注目事例 2026-09-11（金）配信

カンナムオンニ、API不正アクセスで個人情報漏洩

美容医療情報プラットフォーム「Unni（カンナムオンニ）」を運営するHealing Paperは、ウェブサイトの相談履歴を照会するAPI（連携機能）に対する不正アクセスが発生し、一部の個人情報が漏洩したと公表しました。なお、口コミ写真やクレジットカード情報等の漏洩はないことを確認しています。

攻撃手法（確認済み）

相談履歴を照会するウェブサイトの一部API（連携機能）に対する不正なアクセスが発生し、個人情報が漏洩しました。初回の検知後に経路を遮断したものの、翌日にも同一攻撃者による別経路からの再アクセスが確認されています。

攻撃手法（推測）

APIのエンドポイントにおける認証・権限検証の不備（BOLA/IDOR等）や、パラメータの不適切な処理を悪用した不正アクセスである可能性があります。

自組織チェックポイント

外部公開しているAPIエンドポイントにおいて、適切な認証・認可（アクセス権限の検証）が実装されているか

APIにおけるIDOR（不十分なオブジェクトレベルの認可）等の脆弱性に対する診断が定期的に行われているか

APIへの異常なリクエストや大量のデータ照会をリアルタイムで検知・遮断できる仕組みがあるか

セキュリティインシデント発生時に、関連する別経路や類似のエンドポイントを含めた総点検を行う体制があるか

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。