概要
株式会社マクアケは2026年7月8日、同社が運営するクラウドファンディングサービス「Makuake」において、第三者がサービス内メッセージ機能を悪用して偽サイト（フィッシングサイト）へ誘導するメッセージを送信する事案が確認されているとして注意喚起を発表しました。攻撃者は公式窓口になりすました新規アカウントを作成する手口のほか、リスト型攻撃（パスワードリスト攻撃）で既存会員アカウントに不正ログインしてメッセージ機能を悪用する手口も確認されています。マクアケは不正利用アカウントの停止やフィッシングメッセージの非表示化、URL送信制限などの対応を実施し、調査を継続しています。クラウドファンディングや一般向けプラットフォームを業務・私用で利用している組織・個人は、サービス内メッセージ経由のフィッシングという増加傾向にある攻撃ベクターへの注意が求められます。
目次
1. 何が起きたか
株式会社マクアケは2026年7月8日、同社が運営する購入支援型クラウドファンディングサービス「Makuake」において、フィッシング攻撃が発生しているとして公式の注意喚起を発表しました。
インシデント概要
| 項目 | 内容 |
|---|---|
| 被害サービス | Makuake（購入支援型クラウドファンディングサービス） |
| 攻撃種別 | フィッシング攻撃（サービス内メッセージ機能の悪用） |
| 発表日 | 2026年7月8日 |
| 攻撃方法 | 公式窓口なりすまし＋リスト型攻撃による不正ログイン |
| 攻撃目的 | 偽サイト（フィッシングサイト）へのURL誘導 |
| 情報流出元 | Makuakeからの流出ではなく、外部で入手されたID・パスワードを悪用（リスト型攻撃） |
マクアケの公式発表によると、これらのフィッシングメッセージは同社とは無関係であり、引き続き手口を変えながら攻撃が継続される可能性があるとして、ユーザーへの注意を呼びかけています。
2. 確認されている3つの攻撃手口
今回確認されているフィッシング攻撃には、主に以下の3つの手口があります。
手口1: 公式窓口になりすました新規アカウント
攻撃者が新規の会員アカウントを作成し、アカウント名やアイコン画像をマクアケの公式窓口に見せかけたものに設定したうえで、偽サイトへ誘導するメッセージを送信する手口です。
- Makuakeに攻撃者が新規アカウントを無料作成
- アカウント名・アイコンを公式窓口に偽装
- メッセージ機能でフィッシングURLを送信
手口2: 乗っ取りアカウントを公式窓口に偽装
他のサービスから流出したと推測されるメールアドレスとパスワードを使ったリスト型攻撃（パスワードリスト攻撃）で、既存会員のアカウントに不正ログイン。ログイン後にアカウント名やアイコン画像を公式窓口に偽装して、フィッシングメッセージを送信する手口です。
- 他サービスから流出したID・パスワードを用いてリスト型攻撃を実施
- ログイン成功後、アカウント名・アイコンを公式窓口に変更して偽装
- 既存会員アカウントという一見信頼性のある送信元からメッセージ送信
手口3: 乗っ取りアカウントからそのまま送信
手口2と同様に不正ログインされた会員アカウントから、アカウント名等を変更せずに偽サイトへ誘導するメッセージを送信する手口です。
- アカウント名・アイコンの変更なし（受信者には既存会員からのメッセージと見える）
- フィッシングURL付きメッセージをそのまま送信
「当社が、メッセージ機能を通じて本人確認や外部サイトでのログイン、パスワード・クレジットカード情報等の入力をお願いすることは一切ありません。」（マクアケ公式発表より）
本件における情報流出の有無
マクアケは「本件はMakuakeからの情報流出によるものではなく、外部で入手されたID・パスワード等を用いた行為によるものと推定している」と説明しています。ただし、不正ログインされたアカウントの登録情報が第三者に閲覧された可能性があるとして、調査を継続しており、対象となる会員には判明し次第連絡するとしています。
3. マクアケの対応状況
マクアケは本件発覚後、以下の対応を実施しています。
| 対応内容 | 詳細 |
|---|---|
