ヤクルト本社への不正アクセス（個人情報約4万件漏えい）
公表日
ヤクルト本社の公式サイトなどが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、問い合わせフォーム利用者や給食サイト会員などの個人情報約4万件が外部に漏えいしたことが確認されました。
対象者は？
ホームページのメール問い合わせフォーム利用者、給食サイト「たのしい給食」の会員登録者、報道関係者向け問い合わせフォーム利用者、および対応社員。なお、クレジットカード情報や銀行口座情報は預かっていないため含まれていません。
ヤクルト本社より、対象となる方へ準備が整い次第連絡が行われる方針です。
いますぐできること
- ヤクルトや配送連絡、懸賞当選、返金案内などを装った不審な電話・メール・SMSに注意し、記載されたURLを開かないようにしてください。
- 給食サイト「たのしい給食」と同じパスワードを他のサービスでも使い回している場合は、念のため他サービスのパスワードを変更してください。
何が起きたのか
2026年10月26日にヤクルト本社のホームページで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認され、被害拡大を防ぐためサイトの全機能が停止されました。その後の調査により、10月30日に問い合わせフォームの送信者や給食サイト会員などの個人情報約4万件が外部へ漏えいしたことが判明しました。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたと発表されていますが、具体的な侵入経路や手口はまだ明らかにされていません。
いまの状況2026-10-30 時点続報待ち
公式サイトはメンテナンス表示が続いており、再開時期は示されていません。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と警察への相談を行い、詳細な調査と対象者への連絡準備が進められています。公表時点で二次被害は確認されていません。
企業として考えたいこと
自社のWebサイトや問い合わせフォームに送信された個人情報が、サーバー上に不要なまま長期間保管されていませんか？
技術的な要約
株式会社ヤクルト本社は2026年10月26日、同社ホームページにおいて第三者による不正アクセスを確認した。被害拡大防止のため同日中にホームページの機能を停止し、同日19時に第1報を公表した。その後の調査により、10月30日には問い合わせフォーム利用者や給食サイト「たのしい給食」会員など、外部に提供された顧客等の個人情報約4万件が漏えいしたことを確認したと発表した。漏えい情報には氏名、住所、電話番号、メールアドレス、暗号化されたパスワード、問い合わせ対応社員の氏名などが含まれるが、クレジットカードや口座情報は預かっておらず含まれていない。同社は個人情報保護委員会への報告と警察への相談を行い、調査を継続するとともに対象者への連絡準備を進めている。
攻撃の分類
- 侵入口
- 不明侵入の経路や手口は明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止のため2026年10月26日にホームページの機能を停止し、メンテナンス表示に切り替えた。10月30日時点でもメンテナンスが継続している。期間：2026-10-26から継続中
- データ
- 確定上限 40,000確定 40,000件氏名性別住所電話メールハッシュ化PW従業員情報その他現時点で約4万件の漏えいを確認（最終的な件数は確認中）。内訳は(1)メールお問い合わせフォーム利用者（氏名、性別、年齢層、住所、電話番号、メールアドレス、問い合わせ内容）、(2)「たのしい給食」会員登録者（氏名、業態、勤務先、所属部署/受託会社、勤務先住所・電話番号、メールアドレス、暗号化パスワード、任意アンケート項目）、(3)報道関係者向け問い合わせフォーム利用者（氏名、職業、メディア種類、媒体名、会社名、部署・役職、会社住所・電話番号、メールアドレス、問い合わせ内容）、(4)問い合わせに対応した社員の氏名。クレジットカード情報や銀行口座情報は預かっていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
不正アクセスの検知と初動対応の推移 事実
ヤクルト本社は2026年10月26日に同社ホームページにおいて第三者による不正アクセスを確認した。同社は被害の拡大を防ぐため、同日中にホームページの全機能を停止し、メンテナンス表示への切り替えを実施した。同日19時には第1報を公表し、不正アクセスの発生とメンテナンス移行、顧客情報への影響について調査中であることを明らかにした。その後の詳細調査を経て、10月30日9時に公表された第2報において、ホームページを通じて提供された個人情報約4万件が外部へ漏えいしたことを確認したと発表した。同社は個人情報保護委員会への第一報提出と警察への相談を行い、調査を継続している。
