Metaのサポートインフラにアクセス制御不備の脆弱性、顧客の会話・ファイルへの不正アクセスが可能だったことが判明（バウンティ78,000ドル）

「Metaのサポートに連絡したとき送ったメールや書類って、ちゃんと守られてたんでしゅか？」
「アクセス制御不備って、どこでもよく起きるでしゅよね？うちの会社は大丈夫でしゅか？」

チップス

ボスっ、Metaのカスタマーサポートに脆弱性があって、顧客のやり取りを見られる状態だったって本当でしゅか？

ボス

ああ、本当だ。独立研究者がアクセス制御不備の脆弱性を発見し、Metaサポートとユーザーのメール・チャット、提出ファイル、個人情報に不正アクセスできる状態だったことが判明した。Metaは修正済みで悪用の証拠はないとしているが、企業のサポートシステムに潜むリスクとして注目すべき事例だな。

Metaのカスタマーサポートシステムに、アクセス制御不備（IDOR）の脆弱性が存在していたことが明らかになりました。
2026年1月に発見・報告した独立研究者Rony K Roy氏に、Metaは78,000ドル（約1,170万円）のバグバウンティを支払い、同氏が7月21日に詳細を公開しています。

この記事を読むことで、IDORという脆弱性の仕組みと、企業のサポートシステムに潜むアクセス制御リスクへの理解が深まります。

MetaのサポートシステムにIDOR脆弱性、顧客の機密データへのアクセスが可能だった

独立研究者Rony K Roy氏は2026年1月、Metaのサポートインフラにアクセス制御不備の脆弱性を発見し、Metaのバグバウンティプログラムを通じて報告しました。

脆弱性で可能だった操作と影響を受けたデータ

最初の報告はMeta Horizon Managed Solutions（Meta Quest端末を企業管理するプラットフォーム）の認可メカニズムの欠陥として限定的な問題と判断されましたが、詳細な分析の結果、より広範なサポートインフラ全体に影響する脆弱性であることが判明しました。

この脆弱性によって攻撃者が可能だったことは以下のとおりです。

Metaは2026年4月にパッチを適用し、悪意のある利用の証拠は発見されなかったと発表しています。
研究者はMetaから78,000ドルのバグバウンティを受け取り、2026年7月21日に詳細をSecurityWeekを通じて公開しました（SecurityWeek記事参照）。

チップス

Metaのサポートに問い合わせたことがある人の情報は、全員危なかったということでしゅか？

ボス

技術的には可能だったというのが事実だ。ただし悪用された証拠はなく、Metaは4月に修正済みだ。重要なのは「悪用されなかったから問題ない」ではなく、「アクセス可能な状態が存在していた」という事実を受け止め、自社のシステムでも同様のリスクがないか確認することだな。

IDORとアクセス制御不備から学ぶ教訓

今回の事例は、世界最大規模のテクノロジー企業ですら見落とし得るアクセス制御の問題を示しています。
特にサポートシステムやAPIにおけるIDOR（Insecure Direct Object Reference：安全でない直接オブジェクト参照）は、発見が難しく、かつ影響範囲が広くなりやすい脆弱性です。

IDORのリスクと企業が今すぐ確認すべき事項

IDORとは、API内部でオブジェクト（ユーザーID、注文ID、チケットIDなど）を直接参照する際に、権限チェックが適切に行われていない脆弱性です。
URLやAPIパラメータの番号を変えるだけで他人のデータにアクセスできてしまうケースも多く、サポートシステムやデータ管理APIで特に発生しやすいです。

企業が今すぐ確認すべきポイントは以下のとおりです。

まとめ

Metaの事例は、カスタマーサポートシステムというビジネスの核心部分に、見落とされやすいアクセス制御の問題が潜んでいた事実を示しています。
幸い悪用は確認されませんでしたが、同様のIDOR脆弱性は多くの企業のシステムに潜在しています。
外部研究者による発見とバグバウンティという仕組みが機能したことは、企業セキュリティの健全な在り方を示す好例でもあります。

チップス

78,000ドルもバウンティをもらえるんでしゅか！セキュリティ研究者って、カッコいいでしゅね！

ボス

ふふふ、そういうことだ。バグバウンティは企業が「脆弱性を報告してくれた人に感謝して報酬を払う」仕組みだ。研究者にとっては正当な収入になり、企業にとっては悪用される前に脆弱性を知れる。セキュリティ業界全体が成熟した証拠だな。

脆弱性を発見して適切に報告し、報酬を得る。
そのような正当なセキュリティ研究者の活動が、デジタル社会の安全を支えています。