- 株式会社ワールドの連結子会社、株式会社ティンパンアレイの業務サーバーが外部から不正アクセスを受けました。ワールドが10月30日に適時開示で発表しています。
- サーバーに保管されていた会員の情報 延べ約120万件が外部に流出した可能性があります。項目は氏名・住所・電話番号・生年月日・性別・メールアドレスです。
- クレジットカード情報などの決済情報と顔情報は、流出が確認されていないとしています。
- どの会員が対象か、件数の詳細はまだ確認中です。ワールドは、ホームページでの告知と会員への個別メールで、お詫びと注意喚起をすると発表しています（確認時点ではまだ出ていません）。
- 原因は発表に書かれていません。
- お詫びをかたる偽メールや、住所・電話番号を使った不審な連絡に注意してください。メールの中のリンクは使わず、公式サイトで同じ告知を確かめます。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、ワールドが10月30日に出した適時開示（東京証券取引所の情報開示）をもとに、分かっていることと分かっていないことを分けてまとめたものです。続報が出たら更新します。
何が起きたか（時系列）
ティンパンアレイは、ワールドが100%出資する子会社です［ティンパンアレイ 会社概要（2026年5月時点の保存版）］。発表された経緯は次のとおりです。
| 日時 | 発表の内容 |
|---|---|
| 10月17日（土）14時51分ごろ | 外部からティンパンアレイの業務サーバーに不正アクセスがあり、サーバーへの侵入と、データを抜き出す操作が行われた |
| 10月28日（水）12時08分ごろ | 不正な操作を検知し、そのサーバーを隔離した |
| 10月28日 21時36分まで | 不正アクセスの経路を遮断し、関連する社内業務システムの一部を止めた。遮断後は、その経路からアクセスできないことを確認した |
| 10月29日（木） | 警察に相談し、個人情報保護委員会に報告した |
| 10月30日 | ワールドが「連結子会社における不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」を開示 |
出典：［ワールド 適時開示（PDF）］
データが抜き出された10月17日から、検知した10月28日まで、11日ほどの間があります。ワールドは今後、外部のセキュリティ専門家などに調査を頼み、その結果と助言をふまえて再発防止策をとるとしています。業績への影響は精査中です。
なお、10月30日朝の確認時点で、ティンパンアレイの公式サイト（tinpanalley.co.jp）は「メンテナンス中」の表示になっていました。ワールドのコーポレートサイト（corp.world.co.jp）も「セキュリティ対策に伴うメンテナンスのため」一時停止中と表示されています。どちらにも、今回の件との関係は書かれていません。
流出した可能性がある情報と、確認されていない情報
| ワールドの発表（10月30日） | |
|---|---|
| 流出した可能性がある情報 | 会員情報：氏名・住所・電話番号・生年月日・性別・メールアドレス |
| 件数 | 延べ約120万件（対象の会員と件数の詳細は確認中） |
| 流出が確認されていない情報 | クレジットカード情報その他の決済情報、顔情報 |
| パスワード | 発表には書かれていない（流出の可能性がある項目にも、確認されていない項目にも挙がっていない） |
「延べ」は、同じ人が重なって数えられている場合も含めた数え方です。実際の人数は約120万人より少ない可能性があります。正確な人数は、続報を待つ必要があります。
氏名・住所・電話番号・生年月日がそろっていると、本人になりすました問い合わせや、本物らしく見える偽の連絡に使われるおそれがあります。カード情報が漏れていなくても、次の「やること」に目を通しておいてください。
対象になる人
発表では「ティンパンアレイの会員様情報」とされているだけで、どのサービスの会員が対象かは書かれていません。対象の会員の詳細は確認中です。
ティンパンアレイの公式サイトの会社概要（2026年5月時点の保存版）には、店舗としてRAGTAG（ラグタグ）、rt（アールティー）、usebowl（ユーズボウル）が、関連サイトとしてRAGTAG Onlineやお買い取りサイト、アプリなどが載っています［ティンパンアレイ 会社概要（保存版）］。これらに会員登録や買い取りの申し込みをしたことがある人は、自分が対象かどうか、今後の案内を気にしておくとよいでしょう。ただし、これらのどれが対象なのかは発表に書かれていないので、登録していたことがそのまま対象を意味するわけではありません。
