原田産業「ビールの縁側」への不正アクセス（脆弱性悪用で管理者権限取得、最大9名のカード情報漏えいの可能性）
公表日
原田産業が運営するクラフトビールの通販サイト「ビールの縁側」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大9名のカード情報などが漏れた可能性があると発表しました。実際に外部へ流出したかどうかは断定されていません。
対象者は？
2026年8月11日19時9分から8月14日16時57分の間に、注文確認画面で情報を入力した利用者9名（決済を完了した4名、完了しなかった5名）。氏名、住所、電話番号、メールアドレス、生年月日などと、カード番号、名義人、有効期限、セキュリティコードが漏れた可能性があります。それ以外の影響範囲は調査中です。
対象の9名には原田産業から個別にメールで通知されています。この期間に注文手続きをした心当たりがある方は、メールと下記のお知らせを確認してください。
いますぐできること
- 8月11日〜14日に「ビールの縁側」で注文手続きをした覚えがある方は、原田産業からのメールが届いていないか確認する
- 該当する場合は、カードの利用明細を確認し、身に覚えのない利用があればカード発行会社へ連絡する
何が起きたのか
2026年8月18日、原田産業は「ビールの縁側」に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、一部のお客様の個人情報が漏れた可能性があると発表し、サイトを一時閉鎖しました。このときは、原因や範囲は調査中でした。9月14日の続報で、サイトが使っていたシステムの一部の弱点が悪用され、管理者の権限が不正に取得されたことがわかったと説明しました。8月11日から14日にかけて不正なプログラムが動いていた可能性があり、この間に注文確認画面で情報を入力した9名の情報が漏れた可能性があるとしています。
なぜ起きたのか・なぜ広がったのか
サイトが使っていたシステムの一部の弱点が悪用され、管理者の権限が取得されたと説明されています。ただし、どの製品のどの弱点だったのかは発表されていません。最初に気づいたきっかけも公表されていません。
いまの状況2026-09-14 時点続報待ち
2026年9月14日時点で、原田産業は実際の外部流出を断定しておらず、その他の影響範囲は調査中です。対象者9名への個別メール通知と、クレジットカード会社、決済代行会社、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。は済んでいます。サイトは安全性の確認が終わっておらず、全機能の再開時期は未定です。弱点の製品名や再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
あなたの会社の通販サイトや会員サイトで、使っている部品の弱点を把握し、管理者権限が奪われたときに気づける仕組みはありますか。
技術的な要約
原田産業株式会社は2026年8月18日、運営するクラフトビールECサイト「ビールの縁側」が不正アクセスを受け、一部顧客の個人情報が漏えいした可能性があると公表し、サイトを一時閉鎖した。9月14日の続報で、サイトが利用していたシステムの一部の脆弱性が悪用されて管理者権限が不正に取得されたことが判明したと発表した。2026年8月11日19時9分から8月14日16時57分の間に不正なプログラムが稼働していた可能性があり、この間に注文確認画面で情報を入力した9名（決済完了4名、未完了5名）の氏名・住所・電話番号・メールアドレス・生年月日などとクレジットカード情報が漏えいした可能性がある。ただし実際の外部流出は断定されておらず、その他の影響範囲は調査中で、全機能の再開時期も未定である。脆弱性の製品名やCVE番号は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者続報で「サイトが利用していたシステムの一部に存在する脆弱性が悪用され、管理者権限が不正に取得された」と報じられた。製品名、ECプラットフォーム、プラグイン、ミドルウェア、CVE番号は公表されていない。第一報では侵入経路は未公表だった。
- 脆弱性
- CVE 非公表報道・研究者サイトが利用していたシステムの一部の脆弱性。製品名・CVE番号は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセスの発覚後、顧客の個人情報保護を優先してECサイト「ビールの縁側」を一時閉鎖。9月14日時点でも安全性の確認が完了しておらず、全機能の再開時期は未定。期間：8月18日の公表時点で閉鎖中、9月14日時点でも継続（再開時期未定）
- データ
- おそれ上限 9確定 —人氏名住所電話メール生年月日クレカ8/11 19:09〜8/14 16:57に注文確認画面で情報を入力した9名（決済完了4名、決済未完了5名）が対象。氏名、住所、電話番号、メールアドレス、生年月日などに加え、カード番号・名義人・有効期限・セキュリティコードが漏えいした可能性。9/14時点で実際の外部流出は断定されておらず、その他の影響範囲は調査中。第一報（8/18）では項目・件数は未公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2024-12
- 2025-03-06
- 2026-08-11 19:09不正なプログラムが稼働していた可能性がある期間の開始。2
- 2026-08-14 16:57不正なプログラムが稼働していた可能性がある期間の終了。2
- 2026-08-18
- 2026-08-18公表時点で、外部専門機関と調査を進めるとともにサイトを一時閉鎖していた。1
- 2026-09-14
- 2026-09-14注文確認画面で情報を入力した9名（決済完了4名、未完了5名）の個人情報とクレジットカード情報が漏えいした可能性があると公表。実際の流出は断定していない。2
