加賀ソルネット「アカデミコナビ」への不正アクセス（16万5,587名分の個人情報漏えいを確認）
公表日
学生や保護者向けにパソコンやソフトを売る通販サイト「アカデミコナビ」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、16万5,587名分の氏名・住所・電話番号・メールアドレスなどが漏れたことが確認されました。第一報では最大約17万件が漏れた可能性があるとされていました。
対象者は？
2021年12月から2026年4月までにアカデミコナビにユーザー登録した保護者または学生16万5,587名です。漏れた情報は氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報です。暗号化されたマイページのパスワードは漏れていないことが確認されました。クレジットカード情報などの支払い情報はサイトが保存していないため、漏れていないとされています。茨城県立高校の新入生向け端末販売や、京都芸術大学・城西国際大学が紹介する購入先としても使われていました。
加賀ソルネットが対象者へメールで個別に知らせています。メールが届かなかった人には書面で郵送する準備が進められています。茨城県立高校で端末を買った家庭には学校を通じて知らせが出ています。
いますぐできること
- アカデミコナビに登録したことがある場合は、加賀ソルネットからの個別通知メールが届いていないか確認する。
- アカデミコナビや学校を名乗る不審なメール・電話・SMSが来ても、リンクを開いたり個人情報を答えたりせず、公式の窓口に確認する。
何が起きたのか
2026年6月22日、加賀ソルネットは自社の通販サイト「アカデミコナビ」に外部の第三者が不正にアクセスしたことに気づき、サイトを止めました。7月1日に、最大約17万件の情報が漏れた可能性があると発表し、茨城県や、購入先として紹介していた京都芸術大学・城西国際大学も利用者に知らせました。8月17日の続報で、調査の結果16万5,587名分の情報が実際に漏れたことが確認されたと発表されました。
なぜ起きたのか・なぜ広がったのか
サイトのシステムにあった弱点（脆弱性）を第三者に悪用され、顧客情報を含むデータが外部に持ち出されました。どの製品のどんな弱点だったか、いつから侵入されていたかは発表されていません。サイトは学校や県の推奨購入先として使われていたため、多くの学生や保護者の情報が登録されていました。
いまの状況2026-08-17 時点続報待ち
2026年8月17日の時点で、サイトは止まったままです。新しいシステムを作り直し、2026年10月末の再開を予定しています（進み具合で変わる可能性があります）。この件が原因のお金の被害やアカウントの乗っ取りは確認されていません。会社は個人情報保護委員会に報告し、外部の専門家による安全チェックや監視の強化などの再発防止策を発表しています。補償については、まだ発表されていません。
企業として考えたいこと
自社が学校や取引先に「おすすめの購入先」として紹介しているサービスで情報漏えいが起きたとき、誰が利用者に知らせ、問い合わせに答えるのかを事前に決めていますか。
技術的な要約
加賀ソルネット株式会社が運営するECサイト「アカデミコナビ」で、2026年6月22日に第三者による不正アクセスが確認され、サイトは一時停止とアクセス制限が行われた。同社は7月1日の第一報で、2021年10月から2026年4月に登録された最大約17万件の情報が流出した可能性があると公表した。8月17日の第二報では、保護者または学生の個人データ16万5,587名分の漏えいを確認したと発表し、漏えい情報は氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報とされた。原因はECサイトのシステム上の脆弱性を悪用した不正アクセスで、製品名やCVE番号は公表されていない。暗号化済みマイページパスワードの漏えいは確認されず、クレジットカード情報は保持していない。サイトは停止中で、新基盤を構築し2026年10月末の再開を予定している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性報道・研究者第二報で「原因は、ECサイトのシステム上の脆弱性を悪用した第三者による不正アクセス」と説明された（報道による引用）。悪用された脆弱性は対策済みとされるが、製品名・CVE番号・詳細は公表されていない。カテゴリは公表文言からの暫定的な対応づけ。
- 脆弱性
- CVE 非公表報道・研究者ECサイトのシステム上の脆弱性。対策済みだが製品名、CVE番号、詳細は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 6月22日にサイトの一時停止とアクセス制限を実施。8月17日時点で停止中で、新たなシステム基盤を構築し2026年10月末の再開を予定（進捗により変更の可能性）。期間：2026-06-22の停止から8月17日時点で継続中。再開予定は2026年10月末
- データ
