ナカバヤシ製品紹介サイト「REVEX」への不正アクセス・改ざん（問い合わせ情報3,631件が漏えいのおそれ）
公表日
ナカバヤシの製品紹介サイト「REVEX」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と改ざんを受け、問い合わせフォームで受け付けた最大3,631件の個人情報が漏えいした可能性があります（外部への持ち出しは確認されていません）。
対象者は？
2021年7月27日から2026年7月1日までに「REVEX」の問い合わせフォームから問い合わせをした人で、最大3,631件が対象です（流出が確認された件数ではありません）。内訳は、氏名・メールアドレスが3,568件、氏名・電話番号・メールアドレスが25件、氏名・住所・電話番号・メールアドレスが38件です。クレジットカード番号、口座情報、パスワードは対象項目に含まれません。
対象となる人には、同社から個別に連絡しているとされています。連絡が届いていない場合の確認方法は、このページでは確認できていません。同社の公式お知らせをご覧ください。
いますぐできること
- REVEXへ問い合わせをした覚えがある方は、同社からの個別連絡や公式のお知らせを確認する。
- 名前やメールアドレスを使った不審なメールや電話には、心当たりがなければ返信せず、リンクも開かない。
- 同じメールアドレスを使うサービスで、不審な通知がないか気を付ける。
何が起きたのか
2026年6月30日、顧客からの問い合わせで、REVEXに同社が意図しない不審な画面が表示されていることが分かりました。同社は7月1日にサイトへのアクセスを止め、調査を始めました。調査で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の痕跡が見つかり、7月2日に第一報を出しました。この時点では、サイトでは個人情報を保有・管理していないと案内していました。その後、7月23日にサイト内に問い合わせ情報が保管されていたことが分かり、7月24日の第二報で、最大3,631件の個人情報が漏えいした可能性を完全には否定できないと発表しました。実際に外部へ持ち出された事実や、不正利用の被害は確認されていないとのことです。
なぜ起きたのか・なぜ広がったのか
第二報の時点では、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に使われた弱点、侵入の経路、攻撃者、侵害された期間は発表されていません。第一報と第二報で案内が変わったのは、7月23日にサイト内の問い合わせ情報の保管が分かったためと説明されています。
いまの状況2026-10-09 時点
2026年8月28日に【最終報】が公表されましたが、このページでは内容を確認できていません。9月17日には「REVEX」のサイトリニューアルのお知らせも出ています（見出しのみ確認）。第二報の時点で、同社は外部の専門会社による調査、安全確認、対策の強化、再発防止策の検討を進めるとしていました。補償や、警察・個人情報保護委員会への対応については、第二報では書かれていません。
企業として考えたいこと
自社の製品紹介サイトやキャンペーンサイトに、問い合わせフォームなどで集めた個人情報が、いつからどれだけ残っているかを、すぐに答えられるでしょうか。
技術的な要約
ナカバヤシ株式会社は2026年6月30日、顧客からの問い合わせを受け、運営する製品紹介サイト「REVEX」で同社が意図しない不審な画面が表示される事象を認識した。同社は7月1日にサイトへのアクセスを停止し、7月2日の第一報で不正アクセスの痕跡を確認したと公表した（当時は個人情報を保有・管理していない旨を案内）。7月23日にサイト内へ問い合わせ情報が保管されていたことが判明し、7月24日の第二報で、2021年7月27日〜2026年7月1日に問い合わせフォームで受け付けた計3,631件（氏名・メールアドレス等）について漏えいの可能性を完全には否定できないと公表した。外部へ持ち出された事実や不正利用の被害は確認されていないとしている。侵入経路・脆弱性・攻撃者は第二報では公表されておらず、同社は外部専門会社によるフォレンジック調査を予定していた。8月28日に最終報が公表されているが、その内容は今回の入力情報からは確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第二報では不正アクセスに使われた脆弱性・侵入経路は公表されていない。同社は外部専門会社のフォレンジック調査で原因・侵入経路・影響範囲を確認する予定とした。
- 脆弱性
