フジッコのキャンペーン応募受付業務委託先サーバーへの不正アクセス（延べ約1万5,500件の個人情報漏えいのおそれ）
公表日
フジッコのキャンペーン応募受付業務を委託していた会社のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、応募者の個人情報が最大で延べ約1万5,500件漏えいした可能性があることが発表されました。
対象者は？
「カスピ海ヨーグルトシリーズ『もっと！とろぉ～もっちキャンペーン 第 2 弾』」または「フジッコ大感謝祭キャンペーン」の非会員向けフォームから応募した方。氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報が対象です。なお、フジッコイン会員としての応募、応募はがき、Xでの応募は対象外で、クレジットカード番号や口座番号、運転免許証などの情報は含まれていません。
対象となる2つのキャンペーンの非会員向け応募フォームを利用したかどうかをご確認ください。詳細やお知らせはフジッコ公式ウェブサイトに掲載されています。
何が起きたのか
2026年10月21日、フジッコが実施していたキャンペーンの応募受付業務を担当する委託先のサーバーが第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、応募者の個人情報が漏えいした可能性があることが分かりました。フジッコは同日中に該当サーバーを停止し応募フォームを止め、翌10月22日に事態を公表しました。情報が第三者に取得されたものとみなして、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。や警察への被害届提出の準備を進めています。
なぜ起きたのか・なぜ広がったのか
キャンペーンの応募受付業務を委託していた外部企業のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたためです。具体的な侵入経路やシステムの弱点については公表されていません。
いまの状況2026-10-22 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた委託先サーバーおよび対象の応募フォームは停止されています。公表時点で情報の不正利用やインターネット上への公開は確認されていません。同社は今後、安全性が確認された環境へシステムを集約し、監視やセキュリティ対策を強化するとしています。
企業として考えたいこと
自社が実施するキャンペーンやイベントの受付業務を外部委託する際、委託先が用意したサーバーのセキュリティ管理や個人情報の保管ルールを自社基準と同等に確認・統制できていますか？
技術的な要約
フジッコ株式会社は2026年10月22日、キャンペーン応募受付業務を委託している会社のサーバーが第三者による不正アクセスを受け、応募者の個人情報が漏えいした可能性があると公表した。対象は「カスピ海ヨーグルト」シリーズおよび「フジッコ大感謝祭」の2つのキャンペーンにおける非会員向け応募フォームで、影響件数は延べ約1万5,500件である。漏えいした可能性のある情報には氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報が含まれる一方、決済情報や本人確認書類等は含まれていない。同社は事態を把握した10月21日に委託先サーバーを停止し、対象フォームの受付を一時停止した。公表時点で情報の不正利用や外部公開は確認されておらず、個人情報保護委員会への報告や警察への被害届提出の準備を進めるとともに、安全な環境へのシステム集約を図るとしている。
攻撃の分類
- 侵入口
- 委託先経由公表で確認キャンペーン応募受付業務の委託先が運用するサーバーに対する不正アクセス。具体的な侵入経路や委託先企業名は非公表。
- 脆弱性
- CVE 非公表不明具体的な侵入経路や悪用された脆弱性は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 該当する非会員向けキャンペーン応募フォームの受付を一時停止した。
- データ
- おそれ上限 15,500確定 —件氏名年齢性別職業電話番号メールアドレス住所その他延べ約15,500件（同一顧客による複数回応募を含む）。氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報が含まれる。フジッコイン会員登録応募、はがき応募、X応募は対象外。免許証、クレジットカード、口座番号は含まれない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- キャンペーン応募受付業務の委託先企業が運用するサーバーが不正アクセスを受けた。
時系列
技術解説
委託先サーバーへの不正アクセスと被害の範囲 事実
