山田ボデー工業所への不正アクセス（メールサーバーと旧ECサイトDBに情報漏えいのおそれ、管理ツールの脆弱性悪用）
公表日
有限会社山田ボデー工業所のメールシステム用サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客・取引先などの情報が漏れたおそれがあります。対象件数は公表されていません。
対象者は？
次の2つが対象です。(1) 旧ECサイトを2006年頃から2016年6月頃までに利用・登録した顧客の、会社名、住所、連絡先、氏名、注文・取引の情報。(2) 2026年4月1日から5月19日までに同社とメールをやり取りした顧客・取引先などの、氏名、会社名、住所、電話番号、メールアドレス、会員登録・注文申込・審査・取引・配送・問い合わせに関する情報など。この期間にECサイトで新規会員登録をした方のメールには、登録時に設定したパスワードが含まれていました。クレジットカード情報が保存されたデータや、過去に保存されていた痕跡は確認されていません。対象件数は公表されていません。
個別連絡の対象は、自社ECサイトまたはYahoo!ショッピング・Yahoo!オークションで注文し2026年5月22日までに取引が完了した顧客と、法人向け後払い決済サービス「Paid」を利用し2026年5月19日までに取引が完了した顧客です。旧ECサイトの利用者には、対象者を網羅的に特定できないため個別の通知は行われておらず、9月1日の公表が案内に代えられています。上の期間に当てはまるかを、ご自身で確認してください。
いますぐできること
- 上の対象期間に当てはまる場合は、念のためパスワードを変更する。他のサービスで同じパスワードを使っているときは、そちらも変更する。
- 山田ボデー工業所からのメールで、心当たりがない内容や業務に無関係な内容のものは、添付ファイルを開かず、本文中のURLもクリックせずに、すぐ削除する。
何が起きたのか
2026年5月19日、山田ボデー工業所のメールシステムを構築するサーバーに、外部の第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったことが確認されました。メールの送受信に障害が出たため調べたところ、判明したとされています。同社はネットワークを遮断するなどの対応を取り、メールシステムを別の環境へ移しました。5月27日に第一報を公表し、9月1日に調査を終えた最終報を公表しました。最終報では、このサーバーに過去に運用していたECサイトのデータベースが残っていたことも新たに分かりました。そのデータベースについて、第三者が実際に閲覧したことを示す操作が確認されています。一方で、情報が盗まれたことを示すはっきりした痕跡は確認されていません。
なぜ起きたのか・なぜ広がったのか
最終報では、サーバーで使っていた管理ツールの弱点（脆弱性）を悪用した不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が原因と判断されました。ただし、管理ツールの製品名、弱点の内容、CVE番号、修正版などは公表されていません。第一報では、このサーバーは社内ネットワークから分離された独立環境で、ECサイトと関連システムは別の環境で運用されているとされていました。被害の範囲が広がった背景には、過去のECサイトのデータが同じサーバーに残っていたことがあります。また、一部の情報が第三者からアクセスできる状態にあったとされています。
いまの状況2026-09-01 時点
2026年9月1日の最終報の時点で、外部への公開や不正利用などの二次被害は確認されていないとされています。対象件数、侵入した日、攻撃者の情報、再発防止策の詳しい内容は、まだ発表されていません。
企業として考えたいこと
もしあなたの会社で、使っていない古いシステムのデータが、いま使っているサーバーに残っていたら、そのデータに誰が、どこから届くかを説明できるでしょうか。
技術的な要約
有限会社山田ボデー工業所は2026年5月27日、5月19日にメールシステムを構築するサーバーへの外部からの不正アクセスを確認したと公表した。発覚の契機はメールの送受信障害で、同社はネットワーク遮断などを行い、メールシステムを別環境へ移行した。9月1日の最終報では、フォレンジック調査の結果、被害サーバーで使用していた管理ツールの脆弱性を悪用した不正アクセスが原因と判断された。被害サーバーには過去に運用していた旧ECサイトのデータベースが残存しており、第三者が実際に閲覧した操作が確認されたが、窃取の明確な痕跡は確認されていない。漏えいのおそれがあるのは、旧ECサイトの2006年頃から2016年6月頃の利用・登録顧客の情報と、2026年4月1日から5月19日にメール送受信した顧客・取引先などの情報で、対象件数は公表されていない。外部への公開や二次被害は現時点で確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認最終報で、フォレンジック調査の結果、被害サーバーで使用していた「管理ツールの脆弱性」を悪用した不正アクセスが原因と判断された。管理ツールの製品名・脆弱性の内容・CVE番号・修正版は公表されていない。
- 脆弱性
- CVE 非公表公表で確認被害サーバーで使用していた管理ツールの脆弱性。製品名、脆弱性の内容、CVE番号、修正版などは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり メールの送受信に障害が発生した。ECサイトおよび関連システムは被害サーバーとは別環境で運用されていた。メールシステムは被害環境とは別環境へ移行した。