- CVE 非公表不明不正アクセスに使われた脆弱性は第二報時点で公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年7月1日に「REVEX」へのアクセスを停止し、原因調査と復旧対応を実施。期間：2026-07-01にアクセス停止。再開時期は入力情報から読み取れない。
- データ
- おそれ上限 3,631確定 —件氏名メール電話住所2021年7月27日〜2026年7月1日に問い合わせフォームで受け付けた問い合わせが対象。内訳は氏名・住所・電話番号・メールアドレス38件、氏名・電話番号・メールアドレス25件、氏名・メールアドレス3,568件、合計3,631件。外部への持ち出しや不正利用の被害は確認されていない。クレジットカード番号、口座情報、パスワードは対象項目に含まれない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2021-07-27漏えいのおそれがある問い合わせ情報の受付期間の開始日（問い合わせフォームで受け付けた情報）。5
- 2026-06-30
- 2026-07-01
- 2026-07-02第一報を公表。不正アクセスの痕跡を確認、個人情報の漏えいは確認されず、サイトでは個人情報を保有・管理していない旨を案内。4
- 2026-07-23サイト内に、問い合わせをした顧客の個人情報が保管されていたことが判明。5
- 2026-07-24
- 2026-07-27セキュリティ対策Labが第二報を報道。個人情報保護委員会への報告や警察への相談状況は明記されていないと指摘。1
- 2026-08-10ScanNetSecurityが第二報を報道。2
- 2026-08-28【最終報】を公表（同社ニュース一覧の見出しのみ確認。内容は未確認）。3
- 2026-09-17「REVEX」サイトリニューアルのお知らせを公表（同社ニュース一覧の見出しのみ確認）。3
技術解説
発覚から第二報までの経緯 事実
ナカバヤシは2026年6月30日、顧客からの問い合わせを受けて、製品紹介サイト「REVEX」で同社が意図しない不審な画面が表示される事象を認識し、調査を開始した。7月1日にサイトへのアクセスを停止し、原因調査と復旧対応を始めた。調査で不正アクセスの痕跡を確認し、7月2日に第一報を公表した。第一報では個人情報の漏えいを確認した事実はなく、当該サイトでは顧客の個人情報を保有・管理していない旨を案内していた。7月23日にサイト内に問い合わせ情報が保管されていたことが判明し、7月24日に第二報を公表した。8月28日には【最終報】が公表されているが、本文は確認できていない。
漏えいのおそれがある情報の範囲 事実
第二報によると、漏えいの可能性がある情報は、2021年7月27日から2026年7月1日までに問い合わせフォームで受け付けた問い合わせに含まれる個人情報で、合計3,631件である。内訳は、氏名・住所・電話番号・メールアドレスが38件、氏名・電話番号・メールアドレスが25件、氏名・メールアドレスが3,568件。現時点で外部へ持ち出された事実や不正利用による被害は確認されていないが、不正アクセスを受けたサイト内に保管されていたため、漏えいの可能性を完全には否定できないとしている。報道によれば、クレジットカード番号、口座情報、パスワードなどは対象項目に含まれない。3,631件は「おそれ」の上限であり、流出が確認された件数ではない。
公表されていない事項と同社の対応 事実
第二報では、不正アクセスに使われた脆弱性、侵入経路、攻撃者の属性、侵害された期間などは公表されていない。同社は原因、侵入経路及び影響範囲を詳細に確認するため、外部の専門調査会社によるフォレンジック調査を予定し、サイトと関連システムの安全確認、セキュリティ対策の強化、再発防止策の検討を進めるとした。対象となる顧客には個別に連絡している。個人情報保護委員会への報告や警察への相談状況は、第二報では明記されていない。本件は2025年のasueブランドサイト等の不正アクセスとは別の事案とされる。同社ニュース一覧には9月17日の「REVEX」サイトリニューアルのお知らせも掲載されているが、見出しのみの確認である。
第一報と第二報の食い違いが生じた構造（解釈） 解釈
第一報と第二報の違いは、保管データの把握が調査の進行に伴って後から進んだことによる可能性がある。第一報は「当時確認できていた情報に基づき」個人情報を保有・管理していない旨を案内しており、7月23日の判明を受けて見直された。以下は推測だが、改ざんの確認と復旧を急ぐ段階では、公開サイトの背後に蓄積されるデータの棚卸しが後回しになりやすい。問い合わせフォームは製品紹介サイトの付随機能であり、運営側が「情報を持たないサイト」と認識していても、実際には約5年分の問い合わせが保管され得る。侵入経路が未公表のため、改ざんと情報閲覧の関係は断定できない。
