ちばぎん商店コーポレートサイトへの不正アクセス（千葉銀行の顧客情報 個人約722先・法人約1,616先に漏えいのおそれ）
公表日
千葉銀行の子会社ちばぎん商店のコーポレートサイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、千葉銀行の顧客の個人約722先・法人約1,616先の情報が漏れたおそれがあります。漏えいが確認されたわけではありません。
対象者は？
「TSUBASA ちばぎん Visa デビットカード」と「同ビジネスデビットカード」のプラチナカード保有者向け「GIFT SELECTION」に申し込んだ顧客で、2022～2024年度と2025年度4月～10月の申込分が対象です。個人約722先、法人約1,616先で、いずれも漏えいが確認された数ではなく、漏えいのおそれがある数です。対象の情報は氏名、住所、メールアドレス、電話番号、申込番号です。クレジットカード情報やパスワード等は当該サーバーに保管されていません。「C-VALUE ショッピング」「C-VALUE クラウドファンディング」は別サーバーで、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていません。
千葉銀行は、対象のお客さまへ順次連絡するとしています。詳しくは千葉銀行の公式のお知らせをご確認ください。
いますぐできること
- 千葉銀行の公式のお知らせを確認する。
- 千葉銀行から対象者への連絡が順次行われるため、その案内を確認する。
- ちばぎん商店のサイトにアクセスした場合は、不審なサイトへ誘導された可能性があるという千葉銀行の注意喚起に留意する。
何が起きたのか
2026年9月3日13時頃、ちばぎん商店の担当者が、同社のコーポレートサイトにオンラインカジノに関する内容が表示されているのを見つけ、サーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が分かりました。このサーバーには、千葉銀行がちばぎん商店に委託していたギフト送付業務に関するお客さまの情報が保存されていました。サイトは公開を停止し、外部リンクの削除や検索結果への表示停止などが行われました。千葉銀行は9月17日に公表しました。
なぜ起きたのか・なぜ広がったのか
侵入の方法、悪用された弱点、攻撃者、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の開始日時は、まだ発表されていません。当該サーバーに委託業務のお客さま情報が保存されていたため、情報が漏れたおそれがあるとされています。
いまの状況2026-09-17 時点続報待ち
2026年9月17日時点で、個人情報が外部へ送られた証跡や、悪用などの二次被害は確認されていません。サイトは公開停止中で、警察への相談と関係機関への報告が行われ、第三者の専門調査機関が原因と影響範囲を調べています。再発防止策は調査結果を踏まえて講じるとされ、詳細はまだ発表されていません。
企業として考えたいこと
自社や委託先の公開Webサイトと同じサーバーに、顧客情報が保存されていないでしょうか。サイトに異常が起きたとき、何が影響を受けるかをすぐ説明できるでしょうか。
技術的な要約
千葉銀行は2026年9月17日、子会社ちばぎん商店が運営するコーポレートサイトのサーバーに第三者による不正アクセスがあり、保存されていた千葉銀行の顧客情報に漏えいのおそれがあると公表した。2026年9月3日13時頃、ちばぎん商店の担当者が同サイトにオンラインカジノに関するコンテンツが表示されているのを確認し、不正アクセスが発覚した。漏えいのおそれがあるのは、デビットカードのプラチナカード保有者向け「GIFT SELECTION」申込者の氏名・住所・メールアドレス・電話番号・申込番号で、個人約722先・法人約1,616先が対象である。クレジットカード情報やパスワードは当該サーバーに保存されておらず、外部送信の証跡や二次被害は9月17日時点で確認されていない。サイトは公開停止中で、第三者専門調査機関が原因・影響範囲を調査中であり、侵入経路や脆弱性は未公表である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は2026-09-17時点で公表されていない。公表されているのは、ちばぎん商店のコーポレートサイトのサーバーに第三者による不正アクセスがあり、サイトにオンラインカジノに関するコンテンツが表示されていたという点まで。
