「料理王国ウェブマガジン」への不正アクセスによる会員個人情報漏えい（約8,000件）
公表日
「料理王国ウェブマガジン」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、有料・無料会員およびお問い合わせ登録者の個人情報が延べ約8,000件漏えいしました。
対象者は？
「料理王国ウェブマガジン」の有料・無料会員およびお問い合わせフォームに登録された方（延べ約8,000件）。漏えい項目は氏名、会社名、ID、メールアドレス、住所、電話番号、ハッシュ化されたパスワードです。クレジットカード情報は含まれていません。
「料理王国」公式サイトに掲載されたお詫びとお知らせをご確認ください。
いますぐできること
- 料理王国ウェブマガジンと同じパスワードを他のウェブサービスでも使い回している場合は、速やかにパスワードを変更してください。
- 流出した連絡先を悪用した不審なメールや電話、SMSに十分注意し、心当たりのない連絡には応じないでください。
何が起きたのか
2026年10月19日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の疑いが生じて外部機関による調査が開始されました。10月22日にはサーバー内のデータが外部から取得できる状態にあったことが判明し、同日中にその状態の解消と経路の遮断が実施されました。その後の調査により、10月27日に会員情報など延べ約8,000件の漏えいが確認され、10月29日に公表されました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。によりサーバー内のデータが外部から取得できる状態になっていたためですが、侵入に用いられた具体的な手法や原因となった脆弱性の詳細は公表されていません。
いまの状況2026-10-29 時点
外部から取得可能な状態の解消と侵入経路の遮断措置、および原因の特定と対策は完了しています。また、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。も済んでおり、公表時点で個人情報の不正利用や二次被害は確認されていません。
企業として考えたいこと
自社のWebサイトやお問合せフォームで受け付けた個人情報が、外部から取得できるサーバー領域に意図せず残ったままになっていませんか？
技術的な要約
「料理王国ウェブマガジン」において、サーバー内のデータが外部から取得可能な状態となる不正アクセスが発生した。2026年10月19日に不正アクセスの疑いが生じて外部機関へ調査を依頼し、10月22日にデータ取得可能な状態の解消と利用経路を塞ぐ遮断措置を実施した。その後の調査により、10月27日に有料・無料会員およびお問い合わせフォーム登録者の延べ約8,000件の個人情報漏えいが判明した。漏えいした情報には氏名、会社名、ID、メールアドレス、住所、電話番号、ハッシュ化されたパスワードが含まれる。2026年10月29日の公表時点で原因特定と必要な対策、および個人情報保護委員会への報告は完了している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスに利用された経路を塞ぐ対応を実施した旨が公表されているが、具体的な侵入経路や手法は非公表。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 8,000確定 8,000件氏名取引先情報会員IDメール住所電話ハッシュ化PW延べ約8,000件。対象は「料理王国ウェブマガジン」有料・無料会員およびお問い合わせフォーム登録者。漏えい項目は氏名、会社名、ID、メールアドレス、住所、電話番号、暗号化（ハッシュ化）されたパスワード。クレジットカード情報は保持しておらず流出していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-19料理王国ウェブマガジンへの不正アクセスの疑いが生じ、外部機関に調査を依頼1
- 2026-10-22不正アクセスによりサーバー内データを外部から取得可能な状態にあったことが判明1
- 2026-10-22外部から取得可能な状態を解消し、不正アクセスに利用された経路を塞ぐ対応を実施1
- 2026-10-27調査の結果、会員情報の一部である延べ約8,000件の個人情報漏えいが判明1
- 2026-10-29「料理王国ウェブマガジン」個人情報漏えいに関するお詫びとお知らせを公表1
- 2026-10-29原因特定と必要な対策が完了したこと、および個人情報保護委員会への報告完了を公表1
- 2026-10-29公表時点で個人情報の不正利用や二次被害は確認されていない旨を発表1
技術解説
検知から初動対応・漏えい判明までの経緯 事実
2026年10月19日に「料理王国ウェブマガジン」への不正アクセスの疑いが生じ、外部機関へ調査が依頼された。その3日後の10月22日、不正アクセスによってサーバー内のデータが外部から取得可能な状態にあったことが判明し、同日中にデータ取得可能状態の解消および利用された経路を塞ぐ遮断対応が実施された。さらに調査が進められた結果、10月27日に有料・無料会員および問い合わせフォーム登録者の個人情報延べ約8,000件の漏えいが確認された。漏えい項目には氏名、会社名、ID、メールアドレス、住所、電話番号、ハッシュ化されたパスワードが含まれていた。クレジットカード情報は非保持のため流出しておらず、10月29日の公表時点で原因特定と対策、個人情報保護委員会への報告が完了している。