- データ
- おそれ上限 —確定 —氏名メール電話住所平文PW購入履歴取引先情報対象件数は公表されていない。旧ECサイトDB（2006年頃〜2016年6月頃の利用・登録顧客の会社名・住所・連絡先・氏名・注文・取引情報）は、第三者が閲覧した操作が確認されたが窃取の明確な痕跡は確認されていない。メールシステムは2026年4月1日〜5月19日の送受信相手（顧客・取引先など）の氏名、会社名、住所、電話番号、メールアドレス、会員登録・注文申込・審査・取引・配送・問い合わせに関する情報が対象で、閲覧・窃取の明確な痕跡はないが一部情報が第三者からアクセス可能な状態だった。この期間の新規会員登録メールには登録時に設定されたパスワードが含まれていた。クレジットカード情報は保有せず、フォレンジックでも保存痕跡は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 公表上、委託先や取引先を起点・波及先とする記載はない。顧客・取引先のメール情報が漏えいのおそれの対象に含まれる。
時系列
- 2026-05-19
- 2026-05-19不正アクセス確認後、被害拡大防止のためネットワークの遮断などの対応を実施した（実施日は第1報に記載なし）。1
- 2026-05-27
- 2026-05-27外部専門家の協力のもと、被害範囲の特定、原因・侵入経路の調査、復旧作業を進めていると説明。個人情報保護委員会など関係機関へ報告・相談。1
- 2026-05-27メールシステムを被害を受けた環境とは別環境へ移行した（移行日は記載なし）。1
- 2026-06-03セキュリティ対策Labが第一報を報道。1
- 2026-06-09ScanNetSecurityが、メール送受信障害で発覚した不正アクセスとして報道。3
- 2026-09-01外部専門家による調査を終え最終報を公表。原因は管理ツールの脆弱性を悪用した不正アクセスと判断。2
- 2026-09-01被害サーバーに旧ECサイトのデータベースが残存し、第三者が閲覧した操作が確認されたことが新たに判明。2
- 2026-09-01個人情報保護委員会へ相談の上、旧ECサイト利用者には個別通知を行わず、9月1日の公表をもって案内に代えた。2
- 2026-09-03セキュリティ対策Labが最終報を報道。2
技術解説
発覚から最終報までの経過 事実
2026年5月19日、メールシステムを構築するサーバーに対する外部の第三者による不正アクセスが確認された。メールの送受信に障害が発生したことから調査を行い、判明したとされる。同社は確認後、被害拡大防止のためネットワークの遮断などを行い、メールシステムを被害を受けた環境とは別環境へ移行した。5月27日に第一報を公表し、外部専門家の協力のもとで被害範囲の特定、原因や侵入経路の調査、復旧作業を進めていると説明し、個人情報保護委員会など関係機関へ報告・相談した。第一報の時点では、具体的な侵入経路や原因は公表されていなかった。9月1日に、外部専門家による調査を終えた最終報が公表された。
原因と、調査で新たに判明した旧ECサイトDB 事実
最終報では、フォレンジック調査の結果、被害サーバーで使用していた管理ツールの脆弱性を悪用した不正アクセスが原因と判断された。一方、管理ツールの製品名、脆弱性の内容、CVE番号、修正版などは公表されていない。第一報では、被害サーバーは社内ネットワークから分離された独立環境で運用され、ECサイトと関連システムは当該サーバーとは別環境で運用しているとされていた。最終調査で、被害サーバー内に過去に運用していたECサイトに関連するデータベースが残存していたことが新たに判明した。侵入日や攻撃者に関する情報は、提供された情報の範囲では示されていない。
漏えいのおそれがある情報の範囲 事実
旧ECサイトDBには、2006年頃から2016年6月頃までに同サイトを利用・登録した顧客の会社名、住所、連絡先、氏名、注文・取引に関する情報が保存されていた。第三者が実際にデータベースへアクセスし情報を閲覧したことを示す操作が確認された一方、窃取の明確な痕跡は確認されていない。メールシステムは、2026年4月1日から5月19日までに送受信した顧客、取引先などの情報が対象で、氏名、会社名、住所、電話番号、メールアドレス、会員登録・注文申込・審査・取引・配送・問い合わせに関する情報などが含まれる。閲覧・窃取の明確な痕跡は確認されていないが、一部情報が第三者からアクセス可能な状態だったため、漏えいの可能性は完全には否定できないとされる。この期間の新規会員登録メールには、登録時に設定されたパスワードが含まれていた。クレジットカード情報が保存されたデータや、過去に保存されていた痕跡は確認されていない。対象件数は公表されていない。外部への公開や二次被害は、現時点で確認されていないとされる。
分離環境という前提と古いデータの残存（解釈） 解釈
第一報では分離された独立環境と説明されていたが、最終報では管理ツールの脆弱性が悪用されたと判断された。分離されていても、管理用の機能が外部から到達できる状態であれば、侵入の足がかりになり得ることがうかがえる。ただし、どの経路で到達されたかは公表されておらず、ここでは断定できない。また、被害サーバーには約10年前に運用を終えたECサイトのデータが残っていた。使っていない旧システムのデータが、現行のメール基盤と同じサーバーに残っていたことで、被害の範囲が広がった可能性がある。これは公表内容からの読み取りであり、同社の管理体制を評価するものではない。小規模な事業者でも、サーバーの用途と保存データの棚卸しは同様に必要になる。
