SECUBELL事件レポートANALYTICS-VENDOR-DATA-LEAK-2025-11/SUMMARY
分析ツール事業者経由の API 利用者情報の漏えい
Web・アプリの分析ツール事業者は、2025年11月8日にスミッシング（SMS を使ったフィッシング）による攻撃を検知し、一部の顧客に影響したと公表しました。
一次情報 2 件確認 2026-10-29
- 分類
- 委託先経由の漏えい
- 出典
- Mixpanel・The Register・OpenAI
- 公開日
- 2025-11-26
- 作成日
- 2025-11-26
- 版
- 2026-10-29
- 確からしさ
- 一次情報 2件・確認日 2026-10-29・未確認あり
- 文書番号
- ANALYTICS-VENDOR-DATA-LEAK-2025-11/SUMMARY
事件の要点
何が起きたか
Web・アプリの分析ツール事業者は、2025年11月8日にスミッシング（SMS を使ったフィッシング）による攻撃を検知し、一部の顧客に影響したと公表しました。[1]
報道によると、当該の生成AIの API サービス利用者の氏名・メールアドレス・おおよその所在地・OS／ブラウザの情報・組織／ユーザー ID が含まれていました。分析ツール事業者は 11月25日にデータセットを生成AIの API 提供事業者に共有し、生成AIの API 提供事業者は分析ツール事業者の利用を終了したと述べたと報じられています。[2]
利用者はパスワードの再設定は不要とされ、フィッシングへの注意が呼びかけられたと報じられています。[2]
誰が影響を受けうるか
当該の生成AIの API サービスを使っている事業者と、その担当者です。自社で直接使っていなくても、委託先（開発会社や SaaS の提供元）が業務で使っている場合があります。[2]
確認すべき点
- 委託先が、当社の業務で 出典 s1・s3 で公表された生成AIの API サービスや分析ツールを使っているか
- 当社の担当者の情報が、API の管理アカウントに登録されていたか
- 事業者からの通知を受け取っているか、受け取った内容
- 当社や担当者あてに、不審なメール（フィッシング）が届いていないか
未確認の点
生成AIの API 提供事業者は 2025-11-26（米国時間）に公式の説明を公表し、影響は API の限られた分析データで、API の内容・認証情報・支払い情報は含まれないとしています（s3。ページ本文は開けず、同社の RSS の概要で確認）。影響を受けた項目の内訳や時系列は報道（s2）によるもので、未確認です。分析ツール事業者の公式発表（s1）には、生成AIの API 提供事業者の名前はありません。最新の情報は原典でご確認ください。[1][2][3]
個人情報の漏えい等が起きた場合の報告には、個人情報保護委員会が示す公的な基準があります。報告の要否の最終判断は、お客様と専門家で行ってください。
原典
- [1]Mixpanel「Mixpanel security incident (smishing)」https://mixpanel.com/blog/sms-security-incident/
- [2]The Register「OpenAI cuts off Mixpanel after analytics leak exposes API users」https://www.theregister.com/2025/11/27/openai_mixpanel_api/
- [3]OpenAI「Mixpanel security incident: what OpenAI users need to know（OpenAI News の RSS で概要を確認）」https://openai.com/index/mixpanel-incident