないから自分は対象外」

と決めるにはまだ早い段階です。

今後、個別案内の完了や対象確認方法について追加発表があれば、その内容を基準に判断することになります。

日本の利用者も対象になっている？

日本を含む国・地域別の対象件数は公表されていません。

日本語版の重要なお知らせも掲載されていますが、それだけを根拠に「日本の利用者が何人対象になった」と判断することはできません。

逆に、日本の利用者は対象外だという発表もありません。

現時点では国・地域別の内訳そのものが分からない状態です。

「42万2584件」は42万2584人という意味ではない

ここはニュースの数字を見ると誤解しやすい部分です。

Weverse Companyが使っている正式な表現は、

「アカウントID単位基準 422,584件」

です。

ニュースでは分かりやすく「42万人超」と表現されている例もありますが、一次資料は人数ではなくアカウントID単位で集計しています。

1つのアカウントIDと1人の利用者が完全に同義なのか、重複があるのかといった詳しい内訳も今回の公告にはありません。

そのため、正確にはアカウントID単位で42万2584件と見るのがよいでしょう。

不正決済の危険は？Weverseは「可能性は極めて低い」と説明

Weverse Companyは、流出した内部識別情報について、外部では使用できない識別値だと説明しています。

そのうえで、この項目だけでは決済の偽造や不正送金などが発生する可能性は極めて低いとの見解を示しました。

ただし、会社側の説明には「当該項目のみでは」という条件があります。

今回の情報流出全体について、

「二次被害が絶対に起きない」

と保証したものではありません。

購入金額や購入日時、決済手段などが外部へ露出したことも確認されています。内部識別情報単独のリスク評価と、今回の事故全体を同じ意味で受け取らない方がいいでしょう。

カードを止める必要はある？

9月8日時点で、Weverse Companyから全利用者にクレジットカードの停止や再発行を求める案内は出ていません。

公表された流出項目にもカード番号、有効期限、セキュリティコードは記載されていません。

そのため、今回の発表だけを理由に、すべての利用者が直ちにカードを停止しなければならない状況とは確認できません。

普段の利用履歴を見て身に覚えのない請求があれば、その時点で利用しているカード会社や決済事業者へ相談するのが適切です。

パスワードは今すぐ変更するべき？

パスワードも今回の確認済み流出項目には含まれておらず、Weverse Companyから全利用者へ一斉変更を求める発表も確認されていません。

少なくとも、

「今回パスワードが漏れたので全員変更しなければならない」

という発表ではありません。

自分のWeverseアカウントに身に覚えのない動きがある場合は別として、現時点では対象者への個別案内や追加発表を確認することが先になります。

情報流出はなぜ起きた？

Weverse Companyによると、9月3日にKISAから、外部の報告者によるWeverseサービスのセキュリティ脆弱性の指摘について連絡を受けました。

さらに公式公告では、不正な攻撃によって個人情報へ不法にアクセスした外部の行為者がいたことも明らかにしています。

一方、具体的にどのような脆弱性が利用されたのかは公表されていません。

たとえば、

• APIの認証不備
• APIキーの流出
• SQLインジェクション
• IDOR
• ランサムウェア

など、具体的な攻撃方法まで判明したわけではありません。

事故後に決済情報処理APIのアクセス制御を強化したことは発表されていますが、それだけで脆弱性の種類まで特定することはできません。

Weverseは事故後に何をした？

Weverse Companyは追加措置として、決済情報処理APIのアクセス制御を強化し、内部識別情報をAPIから除去したとしています。これによって、外部へ情報が露出しないようセキュリティを強化しました。

今後についても、

• 外部に露出しているすべてのAPIを調査
• アクセス制御を強化
• 外部へ露出する情報を最小化
• 配信プロセスの統制を強化
• セキュリティモニタリングの検出感度を強化

する方針を示しています。

不正アクセスを行った外部の行為者に対しては、流出した個人情報の回収を要請しており、今回の被害について告訴手続きを進める予定です。

ここはまだ「回収済み」「犯人を処分済み」という段階ではありません。

Weverseは現在も使える？

今回の事故を理由に、Weverseサービス全体を停止するという発表は出ていません。

公式公告は情報流出への対応や再発防止策を発表したもので、サービス全面停止を知らせる内容ではありません。

利用者側でアカウントを停止しなければならないという案内も、現時点では確認されていません。

利用者が今確認しておきたいこと

まず確認したいのは、Weverseから自分宛ての個別案内が来ているかどうかです。

ただし、通知方法は公式公告で特定されていないため、メールだけを見て判断するのではなく、Weverseの公式アプリや公式サイトのお知らせも確認しておくと分かりやすいでしょう。

また、今回の事故について追加情報が発表された場合は、SNS上の投稿よりもWeverse Companyの公式発表を基準にするのが確実です。

「情報流出の対象になった」とする連絡が届いた際も、メッセージ内のリンクだけを頼りにせず、Weverseの公式アプリや公式サイトから同じ案内を確認すれば、内容を照合できます。

カード番号やパスワードについて新たな発表が出た場合は対応が変わる可能性がありますが、9月8日時点では、全利用者にカード停止やパスワード変更を求める案内は確認されていません。

まとめ｜対象者には個別案内、カード番号・パスワードは今回の公表項目に記載なし

Weverse Companyが公表した今回の情報流出は、アカウントID単位で422,584件です。「42万2584人」と発表された数字ではありません。

個人情報として確認されたのは社内の内部識別情報。このほか、決済手段、決済代行会社名、通貨、購入金額、購入日時、購入状態なども外部へ露出しました。

一方、今回公表された流出項目には、氏名、住所、電話番号、メールアドレス、カード番号、有効期限、セキュリティコード、Weverseのログインパスワード、購入した商品名は記載されていません。

対象になったのは一部利用者で、Weverse Companyは個別に流出事実を案内する手続きを進めています。ただし具体的な通知方法や対象条件、国・地域別の件数はまだ明らかになっていません。

そのため、現時点では「通知がないから対象外」と決めるのではなく、Weverseからの個別案内と公式の続報を確認するのが確実です。

今回の発表だけを理由に全利用者がカードを停止したり、パスワードを一斉変更したりするよう求める公式案内も出ていません。

何が流出したと確認されているのか、何はまだ公表項目に入っていないのか。そこを分けて確認することが、現在の状況を正確に把握するうえで最も重要です。