公表のあり方と個別通知の限界（解釈） 解釈
同社は第一報で調査中の点を明示し、最終報で原因と新たに判明した旧ECサイトDBについて追加で説明した。段階的に情報を更新した点は、利用者が状況を把握する助けになったと考えられる。一方で、旧ECサイト利用者については、当時のバックアップや対象者を網羅的に特定できる資料が残っていないとして、個別通知を行わず、個人情報保護委員会へ相談の上、公表をもって案内に代えた。この判断は、古いデータを長く保持した場合に、事後の通知まで難しくなることを示す例といえる。対象者本人が自分に関係するかを判断するには、対象期間などの公表内容を自分で確認する必要がある。件数、製品名、侵入日などが示されていないため、第三者が被害規模や再発防止の妥当性を評価することは難しい。
対応
- 封じ込め
- 不正アクセス確認後、被害拡大防止のためネットワークの遮断などの対応を実施。メールシステムは被害を受けた環境とは別環境へ移行。外部専門家の協力のもとフォレンジック調査を実施した。
- 公表の仕方
- 2026年5月27日に第一報、9月1日に最終報を公表。心当たりのないメールは添付ファイルやURLに触れず即時削除するよう呼びかけ。パスワード変更も案内（他サービスと同一PWの場合は念のため変更）。個別連絡の対象は、自社ECまたはYahoo!ショッピング・Yahoo!オークションで注文し2026年5月22日までに取引完了した顧客と、法人向け後払い決済「Paid」を利用し2026年5月19日までに取引完了した顧客。旧ECサイト利用者はバックアップ等がなく対象者を網羅的に特定できないため個別通知せず、公表をもって案内に代えた。
- 当局対応
- 個人情報保護委員会へ報告・相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理ツールも脆弱性管理の対象に含める。今回は管理ツールの脆弱性悪用が原因と判断された。 | サーバーごとに管理ツール、ミドルウェア、OSのバージョンを資産台帳へ記録し、ベンダーの脆弱性情報を定期購読して、パッチ適用の期限を決める。管理画面は公開せず、VPNまたは送信元IP制限の内側に置く。 |
| 使わなくなったシステムのデータを残さない。被害サーバーには旧ECサイトのDBが残っていた。 | システム廃止やサーバー移行の手順に、データの削除または隔離の確認を加える。保存期間を定めたデータ台帳を作り、期限を過ぎたDBは削除する。保管が必要なものは暗号化して、インターネットから到達できない場所へ移す。 |
| メールに平文のパスワードを載せない。新規会員登録メールに設定パスワードが含まれていた。 | 登録完了メールにパスワードを記載しない仕様にする。パスワードはハッシュ化して保存し、再設定はワンタイムURL方式にする。メールサーバーの保存期間も、業務上必要な最小限に設定する。 |
| 被害範囲を後から特定できるよう、記録を残しておく。旧ECサイトの対象者は網羅的に特定できず、個別通知ができなかった。 | 顧客台帳、バックアップ、アクセスログの保存範囲と期間を決める。個人情報を扱う基盤では、ログを別の場所へ集約して長期保存し、侵害時の対象者抽出手順を事前に確認する。 |
| 分離環境だという前提を定期的に検証する。第一報の説明と最終報の判明事項に違いが出た。 | 外部からスキャンして公開ポートとサービスを定期的に確認し、設計上の分離と実際の到達性を照合する。第一報では、調査中の事項と確認済みの事項を分けて書くひな形を用意しておく。 |
自組織などでの確認項目
- 自社のサーバーで使っている管理ツールや管理画面を、すべて一覧にできますか。それぞれ、インターネットから到達できるか、最後にいつ更新したかを確認してください。
- 廃止したシステムや旧サービスのデータベース、バックアップが、いまも稼働中のサーバーに残っていませんか。保存期間を過ぎたデータの削除ルールはありますか。
- 会員登録や問い合わせの自動返信メールに、パスワードなどの機微情報を載せていませんか。メールサーバーに過去のメールを何年分保存していますか。
- 不正アクセスを受けた場合、影響を受ける顧客・取引先を、ログやバックアップから個別に特定できますか。できない場合、どの手段で本人へ知らせますか。
未解明点
- 悪用された管理ツールの製品名、脆弱性の内容、CVE番号、修正版は何か。公表されていない。
- 漏えいのおそれがある件数は何件か。旧ECサイトDBとメールの双方で対象件数は公表されていない。
- 侵入が始まった日はいつか。5月19日は不正アクセスを確認した日として示されており、侵入日は公表されていない。
- 攻撃者の情報、マルウェア感染の有無、メールアカウントの悪用の有無は明らかになっているか。第一報の時点では公表されていなかった。
- 旧ECサイトDBが被害サーバーに残っていた経緯と、再発防止策の具体的内容は何か。提供された情報の範囲では示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-03報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-03報道本文確認済
- 3ScanNetSecurity2026-06-09報道本文確認済