2026年10月21日、フジッコ株式会社がキャンペーン応募受付業務を委託している企業のサーバーにおいて、第三者による不正アクセスによって応募者の個人情報が漏えいした可能性が判明した。対象は「カスピ海ヨーグルトシリーズ『もっと！とろぉ～もっちキャンペーン 第 2 弾』」および「フジッコ大感謝祭キャンペーン」の非会員向け応募フォームであり、影響を受ける可能性のある件数は延べ約1万5,500件（同一人物の複数応募を含む）と公表されている。漏えいした可能性のある項目は、氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報である。一方で、フジッコイン会員向け応募や応募はがき、Xでの応募は対象外であり、他の管理環境への影響は確認されていない。また、クレジットカード情報、銀行口座番号、運転免許証などの決済・本人確認関連の情報は含まれていない。
委託先管理とキャンペーン専用環境におけるリスク要因 解釈
本件は、マーケティングや販促を目的とした外部委託先環境が侵害の発端となったサプライチェーン侵害の構造を持つ。キャンペーン等のスポット施策では、短期間の運用を前提として委託先独自のサーバーやフォーム構築ツールが用いられるケースが多く、委託元本体のセキュリティ統制や脆弱性管理の基準が十分に適用されないまま運用されるリスクを抱えやすい。フジッコが再発防止策として「安全性が確認された環境へのシステム集約」を挙げている点から、従来は委託先ごとに個別の環境で応募受付が行われており、運用基盤の分散がガバナンス上の課題となっていた背景がうかがえる。具体的な侵入経路や脆弱性は明らかにされていないものの、外部公開サーバーに対する定期的な脆弱性診断やパッチ適用、認証管理の徹底が委託先側で維持されていたかが問われる。
迅速な初動対応と公表における情報開示の範囲 解釈
フジッコは10月21日の事態把握と同時に、対象となる委託先サーバーを速やかに停止し、非会員向け応募フォームの受付を停止した。さらに翌10月22日には公式リリースを公表し、情報が実際に取得されたものとみなして個人情報保護委員会への報告や警察への被害届提出準備を進めるなど、初動の封じ込めと外部報告は迅速に行われている。公表時点では不特定多数への情報公開や不正利用は確認されていない。一方で、侵害を受けた委託先企業の名称や、攻撃者がどのような手法（公開サーバーの脆弱性悪用、管理画面の認証突破など）で侵入したのかといった技術的詳細は公表されていない。同種キャンペーンを実施する他企業が具体的な教訓として対策を講じるためには、今後の追加調査による侵入手口の開示が待たれる。
対応
- 封じ込め
- 不正アクセスを受けた委託先サーバーを速やかに停止し、対象の非会員向け応募受付を一時停止した。
- 公表の仕方
- 2026年10月22日に公式ウェブサイト上で「不正アクセスによる個人情報漏えいの可能性に関するお詫び」を公表した。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先が管理するキャンペーンサーバーに対するセキュリティ要件の統一 | 委託契約時に委託先環境のセキュリティ要件（WAF導入、定期的な脆弱性診断、OS・ミドルウェアのパッチ適用基準）を義務付け、構築完了時および稼働中の証跡提出を運用フローに組み込む。 |
| 分散した応募受付基盤の集約と標準プラットフォームの利用 | 案件ごとに個別の委託先サーバーへフォームを構築することを原則禁止し、社内で統制されたセキュアなクラウド環境または検証済みのSaaSフォーム基盤に受付窓口を集約する。 |
| 外部公開サーバー上での個人情報保持の最小化 | Webサーバー上に収集した応募データを滞留させず、受信後速やかに暗号化して社内または隔離されたセキュアストレージへ転送し、公開サーバー上の元データは日次などのバッチで即時削除する設計を適用する。 |
| 委託先におけるインシデント検知と緊急停止プロセスの事前確立 | 不正アクセス検知時に即座にサービスを停止できるよう、委託元への一次報告基準や遮断手順を記載したインシデント対応連絡網を案件開始前に取り交わしておく。 |
自組織などでの確認項目
- 自社の販促やキャンペーン業務を委託している外部事業者のサーバー環境について、セキュリティ対策状況や脆弱性診断の実施有無を把握できているか。
- 外部公開されているフォームやWebサイトで取得した個人情報が、公開サーバー上に長期間保存されたままになっていないか。
- 業務委託先でインシデントが発生した際に、自社への速やかなエスカレーションとシステムの緊急遮断が行える体制・契約条項が整っているか。
未解明点
- 委託先サーバーへの侵入経路（公開サーバーの脆弱性、認証情報の窃取・突破、設定不備など）は具体的に何であったのか。
- 委託先サーバーに保存されていた個人情報に対して、暗号化などの保護措置が施されていたのか。
出典
- 1セキュリティ対策Lab2026-10-22報道本文確認済
- 2フジッコ株式会社2026-10-22公式本文確認済