【速報】あまりニュースになっていないけどSmartNews（スマートニュース）に不正アクセス。アプリでのニュース更新不可、ニュース閲覧も不可

2026年11月2日午前8時現在の利用状況をもとにした速報です。アプリの画面は同日8時9分、WebのHTTPレスポンスは8時21分ごろのものです。影響は利用環境によって異なる可能性があります。続報は時刻を付けて追記します。

SmartNewsでニュースが読めません。11月2日朝、私のアプリでは更新しようとしても「ニュースを取得できませんでした」。再読み込みしても進まない。

アプリには「現在メンテナンス中につき、アプリの一部機能やコンテンツが利用できない場合があります」と出ています。会社サイトを見に行くと、第三者による不正アクセスへの対応中とのこと。いや、それをアプリに書いてくれ。

「メンテナンス中」と「再読み込み」だけでは、自分の通信環境が悪いのか、待つしかないのかも分かりません。

10月22日に不正アクセス、その後また別の不正アクセス

スマートニュースは11月1日の最初の発表で、セキュリティ上の問題を受けて一部機能を停止していると説明。その後の同日15時時点の続報で、10月31日から11月1日にかけてシステムの一部への不正アクセスを確認したと公表しています。

ポイント・特典のシステムでは不正な操作があり、ポイント交換を停止。アカウントへの影響は調査中です。パーソナライズ、プッシュ通知、一部特典などを制限し、該当システムの停止と認証情報の無効化・更新を進めているとしています。

これ、10月22日の問題とは別の事案だそうです。

10月23日の復旧発表では、サーバー環境の脆弱性を悪用され、対策を終えて基本サービスを再開したと説明していました。個人情報と広告配信関連情報の流出は確認されていない、というのも10月23日正午時点の話。今回の影響はまだ調査中です。

対策して再開したと思ったら、また別件。利用者には、前の件が直った話と今回止まっている話が混ざります。

Web版もエラー。ただしHTTPは「200 OK」

アプリだけの表示不具合かと思い、SmartNews＋のWebページも開きました。こちらも「データの読み込みに失敗しました。もう一度お試しください。」と表示されます。

11月2日8時21分ごろ、Web版とSmartNews形式の記事共有URLにGETリクエストを送ると、どちらも次のヘッダーが返りました。

HTTP/2 200
server: CloudFront
content-type: text/html; charset=utf-8
x-cache: Miss from cloudfront

HTTPのステータスは200。HTMLは返ってきますが、ブラウザで開くとデータの読み込みに失敗します。エラー画面を正常に配信されても、ニュースは読めないわけです。

server: CloudFrontなのでCloudFront経由の応答ですが、止まっている箇所まではヘッダーに出ません。こういう状態だと、HTTP 200だけを見ている死活監視では正常扱いになってしまいます。記事が実際に読めるかまで見ないと拾えない。

ニュース配信と広告配信は、どう作られているのか

過去の技術資料も見てみました。2019年の同社エンジニアによる開発組織の説明には、ニュースを集めて配信するNews Backend、広告配信のAds、機械学習などの担当が出てきます。

AWSの導入事例では、2023〜2024年の取り組みとして、Amazon EKSによるコンテナ運用や、ニュースフィード・機械学習推論でのGraviton採用を紹介。2016年にも、同社の技術者が閲読行動を分析して推薦に使うデータ基盤を解説しています。

記事を集める処理、おすすめを選ぶ処理、広告を出す処理。それぞれ動く仕組みがあるので、ニュースを読めなくても広告だけ動くこと自体はあり得ます。ただ、これらは過去の資料。今回どこが侵害され、どこを止めたのかを示すものではありません。

アプリからシェアしたときのURLも気になります。私の環境では、普段のSmartNewsへ誘導するURLではなく、配信元の記事URLになっているようです。

SmartNews側を通さず元記事へ送るようにしたのか、記事によって共有の挙動が違うだけなのかは不明です。ただ、ニュースの更新も閲覧もできない私の画面を見ていると、「一部機能の制限」で片づけられても困る。肝心のニュースが読めないんですが。

侵入経路も気になります。Androidアプリなどを逆アセンブルして接続先APIや通信仕様を調べ、サーバー側の認証・権限管理の穴を探す、という攻め方もあります。ただ、今回の侵入経路は未公表。被害拡大を防ぐためにシステムを止めても読み込みエラーは出るので、アプリが使えないことから攻撃の入り口までは分かりません。