- 確定上限 170,000確定 165,587人氏名住所電話メール会員ID購入履歴その他第一報の上限は最大約17万件（2021年10月〜2026年4月登録分）。第二報で確認されたのは16万5,587名分（対象は2021年12月〜2026年4月のユーザー登録者）。件と名の単位が異なる。その他は所属校情報。暗号化済みマイページパスワードは漏えいなし、クレジットカード情報などの決済情報は保持していない。別途データベースへの攻撃が確認されたが流出の有無と項目は特定できず、同社は対象が極めて少量で有用な情報は取得されなかったと評価。8月17日時点で本件に起因する金銭被害やアカウント侵害は確認されていない。
- 波及先
- 3 組織
- 茨城県（県立高校の新入生向け学習者用端末の販売。令和5・6年度の販売実績は計3,536台）
- 京都芸術大学（パソコン・ソフトウェアの斡旋販売で利用）
- 城西国際大学（大学推奨PC・Adobe Creative Cloudの購入先として紹介）
- 金銭影響
- —
- サプライチェーン
- 同社のECサイトは茨城県との協定に基づく県立高校の学習者用端末販売や、京都芸術大学・城西国際大学の購入先として利用されており、これらの機関が利用者向けに事案を発表した。県は個別の購入者情報を把握しておらず、事業者から購入者の個人情報の報告もない。
時系列
- 2026-06-22
- 2026-07-01同社が茨城県へ、不正アクセスの確認と個人情報漏えいの可能性（クレジットカード情報は収集なし）を報告。1
- 2026-07-01
- 2026-07-01京都芸術大学が、斡旋販売で利用する同サイトへの不正アクセスを発表。3
- 2026-07-02同社が茨城県へ、被害の範囲や対応は調査中と報告。県教育委員会が端末購入者の在籍する県立高校へ周知し、生徒への周知を依頼。1
- 2026-07-02城西国際大学が、大学推奨PC等の購入先として紹介するECサイトでの個人情報漏えいを発表。5
- 2026-07-03茨城県教育庁が資料提供を実施。個人情報の不正利用による被害は確認されていないとした。1
- 2026-08-17
- 2026-08-17対象者へメールで個別通知済み。届かない利用者へは書面郵送を準備。個人情報保護委員会へ報告済みとされた。2
- 2026-10新基盤での再開を予定（2026年10月末。進捗により変更の可能性）。2
技術解説
攻撃と検知・初動の経過 事実
加賀ソルネット株式会社は、同社が運営するECサイト「アカデミコナビ」で2026年6月22日に第三者による不正アクセスを確認し、サイトの一時停止とアクセス制限を行った。7月1日には第一報を公表するとともに、茨城県へ「不正アクセスが確認され、利用者の個人情報が漏えいした可能性がある（クレジットカード情報は収集なし）」と報告した。7月2日には、被害の範囲や対応は調査中である旨を県に報告している。8月17日の第二報では、原因はECサイトのシステム上の脆弱性を悪用した第三者による不正アクセスで、顧客情報を含むデータが不正に取得され外部へ送出されたと説明された。悪用された脆弱性は対策済みとされるが、製品名、CVE番号、脆弱性の詳細は公表されていない。侵入が始まった日も公表されておらず、ランサムウェアや特定の攻撃グループとの関係を示す公式情報も確認できない。
被害範囲の推移：最大約17万件から16万5,587名分の確認へ 事実
第一報では、2021年10月から2026年4月までに登録された最大約17万件の情報が流出した可能性があるとされ、氏名、住所、連絡先、メールアドレス、暗号化されたマイページパスワード等が含まれる可能性が示されていた。第二報では、2021年12月から2026年4月までにユーザー登録した保護者または学生の個人データ16万5,587名分について漏えいを確認したと発表された。漏えいが確認された情報は氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報である。一方、暗号化済みマイページパスワードは調査の結果漏えいしていないことが確認され、クレジットカード情報などの決済情報はサイトが保持していないため流出の可能性はないとされた。これとは別にデータベースへの攻撃も確認されたが、ログを精査しても流出の有無と項目は特定できず、同社は対象が極めて少量で有用な情報は取得されなかったと評価している。8月17日時点で、本件に起因する金銭被害やアカウント侵害は確認されていない。
教育機関の「紹介先」としての波及構造 解釈
本件の被害者の多くは、学校や自治体が推奨・紹介した購入先を通じて端末やソフトウェアを買った保護者・学生とみられる。茨城県は協定に基づき県立高校新入生向けの端末販売を同社を含む事業者に委ねていたが、事業者から県への報告は購入台数のみで、県は購入者個人を特定できず、学校経由の周知に頼った。京都芸術大学や城西国際大学も購入先として紹介していた立場から、利用者向けに発表している。こうした構造では、データを持たない紹介元が利用者にとっての主な問い合わせ先になりやすい一方、個別通知は運営事業者しか行えない。データの最小化という点では県の設計は適切に機能したと考えられるが、事案発生時の連絡経路や役割分担を協定段階で決めておく余地があったかは、各機関が検討する価値がある論点といえる。
数値と公表内容の読み方 解釈
