Crunchyroll のサポートデータ事案：第三者事案は確認、規模は未確定

Crunchyroll は Sony Pictures Entertainment と Aniplex の合弁による世界的アニメサービス。主にサポートチケットに関わるベンダー事案を確認したが、攻撃者の全規模は確認していない。

• 2026年7月14日時点で、Crunchyroll は、第三者ベンダーと主にカスタマーサポートのチケット情報に関わる事案を調査していると確認していた。
• 800万件のチケット、680万件のメールアドレス、Telus の関与、Okta アカウント侵害、24時間のアクセス、500万ドルの要求は、Crunchyroll が公表確認した事実ではない。
• Have I Been Pwned は120万件のメールアドレスの一部データを受領した。これは部分的な裏付けであり、主張された全規模の検証ではない。

Crunchyroll が確認した範囲

3月23日から24日にBleepingComputer、Reuters、TechCrunchが掲載した声明によると、Crunchyroll はサイバーセキュリティ専門家と調査を続けていた。同社は、第三者ベンダーでの事案により、対象情報は主としてカスタマーサービスのチケットデータに限られるとの見方を示し、継続中の不正アクセスを示す証拠は確認していないとした。

この説明は事案とデータ領域を確認するが、最終的な規模までは確定しない。「継続アクセスの証拠がない」ことは、持ち出された複製が消えたこと、全トークンや認証情報が失効したこと、接続サービス間で過去の移動がなかったことを意味しない。

なお主張にとどまる内容

攻撃を主張する人物は BleepingComputer に対し、3月12日に、端末を感染させた後、Telus の従業員とされるサポート担当者の Okta アカウントを侵害したと述べた。Zendesk などへ24時間アクセスし、800万件のチケットと680万件の固有メールアドレスを取得し、500万ドルを要求したとも主張した。Crunchyroll は、ベンダー名、侵入経路、時間、件数、恐喝を公表確認していない。

BleepingComputer はスクリーンショットとチケットのサンプルを確認した。同媒体によれば、サンプルには氏名、ログイン名、メール、IP アドレス、おおまかな所在地、会話内容が含まれた。カード情報は利用者がチケットに書いた場合に限って見つかった。サンプルの観察を全記録の属性に広げることはできない。

裏付けられた範囲

TechCrunch は、Slack のメッセージやサポートデータに見えるスクリーンショットを確認した一方、攻撃者の件数は独立に検証されていないとした。Have I Been Pwnedは後に、売り出されたとされる200万行のデータから120万件のメールアドレスを受領した。これは一部データの流通を支えるが、680万人や主張された全項目を証明しない。Mozilla Monitorは HIBP 由来のデータでメールだけを掲げるが、別の複製に他項目がなかったことの証明にはならない。

サポートチケットが持つリスク

サポート基盤は単なるアドレス帳ではない。チケットにはアカウント履歴、IP アドレス、所在地、スクリーンショット、自由記述の請求情報、サポートを装うのに使える回答が入り得る。直接のリスクは、標的型フィッシング、偽サポート、詐欺的な再設定、他の流出情報との照合である。これは中核アカウントデータベースやパスワードが盗まれた証拠ではない。

管理対象とガバナンス

検証対象の経路は、ベンダー端末、SSO アイデンティティ、担当者権限、Zendesk のエクスポート、各アプリのログ、チケット保持にまたがる。最小権限、フィッシング耐性認証、管理端末、エクスポート制限、異常量検知、セッションの一括失効、証拠保全が必要になる。NIST SP 800-161は、外部サービスのリスクを利用組織が特定、評価、軽減する枠組みを示す。

Crunchyroll は Sony Pictures Entertainment と Aniplex による独立運営の合弁事業であり、Sonyは2026年5月に有料会員が2100万人を超えたと発表した。この規模は正確な集計と法域別通知の重要性を高めるが、被害人数の推計には使えない。

残る未確定事項

2026年7月14日までに確認した資料には、ベンダー、根本原因、アクセス期間、対象アプリ、人数、データ項目、通知、是正を示す Crunchyroll の公開最終報告はなかった。3月24日に提出された連邦訴状も複数の主張を記すが、訴状は原告の主張であり、司法判断ではない。次に必要なのは、日付入り通知、フォレンジック結果、規制当局への届出、重複を除いた人数、アクセス失効の証拠である。