2026年の元日、海外のハッカーフォーラムで「TOKYO FMから300万件超のデータを盗んだ」という主張が出たと海外メディアが報じ、SNSにも広がりました。TOKYO FMは1月6日、自社管理サーバーに不正アクセスや持ち出しの痕跡はない一方で、統計分析に使っていた外部クラウドサービス上のユーザー属性情報の一部が流出していたと公表しています。1月15日の続報では、不審なIPアドレスからのアクセスはあったがダウンロードの形跡はない、と説明しました。流出したのは、2025年にアプリが終わった音声プラットフォーム「AuDee（オーディー）」の投稿データなどです。本記事では公式発表を根拠に、流出の範囲と原因の公表状況、AuDeeが今どうなっているか、自社の分析基盤で見直しておきたい点検手順を整理します（確認日は2026年11月10日）。
まとめ｜TOKYO FM情報流出とAuDeeの現状（2026年11月時点）
- 発表：2026年1月6日に第1報、1月15日に続報。TOKYO FMのIRニュース一覧には、続報以降に本件の発表はありません（2026年11月10日確認）。
- 流出したもの：旧AuDeeのメッセージフォーム投稿データの一部と、「マイスタジオ」ほか番組関連サービスのユーザー情報の一部。ユーザーネーム、性別・年齢・職業種別・都道府県、投稿メッセージ本文、一部のメールアドレスです。
- 含まれないもの：氏名、住所、電話番号、ログインパスワード、クレジットカード情報。地上波番組のメッセージフォームの情報も対象外です。
- 件数と原因：どちらも非公表です。海外報道が伝える攻撃者の主張（約307万件）は公式発表で裏付けられておらず、原因も「何らかの原因により」とされたままです。
- 利用者の対応：パスワード変更の呼びかけは出ていません。TOKYO FMや番組を装う不審なメールを開かずに削除するよう求められています。
- AuDeeの現状：アプリは2025年8月31日に終了し、Web版も2026年3月31日で更新を終えました。audee.jpは後継サイト「JFN Pods」へ転送され、ログイン画面はありません。
TOKYO FM情報流出の時系列｜元日の主張から1月15日の続報まで
TOKYO FMの公式発表は、2026年1月6日の「当社へのサイバー攻撃を指摘する投稿に関する事実確認について」と、1月15日の同タイトルの続報の2本です。
| 日付 | 発信元 | 内容 |
|---|---|---|
| 2026年1月1日 | 攻撃者「victim」（報道） | フォーラムで侵害を主張 |
| 2026年1月6日 | TOKYO FM（第1報） | 外部クラウドから一部流出 |
| 2026年1月15日 | TOKYO FM（続報） | DL形跡なし・管理者を制限 |
| 2026年11月10日 | 本記事の確認日 | 3本目の発表なし |
続報は冒頭で「外部クラウドサービスからの情報の流出も確認されませんでした」と書く一方、3項目めで「何らかの原因により、統計分析用のデータの一部が流出した事実はあります」とも書いています。どちらも公式の文言なので、本記事では「外部クラウドから流出した」と断定せず、両方を併記します。
攻撃者の主張と公式発表の食い違い｜約307万件・氏名を含むという主張
台湾のIT媒体iThome（2026年1月7日）によると、セキュリティ企業Hackmanacが1月1日、ハッカーフォーラムで「victim」と名乗る人物がTOKYO FMへの侵入を主張しているのを見つけました。Cyberwarzone（1月4日）は、主張された件数を3,071,841件、含まれるとされた項目を氏名、メールアドレス、IPアドレス、ユーザーエージェント、社内システムのログイン情報、役職などと伝えています。
公式発表とは2点で食い違います。1つは項目で、TOKYO FMは氏名やログインパスワードは含まれないと説明しています。もう1つは場所で、攻撃者は社内システムへの侵入を主張しましたが、TOKYO FMは自社サーバーに侵入の痕跡はないとしています。件数についてTOKYO FMは「一部」と書くだけで、数字を出していません。
約307万件という数字は攻撃者の自己申告で、確認された被害件数ではありません。本記事で参照した資料では、攻撃者のデータサンプルを第三者が検証した結果を確認できず、公式側も件数を出していないため、実際の規模は外部から判断できません。報道の数字を引用するときは、主張した主体を必ず添えるべきです。
