HYBE、Weverse、SM エンタテインメント：2026 年秋の K-POP 企業ハッキングに共通すること

公開 2026-11-08

2026 年 9 月から 11 月にかけて、韓国エンターテインメントを代表する企業が相次いで不正アクセスを公表しました。HYBE、そのファンプラットフォームの Weverse、そして SM エンタテインメントと系列 2 社です。K-POP ファンが使うチケット転売プラットフォームも被害を受けました。どれもファンのパスワードが盗まれたところから始まったわけではありません。音楽の裏側にある社内システムと、そのシステムと周りのサービスとのつながりから始まっています。

SM エンタテインメント、DearU、Dream Maker（11 月）

SM エンタテインメントは 11 月 8 日、11 月 4 日ごろに外部の攻撃者が電子決裁システムなどの業務システムに侵入し、保管していた文書の一部を持ち出したと発表しました。文書に含まれていた個人情報は、氏名、電話番号、住所、口座番号、住民登録番号、所属、契約書の記載内容などです。公演企画の Dream Maker Entertainment でも同じ種類の流出があり、ファン向けメッセージアプリ bubble を運営する DearU では、従業員データベース（氏名、生年月日、社員番号、ID、メールアドレス、役職など）が流出しました。3 社とも、攻撃に使われた IP アドレスと経路を遮断し、不正に使われたアクセスキーを交換したとしています。（Kstyle）

HYBE（9 月・10 月）

BTS の所属事務所 HYBE は、社内のセキュリティ点検で、電子決裁システムに連携した外部業者の文書プレビュー機能への不正なアクセスを見つけ、さらに経費処理システムでも同様のアクセスを確認しました。文書が持ち出されたのは 9 月 12〜13 日と 10 月 3〜5 日です。現役・元役職員と協力会社関係者の住民登録番号、パスポート番号、口座番号、カード番号、住所、電話番号、医療情報などが含まれていました。HYBE は 10 月 18 日に公式サイトで謝罪し、11 月 2 日に広く報じられました。被害人数は公表していません。（Kstyle、AFPBB News）

Weverse（9 月）

HYBE のファンプラットフォームを運営する Weverse Company は 9 月、42 万 2584 アカウント分の情報が流出したと発表しました。流出したのは内部の識別情報と、決済手段・金額・日時・注文状況などの決済情報です。韓国インターネット振興院（KISA）から、外部の報告者による脆弱性の指摘を伝えられて判明しました。同社は、これらの情報だけで決済の偽造や不正送金はできないとしています。（RBB TODAY、ScanNetSecurity）

Ticketbay（10 月）

チケット転売プラットフォームの Ticketbay は、10 月 21 日に攻撃者が一部の API に不正にアクセスし、約 1 万 6000 人の会員情報を読み取ったと発表しました。氏名、ID、登録日、そしてどの公演のチケットを売買したかという取引情報です。危険なのは最後の項目です。実際に買ったコンサートの名前を挙げたメッセージは、つい信じてしまいます。（韓国のセキュリティ専門メディア DailySecu が韓国語で報道。）

共通すること

• 狙われたのはファンアプリではなく業務システム。電子決裁や経費処理のシステムには、ID 番号、口座情報、契約書と、なりすましに必要なものがそろっています。ごく普通の業務ソフトウェアで、外部からも届きます。
• つながっている部分からの侵入。HYBE では決裁システムに組み込まれた外部業者のプレビュー機能、DearU では系列会社が運用する業務システム、Weverse と Ticketbay ではサービス自身の API が入り口でした。
• キー。SM が最初に行った対策は、攻撃者が使ったアクセスキーの交換でした。入り口が盗まれたキーでも外部業者の認証情報でも、攻撃者はその後、信頼されたシステムとして振る舞います。後始末は、システムが持つすべてのキーと連携を把握し、すぐに差し替えられるところから始まります。

被害を受けた方へ

• 流出した情報を使ったフィッシングに注意してください。勤務先の名前、契約内容、買ったコンサートの名前を出してきます。これらの企業がメールや電話でパスワードや認証コードを尋ねることはありません。
• 韓国の住民登録番号が流出した場合は、韓国インターネット振興院（KISA）の 118 相談窓口が個人向けに対応しています。
• ファンの方へ：SM は bubble 利用者の情報は流出していないとし、Weverse は流出した項目だけでは決済に使えないとしています。それでも、返金や決済失敗を知らせるメッセージには用心してください。

こうしたシステムを運用している方へ

業務システムが持つ API キー、サービスアカウント、外部業者との連携をすべて一覧にしておき、取引先がインシデントを報告したその日に、すべて差し替えられるようにしておいてください。それこそ KeyRotate が作られた目的です。キーを一か所で管理し、使われている場所すべてでまとめて差し替えます。FrontierStack は、その裏にあるサーバのセキュリティアップデートや証明書を見守ります。

こうしたインシデントは流出ニュースで追っており、韓国の KrCERT/CC と KISA、韓国のセキュリティ報道も読むようになりました。今回の流出は、利用者がキーを預けていない企業の従業員・顧客情報だったため、KeyRotate のアドバイザリにはしていません。だからこそ、ブログ記事にしました。アドバイザリそのものは流出ニュースのページにあります。