【徹底解説】快活CLUB 729万件流出事件の真実：17歳がAIを「共犯者」にした日

インターネット HP

2025.12.20

「システムの弱点を見つけるのが楽しかった」——。大阪に住む17歳の高校生が、ChatGPTを巧みに操り、日本最大手のネットカフェチェーンから膨大なデータを引き出しました。

2025年1月、快活CLUBおよびFiT24を運営する「快活フロンティア」で発生した、約729万件もの個人情報流出。この事件は、単なる企業のセキュリティミスではありません。**「AIによって誰でも強力な武器を持てるようになった時代」**の象徴的な事件なのです。

729万件

日本の人口の約17人に1人

17歳高校生

大阪市在住、過去に逮捕歴あり

生成AI

ChatGPTを「脱獄」させて悪用

目次 ※タップで表示します

1. 事件のタイムライン：3日間の「サイバー嵐」

事件は週末の忙しい時間帯を狙って始まりました。

1/18

攻撃開始（夕方）

公式アプリのAPIに対し、不正なリクエストが次々と送信され始める。IDを1つずつ変えながら情報を抜き出す「地道な攻撃」をAIで自動化。

1/20

異常検知・サーバー隔離

計724万回以上のリクエストによりシステムがダウン。当初は「DDoS攻撃（嫌がらせ）」と判断され、ネットワークを遮断。

3/17

最終報告

外部調査が完了。正式な流出件数が7,290,087件と確定。

少年が突いたのは、Web業界では「あるある」の、しかし非常に危険な弱点でした。専門用語で**「IDOR（アイドア）」**と言います。

通常、ホテルのカードキーはその人の部屋（例：101号室）しか開きません。

正しいシステム

フロントで「101号室の鍵をください」と言っても、本人確認をされる。

IDORがあるシステム

カードキーに「101」と書いてあるのを「102」に書き換えるだけで、隣の部屋も開いてしまう状態。

今回の事件では、この「102、103、104…」と書き換える作業をAIが高速で行いました。

驚くべきは、少年がChatGPTをあたかも**「ベテランハッカーの先輩」**のように使っていたことです。

AIには「悪用禁止」の制限がありますが、少年は「これは学習用です」「セキュリティ研究です」といった**プロンプトエンジニアリング（言い回しの工夫）**で、AIのガードを突破（ジェイルブレイク）していました。

今回流出した主な項目と、その危険性をまとめました。