流出した範囲｜旧AuDee投稿データと「マイスタジオ」ほかの利用者情報
第1報が挙げた4項目と、含まれない項目
第1報が流出対象とするのは「旧『AuDee』のメッセージフォーム投稿データの一部及び『マイスタジオ』他番組関連サービスのユーザー情報の一部」です。マイスタジオは、AuDeeアプリ上で一般ユーザーが自分の番組を収録・投稿できるサービスで、2022年1月17日のプレスリリースでiPhone向けβ版として始まりました。
- ユーザーネーム（ラジオネーム等）
- 性別、年齢、職業種別、都道府県 ほか
- 投稿メッセージ本文
- 一部のメールアドレス（ユーザーネームにメールアドレスを書いていた人など）
氏名、住所、電話番号、ログインパスワード、クレジットカード情報は含まれず、地上波ラジオ番組のメッセージフォームに書き込まれた情報も対象外です。
「分析用に加工」でも残るリスク2点
TOKYO FMは、流出データは「分析用に加工されたもの」と説明しています。ただ、加工は自由入力欄の中身までは消していません。1点目は、性別・年齢・職業種別・都道府県と投稿本文を組み合わせると、身近な人なら投稿者を推測できる場合があることです。2点目は、ユーザーネーム欄にメールアドレスを書いた人などは、アドレスそのものが流出していることです。分析基盤に渡すデータから不要な自由入力欄を除けば、投稿本文やユーザーネーム経由の情報露出を減らせます。ただし、属性情報の組み合わせによる識別リスクは別途評価が必要です。
流出の原因は非公表｜第1報と続報で分かったこと
第1報：自社サーバーとAuDeeサーバーに痕跡なし
TOKYO FMは、番組への投稿機能を含む自社ホームページのサーバーと、2025年9月末まで運営していたAuDeeのサーバーを緊急に調べ、どちらにも不正アクセスや情報持ち出しの痕跡はなかったとしています。そのうえで、外部クラウドサービス上のユーザー属性情報の一部が流出していたことが分かり、原因は事業者とともに追加調査中としました。クラウド事業者名やサービス名は公表されていません。
続報：不審なIPアクセスは確認・ダウンロード形跡なし
続報は、外部クラウドサービス事業者の追加調査で「不審なIPアドレスからのアクセスが一定期間内に確認されたもののデータがダウンロードされた形跡は確認されませんでした」と説明しています。不審なアクセスはあった、ダウンロードの記録はない、それでもデータの一部が外に出た事実はある、という3点が並ぶ内容で、どの経路で外に出たのかは書かれていません。
「設定ミスが原因」と断定できない理由
公式発表は2本とも「何らかの原因により」と書くだけで、設定不備にもアクセス制限の誤りにも触れていません。「ダウンロードの形跡なし」と「一部流出の事実あり」は、ログの保存期間や記録範囲によっては両立します。外部から原因を言い当てる材料はないので、本記事では原因を「非公表」と扱います。
利用者がすべきこと｜パスワード変更の呼びかけなし・偽メールは削除
流出データにログインパスワードは含まれておらず、TOKYO FMはパスワードの変更を呼びかけていません。第1報が求めているのは、TOKYO FMや番組を装った不審なメールや、不審なリンクを含むメッセージを受け取ったら「開封やリンクへのアクセスを控え、速やかに削除」することです。
注意すべきなのは、ラジオネームと投稿内容、一部のメールアドレスがそろうと、「先日の投稿が採用されました」のような本物らしいメールを作れる点です。身に覚えのない当選連絡や投稿内容の確認を名目にしたリンクは開かず、公式サイトから問い合わせます。問い合わせ先はTOKYO FMリスナーサービスセンターです。偽メールの見分け方はフィッシングの手口と見分け方でまとめています。
TOKYO FMの再発防止策｜蓄積停止・不要データ削除・管理者アカウント制限
第1報の時点で、TOKYO FMは該当する分析用外部クラウドへのデータ蓄積を停止し、不要データの削除などを済ませたとしています。続報では、これに管理者アカウントの必要最低数への制限が加わりました。不審なIPアドレスからのアクセスがあった以上、データに触れられる管理者を絞るのは筋の通った対応です。第三者監査や社内教育など、これ以外の具体策は公表されていません。