マイページも使えない。閲覧履歴や趣味嗜好は大丈夫なのか

私のアプリでは、マイページや、ログインして変更する個人設定の部分も一通り使えなくなっています。ニュースが読めないだけでなく、自分のアカウントの状態も確認できない。こうなると、個人情報は大丈夫なのかが気になります。

11月1日15時の公式発表は、アカウントへの影響を調査中としています。設定画面が使えないこと自体は、流出の証拠にはなりません。ただ、閲覧履歴やパーソナライズに使う情報が無事なのかについても、この発表では分かりません。

気になるのは、名前やメールアドレスだけじゃないんですよね。どんなニュースを読んで、何に興味を持っていると分析されているのか。SmartNews Adsの公式説明にも、コンテンツの閲覧状況や広告への反応を組み合わせて、利用者の興味・関心を判定するとあります。

そういう履歴や分析結果が、自分と結び付いた形で外に出たら、正直キモい。自分でプロフィールに書いた覚えもない趣味嗜好を、知らない誰かに見られるわけです。しかも、記事を読んだからといって賛成しているとは限らない。勝手に推定された人物像まで漏れるのは、かなり嫌です。

これはSmartNewsに限らず、X、TikTok、Facebook、Threadsなんかでも気になる話です。タイムラインを自分向けにするための履歴やプロファイルが、もし本人と結び付いて抜かれたらどうなるのか。エッチなサービスならなおさら。見た作品や検索した言葉から、性的な嗜好まで他人に知られたら、生活や人間関係への打撃は致命的になりかねない。

パスワードなら変えられます。でも、一度知られた趣味嗜好は、パスワード変更でなかったことにはできません。復旧状況とあわせて、こうした履歴や分析された情報にまで被害が及んでいないか、調査して伝えてほしいです。

ニュースは読めないけど、広告は継続？

11月1日15時の続報には、広告についてこうあります。

広告の配信は、現時点で継続しております。

続けて、広告関連のシステムや情報への影響も調査中とあります。「広告は無事です」という発表ではないんですね。

広告運用をしてきた側としては、ニュースが更新できない状態で、広告はどの画面に出ているのか、表示やクリックはどう計測されているのかが気になります。広告主も「配信は続けています」だけでは判断しようがないでしょう。

有料のSmartNews＋で読めない期間が生じているなら、返金するのか、期間を延ばすのか、その扱いも知りたい。利用者には「待ってください」、広告は「継続しています」では、説明する相手が偏っていませんか。

ニュースアプリなら、自分の障害も分かるように伝えてほしい

不正アクセスの発表は会社サイトにあります。でも、普段ニュースを読むために開いているのはアプリです。そこに「メンテナンス中」とだけ出されても、ポイントの不正操作があったことまで分かるわけがない。

今朝、会社の公式Xとアプリの公式Xを開いたときも、タイムラインの先頭に見えたのはそれぞれ10月28日、10月30日の投稿。障害のお知らせを探しに行ったのに、すぐには見つかりませんでした。

アプリを開いたところに、不正アクセス対応中であることと公式発表へのリンクを出せないんですかね。使えない機能、次のお知らせの予定、最終更新時刻もそこにあれば、何度も再読み込みせずに済みます。

ポイントや特典の利用状況に身に覚えのない変化があれば、同社はヘルプセンターへの連絡を案内しています。公式の続報はニュースルームで確認できます。

被害を広げないために止めるのは分かります。だったら「再読み込み」より先に、何が起きているのかを伝えてほしい。ニュースアプリなんだから、自分たちのニュースもちゃんと届けてくれ。

私は、ニュースを扱う会社だからこそ、自社で起きていることも利用者にきちんと伝える努力をしてほしいと思っています。会社サイトに発表を載せて終わりではなく、困っている人が普段使うアプリやSNSで、その情報がちゃんと届くところまでやってほしい。

早く復活してほしい。応援しています

共同創業者で現在社長を務める浜本階生さんは、SmartNews創業の頃から存じ上げています。スタートアップ系のイベントで、スマニューアプリのフォントや改行へのこだわりを熱く語っていただいたこともありました。

知り合いも結構スマニューに転職していて、社食にお伺いしたこともあります。当時、無料だけどフードロスを防ぐために予約制だったんですよね。

私にとっては、普段いちばん使っているニュースアグリゲーションアプリです。だから、使えないと困るし、何が起きているのかも知りたい。ちゃんと伝えてほしいと書いているのも、これからも使いたいサービスだからです。

攻撃者を打ち負かして、早く復活してほしい。浜本さんも、対応している皆さんも、応援しています。

関連：個人情報漏えいが止まらない。ID・パスワードの使い回しをやめて、流出を検知する