- 脆弱性
- CVE 非公表不明悪用された脆弱性やCVEは2026-09-17時点で公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 対象のコーポレートサイトは公開を停止している。停止の終了時期は公表されていない。
- データ
- おそれ上限 2,338確定 —件氏名住所メール電話その他公表値は個人約722先・法人約1,616先で、records_max は両者の単純合算（722+1,616=2,338）。出典の単位は「先」で、いずれも漏えいのおそれがある顧客数（流出確定ではない）。「その他」は申込番号。氏名はギフト送付先の宛名及びカード契約者名義、住所と電話番号は配送先、メールアドレスと申込番号は申込人のもの。対象は『TSUBASA ちばぎん Visa デビットカード』『同ビジネスデビットカード』のプラチナカード保有者向けGIFT SELECTIONの申込者で、対象期間は2022～2024年度および2025年度4月～10月。クレジットカード情報やパスワード等は当該サーバーに保存されていない。外部送信の証跡と二次被害は9月17日時点で確認されていない。
- 波及先
- —
- 当該サイトへアクセスした利用者が不審なサイトへ誘導された可能性がある（千葉銀行が注意喚起）
- 「C-VALUE ショッピング」「C-VALUE クラウドファンディング」は別サーバーで、9月17日時点で不正アクセスは未確認
- 金銭影響
- —
- サプライチェーン
- 不正アクセスを受けたのは千葉銀行の子会社ちばぎん商店のサーバーで、同サーバーには千葉銀行がちばぎん商店へ委託していたギフト送付業務に関する千葉銀行の顧客情報が保存されていた。
時系列
技術解説
発覚の経緯と公表の内容 事実
千葉銀行は2026年9月17日、子会社ちばぎん商店が運営するコーポレートサイトのサーバーに第三者による不正アクセスが発生し、保存されていた千葉銀行の顧客情報に漏えいのおそれがあると公表した。発覚の端緒は、2026年9月3日13時頃にちばぎん商店の担当者が同サイトにオンラインカジノに関するコンテンツが表示されているのを確認したことである。当該サーバーには、千葉銀行がちばぎん商店へ委託していたギフト送付業務に関する顧客情報が保存されていた。サイトは公開を停止しており、外部リンクの削除や検索結果への表示停止等の被害拡大防止措置が実施された。
漏えいのおそれがある情報と対象 事実
漏えいのおそれがあるのは、「TSUBASA ちばぎん Visa デビットカード」および同ビジネスデビットカードのプラチナカード保有者向け「GIFT SELECTION」の申込者である。数は現時点で個人約722先、法人約1,616先で、対象期間は2022～2024年度と2025年度4月～10月。情報は氏名（ギフト送付先の宛名及びカード契約者名義）、住所（配送先）、メールアドレス（申込人）、電話番号（配送先）、申込番号（申込人）である。クレジットカード情報やパスワード等は当該サーバーに保管されていない。個人情報の外部送信の証跡と二次被害は9月17日時点で確認されていない。「C-VALUE ショッピング」「C-VALUE クラウドファンディング」は別サーバーで、不正アクセスは確認されていない。
調査状況と未公表の事項 事実
千葉銀行は警察への相談と関係機関への報告を行い、第三者の専門調査機関と連携して原因及び影響範囲を調査している。対象のお客さまへは順次連絡するとしている。本件ウェブサイトにアクセスしたお客さまが不審なサイトへ誘導された可能性があるとして、注意も呼びかけている。一方、侵入経路、悪用された脆弱性やCVE、攻撃者、不正アクセスの開始日時、オンラインカジノのコンテンツが表示された仕組みは、9月17日時点で公表されていない。具体的な再発防止策は調査結果を踏まえて講じるとされている。本件に関する公式の発表は、同日の第1報のみである。
発覚経路から見える論点（解釈） 解釈
公開サイトの表示内容が変わっていたことが発覚のきっかけである点から、サイトの改ざんまたはコンテンツの差し込みが先に見つかったと読める。ただし、情報が実際に持ち出されたかどうかは別の問題で、公表では外部送信の証跡は未確認とされるにとどまる。侵入経路が未公表のため、原因を特定の手口に結びつけることはできない。また、公開サイトのサーバーに委託業務の顧客情報が同居していたことが、サイトの異常が顧客情報の漏えいのおそれに直結した背景だと考えられる。これは公表内容からの推測であり、調査結果によって見直される可能性がある。