第1報は、TOKYO FMが2025年9月末まで運営していたAuDeeの投稿データの一部を流出対象として挙げています。ただし、流出時期や終了後の保存状況の詳細は公表されていません。終了したサービスのデータが分析用の保存先に残っていないかは、本件の原因とは切り離して、どの組織でも点検しておく価値があります。
AuDeeは今どうなっているか｜アプリ終了からJFN Podsへの移行まで
AuDee終了の時系列（2025年6月〜2026年3月）
AuDeeは、TOKYO FMと株式会社ジャパンエフエムネットワーク（JFNC）が共同で運営してきた音声プラットフォームです。終了は3段階で進みました。
| 日付 | 出来事 |
|---|---|
| 2025年6月30日 | TOKYO FMがAuDeeでの配信終了を発表 |
| 2025年8月31日 | AuDeeアプリ（iOS・Android）終了 |
| 2025年9月 | TOKYO FMによる配信を終了 |
| 2026年3月14日 | JFNCが「JFN Pods」を公開 |
| 2026年3月31日 | AuDeeの更新を終了 |
根拠は、TOKYO FMの2025年6月30日のニュースリリース「TOKYO FM、音声プラットフォーム戦略を再構築」、AuDeeアプリのサービス終了のお知らせ、JFN Podsの「JFN Pods」公開のお知らせです。アプリ終了の時点では「Webサービスは引き続きご利用いただけます」と案内されていましたが、そのWeb版も2026年3月31日で更新を終えています。
AuDeeにログインできない理由と、聴いていた番組の探し方
2026年11月10日に確認したところ、audee.jpにアクセスするとjfn-pods.comへ転送され、ログイン画面のURL（audee.jp/login）はJFN Podsの404ページになります。JFN Podsのトップページにもログインやマイページへの導線は見当たりません。AuDeeのアカウントでログインして使う機能は、もう提供されていないと考えてよい状況です。
聴いていた番組は、制作した局で探し先が分かれます。TOKYO FMの番組は、2025年6月のリリースどおりradikoのポッドキャストが中心で、Apple Podcasts、Spotify、Amazon Music、YouTubeなどでも配信されています。JFN系列の番組やポッドキャストは、JFN Podsの番組一覧から探せます。
AuDeeとradikoの違い
AuDeeはTOKYO FMとJFN系列局のオンデマンド音声を集めた専用の場で、利用者が自分の番組を投稿できるマイスタジオも持っていました。radikoは全国の民放ラジオ局とNHKが参加する共通の聴取サービスで、放送中の番組を聴く「ライブ」、過去7日間の放送を聴く「タイムフリー」、「ポッドキャスト」の機能があります（いずれも2025年6月30日のリリース時点の説明）。TOKYO FMはポッドキャストの告知先をradikoに一本化しています。ラジオとポッドキャストの関係はポッドキャストの仕組みとラジオとの違いで詳しく扱っています。
分析基盤の棚卸し手順｜終了サービスのデータ・管理者権限・公開設定
終了サービスの分析用コピーと保持期限の棚卸し
公式発表が流出を認めているのは統計分析用データの一部です。ただし、続報は外部クラウドサービスからの流出を否定しており、実際の流出経路は説明されていません。本番システムを監視や脆弱性診断の対象にしていても、分析用コピーは台帳から漏れがちです。点検は次の順で行います。最優先は、終了したサービスや終わった施策のデータが分析基盤に残っていないか。次に、そのデータに自由入力欄（ニックネーム・本文）が含まれていないか。最後に、保持期限と削除の担当者が決まっているかです。削除の設計はPeakManagerの個人情報漏えいとDB侵害の技術解説でも扱っています。
AWSで管理者権限と公開ブロックを確認するコマンド
TOKYO FMが使っていたクラウドの種類は公表されていません。ここではAWSを例に、AdministratorAccessが直接付いた主体と、S3のアカウント単位の公開ブロック設定を、読み取り専用で確かめます。どちらも設定を変えないため、本番アカウントで実行しても状態は変わりません。