| アカウント停止・強制ログアウト | なりすましに使用された新規アカウントおよび不正ログインが確認されたアカウントの利用停止（ロック）、全端末からの強制ログアウトを実施 |
| フィッシングメッセージの非表示化 | 送信されたフィッシングメッセージを受信者・送信者双方の画面から閲覧できないよう非表示化 |
| URL送信制限 | メッセージ機能においてURLを含むメッセージの一部送信を制限 |
| 調査継続 | 不正ログインされたアカウントの登録情報閲覧可能性を含め調査を継続。対象会員には判明し次第連絡予定 |
また、ユーザーに対して以下の対応を求めています。
- メッセージ内のURLは開かず、記載された連絡先への連絡も控える
- アクセスは公式サイト（https://www.makuake.com/）またはブックマーク・公式アプリから行う
- 他サービスとパスワードを使い回している場合は速やかに変更する
- アカウント名・アイコン・登録情報の変更に気づいた場合は窓口へ連絡する
- 偽サイトに情報を入力してしまった場合は即座にパスワードを変更し、クレジットカード会社へ相談する
4. 企業・担当者が取るべき対策
本件は「一般向けSaaS・プラットフォームのメッセージ機能を悪用したフィッシング」という、近年増加している攻撃手口の典型例です。情シス担当者として自社・社員の利用状況を踏まえ、以下の対策を確認してください。
4-1. パスワード使い回しの撲滅
今回の不正ログインの根本原因は、他サービスで流出したID・パスワードをリスト型攻撃に悪用されたことです。
- 社員へのパスワードポリシー徹底——各サービスで異なるパスワードを使用するよう周知・教育する
- パスワードマネージャーの導入推進——長く複雑で一意のパスワードを安全に管理するツールの導入を推進する
- 多要素認証（MFA）の有効化——業務で利用するSaaS・プラットフォームにおいてMFAを必須化または推奨する
4-2. メッセージ機能経由フィッシングへの対応
フィッシング攻撃はメールだけでなく、SaaSプラットフォームのメッセージ機能やDMを経由した手口が増加しています。
- 社員教育の実施——業務・私用を問わず、メッセージ内のURLをむやみにクリックしない習慣を徹底する
- 「公式からのメッセージ」の見極め方を共有——正規サービスはメッセージ内URLでパスワードや個人情報の入力を求めることはないという原則を周知する
- インシデント報告フローの整備——疑わしいメッセージを受信した際の報告・対応フローを事前に整備する
4-3. 業務利用SaaSのアカウント管理
- 業務利用SaaSの棚卸し——シャドーITを含め、社員が利用するSaaSを一覧化して管理する
- 退職者アカウントの速やかな無効化——退職・異動時にアカウントを適切に無効化し、リスト型攻撃の標的となる不要アカウントを減らす
- 不正ログインアラートの確認——業務利用SaaSで設定可能な「不審なログイン通知」機能を有効化する
4-4. フィッシング被害発生時の対応フロー整備
社員がフィッシングサイトに情報を入力してしまった場合に備え、以下の対応手順を事前に整備しておくことが重要です。
- 即座にパスワードを変更し、同一パスワードを使用している他サービスも変更する
- クレジットカード情報を入力した場合はカード会社に連絡し、利用停止・再発行を検討する
- 情シスへの報告とインシデント対応を開始する
5. まとめ
マクアケ「Makuake」でのフィッシング攻撃事案は、サービス内メッセージ機能という通常は安全と見なされがちなチャネルを悪用した攻撃の典型例です。攻撃者は公式窓口を装ったなりすましアカウントの作成と、リスト型攻撃による既存アカウントの乗っ取りという複数の手口を組み合わせており、受信者が正規メッセージと区別することは非常に困難です。
情シス担当者として今すぐ取り組むべきは、社員のパスワード使い回し対策とMFA導入の推進、そして「SaaSのメッセージ機能でURLが送られてきたら疑う」という基本姿勢の組織全体への浸透です。フィッシング攻撃の入口はメールからSaaS・SNS・アプリ内メッセージへと多様化しており、従来のメールセキュリティだけでは防御できない時代になっています。