当社サービスにおけるアクセス制御の不備によるお客様情報の露出について（お詫びとご報告）

当社が提供するサービス「tl;dv」において、当社が利用するクラウドデータベースのアクセス制御設定に不備があり、本来はお客様ご自身および同一組織内の権限を有する方のみが参照できるはずのミーティング情報の一部が、当社サービスにログイン可能な第三者から不正にアクセス可能な状態となっておりました。

アクセス可能な状態にあった情報は、tl;dv上での録画の管理コード、Web会議への参加用URL、および録画作成者のメールアドレスの3種類です。

恒久的な対応は2026年8月5日に完了しております。

本ページで使用する用語は、以下のとおりです。

※ 2026年8月8日公開のお知らせと用語が異なる箇所については、上表のとおり読み替えをお願いいたします。分かりやすさを優先し、本ページでは機能に沿った表記に改めております。

アクセス可能な状態にあった情報

当該クラウドデータベースからアクセス可能な状態にあったのは、以下の3種類です。

• 録画の管理コード
• Web会議への参加用URL
• ミーティング主催者のメールアドレス

「公開」設定のミーティングについて（別途のご説明）

上記に加え、お客様ご自身が「公開」に設定していたミーティングについては、管理コードを取得した第三者が tl;dv の画面を通じて、ミーティング名および当該ミーティングへ招待されていた参加者メールアドレスを閲覧できる状態にありました。

これは「公開」設定の本来の仕様（リンクを知る方であれば閲覧できる）によるものですが、本来は知られないはずの管理コードがアクセス可能となっていたため、結果として意図しない範囲に閲覧され得る状態となっておりました。

「公開」設定ではないミーティングについては、参加者の方のメールアドレス、および録画・文字起こし・AI要約といった会議内容そのものがアクセス可能な状態にはありませんでした。

対象に含まれていないことを確認済みの情報

• ログインパスワードおよび認証情報
• クレジットカード情報その他の決済情報

Web会議への参加用URLについて

当該URLを取得した第三者が、Web会議の待機室への参加を試みることが可能な状態にありました。実際に参加が行われた事実は確認されておりません。予防措置として、影響を受けた可能性のあるお客様には、会議参加URLの再発行をお願いしております。

関係当局への報告

本事象につきましては、個人情報の保護に関する法律に基づき、2026年8月11日に個人情報保護委員会へ報告いたしました。

本事象は、以下2つの不備が重なったことにより発生いたしました。

(1) データ削除処理の不備

当該クラウドデータベース（Firebase）は、ミーティングの進行状況やリアルタイム更新など、一時的な運用データを保持することを目的として使用しておりました。これらのデータは所定の期間経過後に削除される設計としておりましたが、削除処理に不具合があり、削除されるべきデータが完全には消去されず、本来の保持期間を超えて蓄積しておりました。

(2) アクセス制御設定の不備

上記とは別に、当該データの参照範囲を、データの所有者であるお客様および所属組織に限定する設定が正しく行われておりませんでした。

削除されるべきデータが残存していたこと、かつその参照範囲が限定されていなかったこと、この2点が重なった結果、当社サービスにログイン可能な第三者が、他のお客様のデータに不正にアクセスできる状態となっておりました。

• 調査対象期間： 2026年1月27日〜2026年8月5日
• 調査方法： 当社が保有する各種テレメトリおよびアクセス記録の精査、報告された手法の再現検証、第三者検証機関 Abicom 社による検証
• 調査結果：
  • 同一のセキュリティ研究者による調査目的のアクセスについては、当社にて内容を確認し、再現しております。
  • それ以外の第三者による悪用を示す痕跡は、現時点で確認されておりません。
  • 一方で、当該アクセス経路については、リクエスト単位での詳細な記録を従来取得しておりませんでした。そのため、対象期間全体にわたる全てのアクセスを遡及して確認することができず、第三者による参照が一切なかったと断定することはできません。
• 外部専門機関による検証： 第三者検証機関である Abicom 社に依頼し、報告された実証手法を用いた再検証を実施いたしました。修正後は当該経路からの参照ができないことを確認しております。

なお、調査の詳細、確認した証跡の範囲、および調査上の制約につきましては、お客様のご要望に応じて個別にご説明いたします。

• 恒久対応の適用に先立ち、該当データへの外部からのアクセスを遮断（2026年8月4日）
• アクセス範囲を、当該ミーティングの参加者・作成者・明示的に権限を付与された方に限定するアクセス制御ルールを適用（2026年8月5日）
• 当社が提供する全てのクライアント（Webアプリケーション、デスクトップアプリケーション、ブラウザ拡張機能、およびAPI基盤）を、新しいアクセス制御に対応するよう更新
• 残存していたデータを調査のうえ、当該クラウドデータベース上のデータを全件削除
• リアルタイムの進行状況表示については、認証済みのお客様のみが参照できる別の仕組みへ移行
• お客様ご自身が「公開」に設定していたミーティングを、予防措置として非公開設定に変更
• Abicom 社による修正内容の再検証を実施
• 同種の設定不備がないか、当該クラウドデータベース上の全てのデータ領域について、Abicom 社の助言に基づき点検を実施
• 外部からの脆弱性報告について、件数や報告元にかかわらず、速やかかつ構造化された評価を行う受付・対応プロセスへの改定
• 大量の情報取得を困難にするための追加の技術的対策の導入
• 本事象の原因となったクラウドデータベース（Firebase）の削除および移行（対応中）

影響を受けたお客様へ順次ご連絡を差し上げます。

• ご連絡手段： 電子メール
• ご連絡内容： 本事象の概要、および予防措置としての会議室URLの再発行のお願い

ご連絡がお手元に届いていない場合や、ご自身のアカウントへの影響についてご不明な点がある場合は、下記の窓口までお問い合わせください。個別のアカウントについて調査のうえ回答いたします。

本報告の内容および個別のご契約への影響については、下記の窓口までお問い合わせください。担当者より順次回答いたします。