漏えい対象となったデータの範囲と特徴 事実
漏えいが確認された約4万件（最終件数は確認中）の個人情報は、主に4つの区分に分かれている。第1に一般のメール問い合わせフォーム利用者情報（氏名、性別、年齢層、住所、電話番号、メールアドレス、問い合わせ内容）、第2に給食サイト「たのしい給食」会員情報（氏名、業態、勤務先、所属部署/受託会社、勤務先住所・電話番号、メールアドレス、暗号化パスワード、任意アンケート項目）、第3に報道関係者向け問い合わせフォーム利用者情報、第4にこれらに対応した同社社員の氏名である。同社ホームページではクレジットカード情報や銀行口座情報は預かっておらず漏えい対象に含まれていない。また、公表時点で二次被害や不正利用は確認されていない。
Web公開環境における情報蓄積と隔離の重要性 解釈
本事案では侵入経路や攻撃手口は公表されていないものの、コーポレートサイトの問い合わせ受付機能や付随する会員制サイトの保管データが侵害対象となっている。一般に、公開Webサーバーや背後のデータベースに過去の問い合わせ履歴や会員情報が長期保管されている場合、Webアプリケーションの脆弱性や認証不備からデータが一括して窃取されるリスクが生じる。問い合わせフォーム経由のデータは処理完了後に速やかに内部ネットワークへ移送して公開系環境から消去する仕組みや、会員データベースへのアクセス制御を多層防御で保護するアーキテクチャの重要性が示唆される。
対応
- 封じ込め
- 2026年10月26日に被害拡大を防ぐためホームページの全機能を停止し、メンテナンス表示に切り替えた。
- 公表の仕方
- 2026年10月26日19時に第1報を公表し、不正アクセスの発生と調査中である旨を告知。10月30日9時に第2報を公表し、約4万件の個人情報漏えいとお詫びを発表した。対象顧客への個別連絡方針や不審な連絡への注意喚起を行っている。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 問い合わせフォーム経由で受信した個人情報のWeb環境上での長期滞留防止 | Webサーバーや同一ゾーンのデータベースに受信データを永続保持せず、暗号化通信で社内CRMや管理システムへ即時連携した上で、公開系サーバー上の受付データを定期ジョブで自動消去する。 |
| インシデント検知時における公開Webサービスの即時遮断体制の整備 | 不正アクセスや異常通信を検知した際に、管理画面やCDN/ロードバランサー側で即座に静的なメンテナンス画面へ切り替えられる運用手順と権限フローをあらかじめ策定しておく。 |
| 会員認証情報における強固なハッシュ化アルゴリズムの適用 | 万一データベースが窃取された場合に備え、パスワードはArgon2idやbcryptなどのソルト付きストレッチングを用いた強力な暗号学的ハッシュ関数を用いて保存する。 |
| 公開WebアプリケーションおよびCMSの脆弱性管理の徹底 | 公開系サーバーに対してWebアプリケーションファイアウォール（WAF）を導入し、プラットフォームや利用ソフトウェアのセキュリティパッチ適用と定期的な脆弱性診断を自動化・定常化する。 |
自組織などでの確認項目
- 自社の公開Webサイトや問い合わせフォームに送信された個人情報が、Webサーバーや同一DB内に長期間残存していないか。
- 公開Webサーバーで不正侵入が疑われた際、即座にサイトを停止またはメンテナンス表示へ切り替える遮断手順と体制が確立されているか。
- 自社が提供する会員サービスで保管しているパスワードなどの機微データが、現代の安全基準に沿った方式で保護されているか。
未解明点
- 第三者が侵入に至った具体的な経路および悪用された脆弱性や手口は何か。
- 漏えい対象データの最終的な確定件数および不正アクセスが開始された具体的な発生時期はいつか。
出典
- 1四国新聞社2026-10-30T10:16+09:00報道本文確認済
- 2株式会社アクト2026-10-30報道本文確認済
- 3アスキー2026-10-28報道本文確認済
- 4ITmedia NEWS2026-10-30報道本文確認済
- 5共同通信2026-10-30報道本文確認済
- 6ITmedia NEWS2026-10-30報道本文確認済
- 7日本インタビュ新聞社2026-10-30報道本文確認済
- 8日本経済新聞2026-10-27T20:31+09:00報道本文確認済
- 9リスク対策.com2026-10-30報道本文確認済
- 10株式会社ヤクルト本社2026-10-30公式本文確認済