モンベル・グローバルサイトへの不正アクセス（最大15名分の個人情報が取得された可能性）
公表日
モンベルグループが運営する「モンベル・グローバルサイト」に外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大15名分の個人情報が第三者に取得された可能性があると、2026年9月18日に発表されました。
対象者は？
「モンベル・グローバルサイト」の一部のお客さまで、最大15名分です。流出が確認された人数は発表されていません。漏えいした情報の項目も、まだ確認できていません。
個別の確認方法は、渡された情報の中では示されていません。対象の方への連絡方法も、まだ確認できていません。
何が起きたのか
モンベルグループは9月12日に、運営する「モンベル・グローバルサイト」に外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、一部のお客さまの個人情報が漏えいした可能性があることを把握しました。9月18日に、このことを発表しました。最大15名分の個人情報が第三者に不正に取得された可能性があります。
なぜ起きたのか・なぜ広がったのか
どこから侵入されたのかなど、原因はまだ発表されていません。
いまの状況2026-09-29 時点続報待ち
原因、漏えいした情報の項目、再発防止策については、まだ発表されていません。人数は「最大15名」という上限で、確定した数ではありません。
企業として考えたいこと
自社の小規模なサイトや海外向けサイトで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかったとき、影響が数名でも、誰がどの基準で公表を判断するか決まっていますか。
技術的な要約
モンベルグループは2026年9月18日、同社が運営する「モンベル・グローバルサイト」への不正アクセスを発表した。外部からの不正アクセスにより一部顧客の個人情報が漏えいした可能性が、9月12日に判明した。最大15名分の個人情報が第三者に不正に取得された可能性がある。侵入口、侵入日、漏えいした情報の項目は、渡された情報からは確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公表では「外部から不正アクセスがあった」とのみ述べられており、侵入口は示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 15確定 —人最大15名分の個人情報が第三者に不正に取得された可能性がある。漏えいした情報の項目は、渡された情報からは確認できない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-09-12「モンベル・グローバルサイト」に外部から不正アクセスがあり、一部顧客の個人情報が漏えいした可能性が判明した。1
- 2026-09-18
- 2026-09-29
技術解説
公表されている事実の範囲 事実
モンベルグループは2026年9月18日、同社が運営する「モンベル・グローバルサイト」への不正アクセスについて発表した。報道によれば、外部からの不正アクセスにより一部顧客の個人情報が漏えいした可能性が9月12日に判明した。個人情報が第三者に不正に取得された可能性があるのは最大15名分である。これは「可能性」を含む上限の数字で、流出が確定した人数ではない。ScanNetSecurityは9月29日にこの事案を報じている。一方、侵入口、侵入日、漏えいした情報の項目、攻撃者、被害の封じ込め状況は、今回渡された情報の範囲では確認できない。
規模と確度の読み方 解釈
最大15名という数字は、同種の事案と比べると小さい。ただし、ここから被害が限定的だったと結論づけることはできない。公表の表現は「可能性」であり、この人数がどの調査に基づいて算出されたのか、調査が完了しているのかは、渡された情報からは分からない。また、漏えいした項目が示されていないため、人数だけでは影響の重さを測れない。たとえば氏名とメールだけの場合と、決済に関わる情報を含む場合では、対象者にとっての意味が大きく異なる。続報で上限が変わる余地もあると考えておくのが妥当である。
判明から公表までの経過と公式ページの扱い 解釈
判明日は9月12日、発表日は9月18日で、間は6日である。この期間に何を行ったのかは示されておらず、早い遅いを評価できる材料はない。内容の確認や対象者への連絡に充てられた可能性はあるが、これは推測にとどまる。なお、出典に含まれるモンベル公式の「重要なお知らせ」ページは、委託先のランサムウェア被害と詐欺サイトの注意喚起を扱っており、本事案とは別の事象と判断した。そのため、本事案の原因や対応を補う根拠には使っていない。公式の発表原文を確認できていない点が、評価の最大の制約である。
対応
- 封じ込め
- —
- 公表の仕方
- 2026年9月18日にモンベルグループが発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 被害人数が少なくても、不正アクセスの判明後は事実と範囲を明らかにする手順が要る。 | 人数に関わらず適用する公表・通知の判断基準を文書化する。判明から社内エスカレーション、対象者特定、当局報告、公表までの担当と期限を決めておく。四半期ごとに机上演習で動作を確認する。 |
| 侵入口が不明なままでも、調査を進められるようにログを残しておく必要がある。 | WAF、Webサーバ、認証基盤、DBのアクセスログを集中管理基盤（SIEM等）へ転送し、改ざん防止のうえ最低でも直近1年分を保持する。時刻はNTPで統一する。 |
| グローバルサイトなど主力サイト以外の公開サイトも、同じ水準で管理対象に含める必要がある。 | 公開ドメイン・サブドメイン・外部委託サイトを資産台帳に載せ、担当者と更新状況を記録する。外部からの脆弱性スキャンを定期実行し、未管理の公開サービスを検出する。 |
| 顧客データの保持項目と範囲を絞れば、侵害時の影響人数と機微度を下げられる。 | サイトごとに保存項目と保存期間を棚卸しし、不要な項目は削除またはマスキングする。DBは列単位で暗号化し、アプリのDBアカウント権限を最小化する。大量でなくとも通常と異なる顧客情報の参照をアラートにする。 |
自組織などでの確認項目
- 自社の海外向けサイトや小規模サイトを含め、個人情報を扱う公開サイトの一覧と管理担当者を、すぐに示せるか。
- 影響が数名の段階で不正アクセスの疑いが見つかった場合に、誰がいつまでに公表や通知を判断するか、手順が決まっているか。
- 侵入口が分からない状態で調査を始めたとき、必要なログが何日分残っているか。実際に確認できるか。
未解明点
- 不正アクセスの侵入口と手口は何か。
- 漏えいした可能性のある情報の項目は何か。
- 最大15名という人数はどの調査に基づく数字で、調査は完了しているか。
- 侵入があった日時と、不正アクセスが続いた期間はいつか。
- サイトの停止や再発防止策など、封じ込めと再発防止の状況はどうなっているか。
- モンベル自身の発表原文には、報道にない内容が含まれているか。
出典
- 1ScanNetSecurity2026-09-29報道本文確認済
- 2ScanNetSecurity2026-09-29報道本文確認済
- 3モンベル2026-07-28公式本文確認済