第1報の書き方についての評価（解釈） 解釈
第1報では、対象となる商品、対象期間、情報の項目ごとの内訳、保管されていなかった情報、確認できていない事項が区別して示されている。件数も「現時点」「約」と断ったうえで個人と法人に分けて示されており、利用者が自分に関係するかを判断しやすい構成だと言える。また、別サーバーのサービスについて不正アクセス未確認と明記した点は、影響範囲の切り分けに役立つ。一方で、調査が続いているため、対象数や期間は今後変わり得る。この評価は公表文面に対するもので、被害組織の対応全体を判断するものではない。
対応
- 封じ込め
- サイトの公開停止、外部リンクの削除、検索結果への表示停止等の被害拡大防止措置を実施した。第三者の専門調査機関と連携して原因及び影響範囲を調査中。具体的な再発防止策は調査結果を踏まえて講じるとしている。
- 公表の仕方
- 2026年9月17日に千葉銀行が公式サイトで公表。対象顧客へは順次連絡するとしている。サイトにアクセスした利用者が不審なサイトへ誘導された可能性があるとして注意を呼びかけている。
- 当局対応
- 警察に相談
- 関係機関に報告（機関名は非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開用のコーポレートサイトと同じサーバーに、委託業務で扱った顧客情報が保存されていた。公開サイトの異常が顧客情報の漏えいのおそれに直結している。 | 委託業務を含むデータの保管場所を棚卸しし、顧客データは公開Webサーバーと分離した別セグメント・別ストレージに置く。公開サーバーからのアクセスは必要最小限のAPIやアカウント権限に絞る。 |
| 発覚の端緒は、担当者が画面でオンラインカジノのコンテンツを見つけたことだった。表示内容の変化は人の目に頼らず検知できる余地がある。 | 外部からの定期的なコンテンツ監視（不審キーワードや外部ドメインへのリンクの検出）と、Webルート配下のファイル整合性監視（FIM）を入れ、差分が出たらアラートを担当者と委託元へ送る。 |
| 外部送信の証跡が確認されていないという判断には、ログが残っていることが前提になる。調査段階では侵入開始日時も不明である。 | Webサーバー、プロキシ／FW、DNSの各ログを中央に集約し、最低でも1年は保存する。外向き通信量の異常検知を設定し、侵害時に持ち出しの有無を判断できる状態にする。 |
| 対象期間が複数年度にわたる顧客情報が、申込用のサーバーに残っていた。 | ギフト発送などの業務データは完了後の保管期間を定め、期限が来たら自動削除または匿名化する。保管するデータ項目も、配送に必要な最小限に絞る。 |
| 被害拡大防止として、サイトの公開停止に加え、外部リンクの削除と検索結果の表示停止が実施された。サイトが不審なサイトへの誘導に使われるおそれがあるため。 | サイト停止時の手順書に、検索エンジンの削除申請、外部リンク元への依頼、告知文の掲載、グループ内の別サイトの調査を含める。平時に連絡先と担当者を決めておく。 |
自組織などでの確認項目
- 自組織の公開Webサイトと同じサーバーやアカウントに、顧客情報や委託業務のデータが保存されていないか、保管場所の一覧で確認できるか。
- 自組織の公開サイトの表示内容が書き換えられた場合、人の目以外の仕組み（外形監視やファイル改ざん検知）で何分・何時間以内に気づけるか。
- 委託先や子会社のサーバーで不正アクセスが起きたとき、自組織の顧客が対象かどうかと件数の上限を、どれくらいの日数で把握できるか。
- 外部送信の証跡の有無を判断するためのログ（Web、プロキシ、DNS）は、何か月分保存されているか。
未解明点
- 不正アクセスの侵入経路と、悪用された脆弱性の有無・内容は何か。
- 不正アクセスの開始日時と、2026年9月3日の発覚までにどれだけの期間が経過していたのか。
- オンラインカジノのコンテンツはどのような仕組みで表示されたのか。顧客情報の閲覧や取得は行われたのか。
- 漏えいのおそれがある約722先・約1,616先という件数は、調査後に確定数としてどう変わるのか。
- サイトの公開再開の時期と、具体的な再発防止策はどうなるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-18報道本文確認済
- 2ScanNetSecurity2026-10-08報道本文確認済
- 3株式会社千葉銀行2026-09-17公式本文確認済