【OTOTOY】音楽配信「OTOTOY」に不正アクセス、会員 最大約48万件のメールアドレスなどが取得された可能性

公表：2026年10月21日

会社：オトトイ株式会社（ハイレゾ音楽配信と音楽記事のサイト「OTOTOY」を運営）

3行でわかるポイント

1. オトトイが運営する音楽配信サービス「OTOTOY」に第三者の不正アクセスがあり、会員の一部情報 最大約48万件が見られたり取られたりした可能性があります。
2. 対象は内部ユーザーID（6〜9桁の数字）、メールアドレス、ユーザー登録日時です。ハッシュ化されたパスワード・購入履歴・物販用の住所・決済情報には、閲覧や取得の形跡はありませんでした。
3. サービスは10月19日に止め、10月20日22時ごろに再開しています。

何が起きたか

オトトイによると、10月18日（日）22時ごろから同社システムへの脅威となるアクセスが始まり、翌19日（月）14時ごろに把握してサービスを停止しました。原因の究明と必要なシステムの修正をしたうえで、10月20日（火）22時ごろにサービスを再開しました。10月21日18時に、会員のメールアドレスなどが取得された可能性があると公表しました。

漏れた可能性のある情報

影響／原因

漏れた可能性があるのは主にメールアドレスで、これを使ったフィッシングメールが届くおそれがあります。クレジットカード情報はOTOTOYのサーバーには保存しておらず（OTOTOYポイントでの決済を除き、決済は決済代行サービス側で処理）、今回の不正アクセスで取られることはないとしています。不正アクセスの具体的な手口は公表されていません。

利用者が今すべきこと

1. OTOTOYや関係先を装ったメールのURLや添付ファイルは開かず、パスワードや個人情報を入力しないでください。
2. 登録メールアドレスやパスワードを変えたい場合は、ログイン後の「環境設定」から変更できます。

私たちが学べること

パスワードや決済情報を自社で持たない、またはハッシュ化しておくことで、不正アクセスがあっても被害を小さくできます。一方、メールアドレスの漏えいだけでもフィッシングの入り口になるため、利用者側は「公式を名乗るメール」を疑う習慣が大切です。

経過

出典

1. 不正アクセスによるお客様情報漏洩の可能性に関するお知らせ（OTOTOY、2026年10月21日）
2. 音楽配信「OTOTOY」に不正アクセス、最大約48万件の個人情報漏洩の恐れ（セキュリティ対策Lab）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。