ワールドは、対象の会員に個別メールを送ると発表しています。自分が対象かどうかは、その案内か、公式サイトの告知で確かめてください。
会員の人がやること
以下は、個人情報が漏れた可能性があるときの一般的な対処で、ワールドやティンパンアレイの指示ではありません。公式の案内が出たら、そちらを優先してください。
1. お詫びメールを装った偽メールに注意する
- メールの中のリンクは使わない：公式サイトは、ブックマークや検索から自分で開きます。
- 公式サイトに同じ告知が出ているかを見る：ワールドは、ホームページでの告知と個別メールでお知らせすると発表しています。メールだけが届いて公式サイトに何も出ていないときは、まず疑います。
- パスワード、カード番号、口座番号を入力させようとしたら疑う：お詫び、返金、クーポン、本人確認などを理由に入力を求めるメールやSMSは、フィッシング（本物そっくりのメールや偽サイトで情報を入力させる詐欺）を疑ってください。
2. 電話や郵便での不審な連絡に注意する
今回は、メールアドレスだけでなく住所・電話番号・生年月日も対象です。会社や公的機関を名乗る電話、郵便物で個人情報やお金の話をされたら、その場で答えず、自分で調べた公式の窓口にかけ直して確かめます。
3. パスワードの使い回しを見直す
発表では、パスワードが流出した可能性には触れていません。それでも、同じパスワードをほかのサービスでも使っているなら、大事なサービス（メール、ネットバンキング、通販）から順に変えておくと安心です。2段階認証（パスワードに加えて、スマホなどで確認する仕組み）が使えるところは設定しておきます。
4. 偽サイトに入力してしまったら
すぐに本物のサイトでパスワードを変え、同じパスワードを使っていたほかのサービスも変えます。カード番号を入れてしまった場合は、カード会社に連絡します。
原因について
ワールドの発表には、不正アクセスの原因（どこから、どんな手口で入られたか）は書かれていません。外部の専門家などに調査を頼むとしているので、原因は今後の発表で示される可能性があります。
このサイトでは10月21日に公表されたPHPの脆弱性「php2shell」を追っていますが、今回の発表にPHPに関する記述はありません。この記事では、今回の件をPHPの脆弱性と結びつけて扱いません。
よくある質問
RAGTAGで買い物をしたことがあります。対象ですか？
発表では「ティンパンアレイの会員様情報」とされていて、どのサービスの会員が対象かは書かれていません。対象の会員と件数の詳細は確認中です。今後の個別メールや公式サイトの告知で確かめてください。
クレジットカードは止めたほうがいいですか？
ワールドは、クレジットカード情報その他の決済情報の流出は確認されていないとしています。念のため、カードの利用明細に覚えのない請求がないかを見ておき、あればカード会社に連絡してください。偽サイトにカード番号を入れてしまった場合は、すぐカード会社に連絡します。
パスワードは漏れましたか？
発表には、パスワードについての記述がありません。漏れたとも、漏れていないとも書かれていない状態です。ほかのサービスと同じパスワードを使っているなら、変えておくと安心です。
お詫びメールはいつ届きますか？
ワールドは、ホームページでの告知と会員への個別メールでお詫びと注意喚起をするとし、準備が整いしだい案内するとしています。日付は書かれていません。届いたメールは、リンクを使わずに公式サイトの告知と照らし合わせてください。
「延べ約120万件」は120万人ということですか？
「延べ」なので、同じ人が重なって数えられている可能性があります。人数とは限りません。詳細は確認中とされています。
原因はPHPの脆弱性ですか？
発表に原因は書かれておらず、PHPについての記述もありません。原因が示されたら更新します。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。今回の件での会員情報の扱いについては、ワールド・ティンパンアレイの公式の案内を確かめてください。相談はこちら
参考にした情報
- 株式会社ワールド「連結子会社における不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」（2026年10月30日、適時開示・PDF）
- 株式会社ティンパンアレイ「会社概要」（公式サイト、2026年5月19日時点の保存版。10月30日朝の確認時点で公式サイトはメンテナンス中）