# 前提：AWS CLI v2、IAMとS3の読み取り権限を持つ認証情報（Windows・macOS・Linux共通）
# 1) AdministratorAccess が付いたIAMユーザー・グループ・ロールを一覧する
aws iam list-entities-for-policy --policy-arn arn:aws:iam::aws:policy/AdministratorAccess --policy-usage-filter PermissionsPolicy --query "{Users:PolicyUsers[].UserName,Groups:PolicyGroups[].GroupName,Roles:PolicyRoles[].RoleName}" --output json
# 2) アカウント単位のS3パブリックアクセスブロックを確認する（123456789012 は自分のアカウントIDに置き換える）
aws s3control get-public-access-block --account-id 123456789012
1つ目はAWS CLIの list-entities-for-policyで、AWS管理ポリシー AdministratorAccess が直接付いた主体を返します。インラインポリシーや独自ポリシーによる同等の権限は対象外です。また、返されたグループの所属ユーザーやロールを引き受けられる主体は、この結果だけでは分かりません。2つ目はs3control get-public-access-blockで、設定が無ければ NoSuchPublicAccessBlockConfiguration エラーが返ります。バケット単位で制限している場合もあるので、このエラーだけで公開状態とは判断できません。4項目の意味はAmazon S3のパブリックアクセスブロックの公式ドキュメントで確認できます。権限設計の考え方はAWS IAMの仕組みと権限設計をご覧ください。
継続監視（CSPM・SaaS設定診断）を入れる条件
上のコマンドは一度きりの点検向きで、アカウントや外部サービスが増えると続きません。設定変更を担当者が追えない、または個人データの公開設定や権限変更をすぐ検知する必要があるなら、継続監視を入れるべきです。仕組みはCSPMの設定ミス検出の仕組みと導入判断、SaaS側はSaaSセキュリティ対策の実装手順で解説しています。既存の監視で設定変更を検知し是正まで追えているなら、同じ範囲にCSPMを重ねる必要は低くなります。どの外部サービスに何のデータが残っているか分からない場合は、一創の脆弱性診断・セキュリティ診断で、クラウドと外部サービスの設定を第三者の目で洗い出すこともできます。
よくある質問
TOKYO FMの情報流出では何が流出しましたか？
旧AuDeeのメッセージフォーム投稿データの一部と、「マイスタジオ」ほか番組関連サービスのユーザー情報の一部です。項目はユーザーネーム、性別・年齢・職業種別・都道府県など、投稿メッセージ本文、一部のメールアドレスで、氏名、住所、電話番号、ログインパスワード、クレジットカード情報は含まれていません。
流出した件数は何件ですか？
TOKYO FMは件数を公表していません。海外報道には攻撃者「victim」が3,071,841件と主張したとの記載がありますが、本記事では原投稿を確認できていません。2026年11月10日時点で、公式の件数発表はありません。
流出の原因は何ですか？設定ミスだったのですか？
原因は公表されていません。公式発表は「何らかの原因により」と書くだけで、設定ミスとは述べていません。続報で示されたのは、外部クラウドに不審なIPアドレスからのアクセスがあったことと、ダウンロードの形跡がなかったことまでです。
AuDeeにログインできないのはなぜですか？
AuDeeはアプリが2025年8月31日に終わり、Web版も2026年3月31日で更新を終えたためです。audee.jpは後継のJFN Podsへ転送され、ログイン画面のURLは404になります（2026年11月10日確認）。TOKYO FMの番組はradiko、JFN系列の番組はJFN Podsで探せます。
AuDeeを使っていた人はパスワードを変更すべきですか？
流出データにログインパスワードは含まれず、TOKYO FMから変更の呼びかけも出ていません。求められているのは、TOKYO FMや番組を装った不審なメールを開かず削除することです。他のサービスと同じパスワードを使っていた場合の見直しは任意です。
