OTOTOYの不正アクセスで自分は対象か、最大約48万件とカード情報

OTOTOYで何が漏れた可能性があるのか

OTOTOYは、オトトイ株式会社が運営する音楽配信サービスです。

会員の一部最大約48万件のメールアドレスなど

出典：オトトイ株式会社「不正アクセスによるお客様情報漏洩の可能性に関するお知らせ」（2026年10月21日18時）。項目は10月21日17時の時点で同社が確かめた全容です。

オトトイによると、閲覧・取得された可能性があるのは、会員の一部最大約48万件の、内部ユーザーID、メールアドレス、ユーザー登録日時です。ハッシュ化されたパスワード、購入履歴、物販用の登録住所、カード番号などの決済情報には、閲覧・取得の形跡はなかったとしています。

OTOTOYポイントでの支払いを除き、決済は決済代行サービスのサーバーに移って行うため、カード情報などはOTOTOYのサーバーに保存していないと説明しています。

10月19日に停止、20日夜に再開

10月18日22時ごろにシステムへの脅威となるアクセスが始まり、翌19日14時ごろに把握してサービスを止めました。原因を調べてシステムを直し、10月20日22時ごろにサービスを再開しています。不正アクセスの手口は書かれていません。

何に気をつけるか

漏れた可能性があるのは主にメールアドレスのため、気をつけるのはメールです。

OTOTOYや関係先を装うメールに注意

オトトイは、漏れた可能性があるメールアドレスを悪用して、同社や関係先、さまざまな企業を装ったフィッシングメールが届く可能性があるとしています。不審なメールのURLや添付ファイルを開いたり、個人情報やパスワードを入れたりしないよう呼びかけています。

新しい音源の配信やセールの案内に見えるメールでも、リンクからログインせず、自分で開いたOTOTOYのサイトで確かめます（当社の見方）。

メールアドレスやパスワードは環境設定で変えられる

登録しているメールアドレスやパスワードを変えたい場合は、ログイン後の「環境設定」で変えられると案内しています。パスワードには形跡がないとしていますが、同じパスワードをほかのサービスで使っている場合は、見直しておくと安心です（当社の見方）。

OTOTOYの会員が今できる3つのこと

オトトイの発表をもとにまとめました。

よくある質問

OTOTOYの不正アクセスで何が漏れたのですか

閲覧・取得された可能性があるのは、会員の一部最大約48万件の、内部ユーザーID（6〜9桁の数字）、メールアドレス、ユーザー登録日時です。

パスワードや購入履歴は大丈夫ですか

ハッシュ化されたパスワード、購入履歴、物販用の登録住所には、閲覧・取得の形跡はないとしています。

クレジットカードは大丈夫ですか

カード番号などの決済情報には形跡がなく、もともとOTOTOYのサーバーには保存していないとしています。

OTOTOYはもう使えますか

10月20日22時ごろにサービスを再開しています。

問い合わせ先はどこですか

OTOTOYのお問い合わせページ（ototoy.jp/contact/）です。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社で、取引先や中小企業に関わる情報漏えいの公表を日々見ています。会員の人が確かめられるよう、発表をもとに整理しました。