漏えいデータの性質とアカウント保護の観点 解釈
本事案で流出した情報には、連絡先情報に加えてハッシュ化されたパスワードが含まれている。ハッシュ化が行われていたことで平文がそのまま漏えいする事態は避けられているものの、ハッシュアルゴリズムの種類やソルト・ストレッチングの強度によっては、オフラインでの総当たり攻撃やレインボーテーブル攻撃によってパスワードが復元されるリスクが残る。また、氏名・メールアドレス・IDの組み合わせはリスト型攻撃や標的型フィッシングメールの材料として悪用される危険性がある。クレジットカード情報が保持されておらず直接的な金銭的被害のリスクは抑えられているが、会員が他サービスと同一のパスワードを使い回していた場合、二次被害が他社アカウントに波及する懸念が考えられる。
侵入経路・原因の非公表と再発防止の透明性 解釈
組織の公表文書では「サーバー内のデータを外部から取得できる状態にあった」「利用された経路を塞ぐ対応を実施した」「原因特定と必要な対策は完了」と記載されているが、Webアプリケーションの脆弱性、サーバーやクラウドの設定不備、管理用アカウントの認証情報侵害など、どのレイヤーにどのような欠陥があったのかという技術的詳細は明らかにされていない。迅速な経路遮断と当局報告が行われた点は初動として評価できる一方、具体的な原因や改修内容が共有されない場合、同様の構成やCMSを利用する他組織が教訓を得ることが困難になる。再発防止の実効性を外部から検証するためにも、可能な範囲での情報公開が望まれる。
対応
- 封じ込め
- 2026年10月22日にサーバー内のデータを外部から取得できる状態を解消するとともに、不正アクセスに利用された経路を塞ぐ遮断対応を実施した。
- 公表の仕方
- 2026年10月29日に「料理王国」公式サイト上にて個人情報漏えいに関するお詫びとお知らせを公表した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サーバー上のデータが意図せず外部公開・取得可能になる設定不備や不適切な公開ディレクトリの配置を防止する。 | Webサーバーおよびストレージのアクセス制御リスト（ACL）やパーミッションを厳格化し、設定変更時のCI/CDパイプラインによる静的検査や外部アタックサーフェス管理（ASM）ツールによる定期スキャンを導入する。 |
| 漏えい時のパスワード復元リスクを最小化するため、強度の高いハッシュ化方式を採用する。 | Argon2idやbcrypt、PBKDF2などの計算コストが高いソルト付きストレッチングアルゴリズムを採用し、十分なストレッチング回数と推測されにくい複雑性ルールを適用する。 |
| 問い合わせフォーム等で取得した一時的な個人データをWeb公開サーバー上に滞留させない。 | フォーム受信データはWebサーバー内に永続保存せず、暗号化通信を介して内部の専用CRMや隔離されたデータベースへ即時転送し、公開サーバー上のログや一時ファイルは自動消去する。 |
| 不正アクセスの兆候を早期に捉え、迅速に経路遮断と影響範囲特定を行える監視体制を整える。 | WAFおよびWebアクセスログの監視を強化し、非通常のデータ転送量や未認可のエンドポイントへの集中リクエストを検知するアラートを設定するとともに、外部のセキュリティ専門機関との即時調査契約を締結しておく。 |
自組織などでの確認項目
- 自社のWebサーバーや公開ストレージ上に、認証なしで外部から直接アクセス可能な設定ファイルやデータベースのバックアップが残存していないか確認できているか。
- 保存している会員パスワードのハッシュ化アルゴリズムは、最新の安全基準（Argon2idやbcryptなど）を満たしているか。
- お問い合わせフォームやアンケートで収集した個人情報が、長期間Web公開サーバー内のデータベースやファイルシステムに平文で保存されたままになっていないか。
未解明点
- サーバー内データが外部から取得可能な状態になった具体的な技術的原因（Webアプリの脆弱性、CMSの不備、ディレクトリリスティング等の設定ミスなど）および侵入経路は何であったか。
出典
- 1「料理王国」編集部2026-10-29公式本文確認済
- 2INTERNET Watch2026-10-05報道本文確認済
- 3セキュリティ対策Lab2026-10-05報道本文確認済
- 4ScanNetSecurity2026-10-26報道本文確認済
- 5セキュリティ事故カルテ2026-10-30研究者本文確認済
- 6株式会社ウェステリア2026-10-21研究者本文確認済
- 7株式会社物語コーポレーション2026-10-05公式本文確認済
- 8ビジネス+IT2026-10-06報道本文確認済
- 9株式会社ブロードバンドセキュリティ2026-10-09研究者本文確認済