公表対応の評価（解釈） 解釈
第一報から約3週間で案内の見直しを行い、その理由を7月23日の判明として説明した点は、情報の更新を明示した対応と受け止められる。対象者への個別連絡と、件数を項目別に示した点も、受け手が自分への影響を判断しやすい。一方、第二報時点では侵入経路・侵害期間が不明で、当局への報告状況も明記されていなかった。最終報の内容は本稿では確認できていないため、これらが後に明らかにされたかは評価できない。件数は上限値であり、確定数ではないことにも留意が必要である。組織の対応の優劣を断じる材料は、公開情報だけでは十分でない。
対応
- 封じ込め
- 2026年7月1日にREVEXへのアクセスを停止し、原因調査と復旧対応を開始。第二報時点で、外部専門調査会社によるフォレンジック調査を予定し、サイトおよび関連システムの安全確認、セキュリティ対策の強化、再発防止策の検討を進めるとした。
- 公表の仕方
- 7月2日に第一報（個人情報は保有・管理していないと案内）、7月24日に第二報（問い合わせ情報3,631件の漏えいの可能性）、8月28日に最終報を公表。第二報時点で、対象となる顧客には個別に連絡している。第一報の案内が変わった理由は、7月23日に問い合わせ情報の保管が判明したためと説明。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 「個人情報を保有していない」と案内する前に、サイト背後のデータ保管先を確認する必要がある。 | 公開サイトごとにデータストア台帳（フォーム送信先DB、ログ、メール転送先、バックアップ）と保持期間を整備し、インシデント第一報の公表前チェックリストに「台帳との突合」を加える。 |
| 問い合わせフォームの内容を長期間サイト側に蓄積すると、侵害時の影響範囲が拡大する。 | 受信後はCRM等の管理系へ転送し、公開サイト側のDBは保持期間（例: 90日）で自動削除する。残す場合は列単位で暗号化し、DBアカウントの権限を最小化する。 |
| 本件は顧客からの問い合わせで改ざんが発覚しており、自組織での早期検知の仕組みが課題になり得る。 | ページ内容のハッシュ整合性監視、外形監視での外部スクリプト・リダイレクト検知、CSPのreport-uri/report-toによる不審な読み込みの通知を導入し、アラートを運用担当へ送る。 |
| 改ざん発覚後のサイト停止は有効だが、原因調査のための証跡保全と両立させる必要がある。 | 停止前後にディスク・メモリのスナップショットとWeb/アプリ/DBログを取得して読み取り専用で保管し、停止手順書に保全手順と担当を明記する。 |
| 第一報で確認範囲が限られる場合は、後日の更新があり得ることを前提に書く必要がある。 | 第一報のテンプレートに「確認済み事項」「調査中事項」「更新予定」を分けて記載する欄を設け、更新時には変更点と理由を明示する運用にする。 |
自組織などでの確認項目
- 自組織の製品紹介サイトやキャンペーンサイトに、問い合わせフォームなどで個人情報を受け付ける機能はあるか。送信内容はどこに何年分保管されているか。
- 公開サイトの内容が意図せず書き換えられた場合、顧客からの連絡より先に自組織で気づく仕組み（整合性監視・外形監視など）はあるか。
- インシデント第一報を出す際、「個人情報を保有していない」といった断定的な表現をする前に、誰がどの資料でデータ保管先を確認する手順になっているか。
- サイトを停止する際、ログやディスクの証跡を保全する手順と担当者は決まっているか。外部のフォレンジック会社へ依頼する連絡先は把握できているか。
未解明点
- 不正アクセスの侵入経路、悪用された脆弱性、侵害された期間は、最終報で明らかにされたのか。第二報時点では公表されていない。
- 最終報（2026年8月28日）で、漏えいの有無や件数、フォレンジック調査の結果はどう示されたのか。本稿では本文を確認できていない。
- 個人情報保護委員会への報告や警察への相談はいつ行われたのか。第二報では明記されていない。
- サイトの再開時期と、改ざんされた画面の具体的な内容（誘導先や仕組み）はどうなっているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-27報道本文確認済
- 2ScanNetSecurity2026-08-10報道本文確認済
- 3ナカバヤシ株式会社2026-10-09公式本文確認済
- 4ナカバヤシ株式会社2026-07-02公式本文確認済
- 5ナカバヤシ株式会社2026-07-24公式本文確認済