第一報の「最大約17万件」と第二報の「16万5,587名」は、単位（件と名）と対象期間（2021年10月始点と12月始点）が異なり、単純な差分で「どれだけ減ったか」を論じるのは適切でない。上限値を先に示し、調査後に確定値と漏えいしなかった項目（暗号化済みパスワード）を切り分けた流れは、初動での過小申告を避けつつ精度を上げていく公表として一定の評価ができると考えられる。ただし、悪用された脆弱性の種類や侵入期間が不明なため、外部からは同種システムを使う事業者が自社リスクを判断しにくい。また、別途確認されたデータベースへの攻撃について流出の有無を特定できなかった点は、ログの保存範囲や粒度に課題があった可能性を示唆するが、詳細は公表されていない。今回出典に同社の公式発表そのものが含まれず、内容は報道経由である点にも留意が必要である。
対応
- 封じ込め
- 不正アクセス確認後にサイトの一時停止とアクセス制限を実施。悪用された脆弱性は対策済み。再発防止策として、システム基盤の新規構築、管理機能のアクセス制御強化、ログ監視・異常検知の強化、再開前の第三者脆弱性診断、ASMによる継続的な脆弱性確認を公表。
- 公表の仕方
- 7月1日に第一報、8月17日に第二報を公表。対象者へメールで個別通知済みで、届かない利用者には書面郵送を準備。茨城県教育委員会は7月2日に県立高校へ周知し、7月3日に資料提供を行った。
- 当局対応
- 個人情報保護委員会（加賀ソルネットが報告済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ECサイトのシステム上の脆弱性が悪用され、約16万名分の顧客データが外部へ送出された。公開アプリケーションは継続的な脆弱性管理が前提となる。 | 公開ECサイトのフレームワーク・プラグイン・ミドルウェアをSBOMで棚卸しし、CVE公開時に自動照合する仕組みを導入する。加えて年1回以上と大規模改修時に第三者による脆弱性診断を実施し、ASMで外部公開面を継続監視する。 |
| データベースへの攻撃について、ログを精査しても流出の有無と項目を特定できなかった。 | DBの監査ログ（実行クエリ、対象テーブル、返却行数、接続元）とWAF・アプリログを少なくとも1年以上改ざん耐性のある外部ストレージに保管し、大量行の取得や通常と異なる接続元からのアクセスをSIEMで検知するルールを設定する。 |
| 再発防止策に管理機能のアクセス制御強化が挙げられており、管理機能の保護が論点の一つとなっている。 | EC管理画面をインターネットから直接到達できないようにし、接続元IP制限またはVPN・ゼロトラストプロキシ経由に限定、管理者アカウントには多要素認証を必須化する。 |
| 漏えいデータは2021年12月以降の登録者全体に及び、購入完了後の会員情報も長期間保持されていた。 | 会員・購入データに保存期間を定め、最終利用から一定期間経過したアカウントの削除または匿名化をバッチで自動実行する。所属校など業務上必須でない項目は収集範囲を見直す。 |
| クレジットカード情報を保持しない設計と、パスワードの暗号化により、決済情報や認証情報の被害は避けられた。 | 決済は外部の決済代行サービスのトークン方式に寄せ、自社DBにカード情報を一切保存しない。パスワードはbcrypt/Argon2等のソルト付きハッシュで保存し、ハッシュ方式を定期的に見直す。 |
| 自治体・大学は購入者個人情報を持たず、学校経由の周知しかできなかった。 | 事業者と協定・紹介関係を結ぶ際、事故発生時の報告期限、連絡窓口、利用者への周知文案の共有手順を契約・協定書に明記し、年1回連絡訓練を行う。 |
自組織などでの確認項目
- 自社の公開Webアプリ（ECサイト等）で使っている製品・ライブラリとそのバージョンを一覧化できており、脆弱性情報が出たときに何日以内に該当判定と対処ができるか。
- データベースへの不正なアクセスがあった場合、どのテーブルから何件取得されたかをログで特定できるか。ログの保存期間と保存先は攻撃者に改ざんされにくい構成になっているか。
- 自社が紹介・推奨している外部サービス（委託先や提携ECなど）で事故が起きたとき、利用者への周知手順と連絡窓口は事前に取り決められているか。
- 退会者や長期未利用の会員データを、保存期間を決めて削除・匿名化する運用ができているか。
未解明点
- 悪用された脆弱性の製品名・種類（自社開発部分か既製品か）とCVE番号
- 侵入が始まった日と、不正アクセスが継続していた期間
- 別途確認されたデータベースへの攻撃の詳細と、流出の有無を特定できなかった理由
- 第一報（2021年10月始点・最大約17万件）と第二報（2021年12月始点・16万5,587名）で対象期間と件数が異なる理由
- 10月末予定のサービス再開が予定どおり行われたか、第三者脆弱性診断の結果
出典
- 1茨城県教育庁2026-07-03当局本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-18報道本文確認済
- 3ScanNetSecurity2026-07-13報道本文確認済
- 4ScanNetSecurity2026-07-13報道本文確認済
- 5ScanNetSecurity2026-07-13報道本文確認済
- 6ScanNetSecurity2026-08-24報道本文確認済