- 2026-09-14対象者9名に個別にメール通知。クレジットカード会社、決済代行会社、個人情報保護委員会へ報告済みとした。2
- 2026-09-14安全性の確認が完了しておらず、全機能の再開時期は未定とした。2
技術解説
公表の経緯と判明した内容 事実
原田産業は2026年8月18日、運営するクラフトビールECサイト「ビールの縁側」が不正アクセスを受け、一部顧客の個人情報が漏えいした可能性があると公表した。この時点で、漏えいの有無・原因・範囲は調査中で、外部専門機関と調査を進めつつサイトを一時閉鎖していた。第一報では、侵入経路や漏えいの可能性がある項目・件数は示されていなかった。9月14日の続報（公式サイトのお知らせ）では、サイトが利用していたシステムの一部に存在する脆弱性が悪用され、管理者権限が不正に取得されたことが判明したと説明された。不正なプログラムが稼働していた可能性がある期間は、2026年8月11日19時9分から8月14日16時57分までとされている。
影響を受けた可能性のある情報と対応 事実
続報によると、上記の期間に注文確認画面で情報を入力した顧客9名が対象である。内訳は、決済を完了した4名と、決済を完了せずに注文手続を終了した5名。氏名、住所、電話番号、メールアドレス、生年月日などに加え、カード番号、名義人、有効期限、セキュリティコードを含むクレジットカード情報が漏えいした可能性がある。ただし9月14日時点で、実際の外部流出は断定されておらず、その他の影響範囲は調査中である。対象者9名には個別にメールで通知し、クレジットカード会社、決済代行会社、個人情報保護委員会へ報告済みとされる。カード利用明細の確認と、不審な利用があった場合のカード発行会社への連絡が呼びかけられている。
サイトの状況と未公表の事項 事実
原田産業は顧客の個人情報保護を優先してサイトを一時閉鎖した。閉鎖は8月18日の公表時点で続いており、9月14日時点でも安全性の確認が完了していないため、全機能の再開時期は未定とされた。悪用された脆弱性の製品名、ECプラットフォーム、プラグイン、CVE番号は公表されていない。不正アクセスを最初に検知した経緯や時期も、渡された情報には含まれていない。不正なプログラムの稼働期間の開始時刻は、実際の侵入時刻そのものとは限らない点に注意が必要である。脅威アクターについて、名乗りや被害組織による認定は確認できない。
2024年の事案との関係 事実
報道によると、同サイトでは2024年12月にも、メール配信用サーバーから大量の迷惑メールが送信され、不正アクセスが疑われる事案があった。当初は2024年10月8日以降の購入者等の個人情報が漏えいした可能性があるとしていた。しかし2025年3月6日の最終報では、全サーバーを対象としたフォレンジック調査の結果、個人情報の漏えい、およびそのおそれにつながる不正アクセスは確認されなかったと公表された。今回の2026年8月の事案とは別のインシデントとされ、両者の技術的な関連を示す情報は公表されていない。
攻撃の構造についての見立て 解釈
管理者権限の取得と、対象が注文確認画面での入力情報である点を合わせると、入力内容を取得する不正なプログラムが設置された可能性が考えられる。ただしこれは公表された事実を組み合わせた推測であり、プログラムの具体的な動作は公表されていない。対象が9名にとどまったのは、稼働期間が約3日間だったことと整合するように見えるが、確定的なことは言えない。また、決済未完了の5名も対象に含まれていることから、情報は決済の成否ではなく入力の時点で取得された可能性がある。脆弱性の製品名が非公表のため、同種の構成を使う他組織は自環境への当てはめが難しい。公表は調査の進み具合に応じて段階的に行われている。
公表の評価 解釈
第一報では項目・件数が未公表だったが、続報では稼働期間を時刻まで示し、対象人数と内訳、個別通知、カード会社・決済代行会社・個人情報保護委員会への報告状況が明らかにされた。対象者が特定できる形で期間と範囲を示した点は、利用者が自分に関係するかを判断しやすくする。一方、脆弱性の製品名や検知の経緯、再発防止策の具体内容は示されておらず、他の事業者が教訓を引き出すには情報が限られる。製品名の非公表は、修正未適用の他サイトへの影響を考慮した判断である可能性もあるが、理由は説明されていないため、ここでは推測にとどまる。
対応
- 封じ込め
- 不正アクセスの発覚後、顧客の個人情報保護を優先して「ビールの縁側」を一時閉鎖。外部専門機関の協力のもと事実関係と影響範囲を調査中。セキュリティ対策を強化し、原因究明と再発防止を進める方針。9月14日時点で全機能の再開時期は未定。
- 公表の仕方
- 2026年8月18日に第一報を公表（原因・範囲は調査中）。9月14日に続報を公表し、脆弱性悪用による管理者権限の取得、不正なプログラムの稼働期間、対象9名を説明。対象者9名には個別にメールで通知し、カード利用明細の確認と不審な利用時のカード発行会社への連絡を呼びかけている。脆弱性の製品名・CVE番号は非公表。
- 当局対応
- 個人情報保護委員会（報告済み。9月14日の続報による）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ECサイトの管理者権限が奪われると、不正プログラムの設置にまで及ぶ可能性がある | 管理画面へのアクセスをIP制限またはVPN経由に限定し、管理者アカウントに多要素認証を必須化する。管理者権限の付与・操作ログを別系統に保存し、通知を設定する。 |
| 利用中のシステムの一部の脆弱性が悪用された。構成部品の把握と更新が出発点になる | ECプラットフォーム、プラグイン、ミドルウェアのバージョンを資産台帳で管理し、脆弱性情報と定期的に突合する。重大な脆弱性には適用期限を決めて更新する。 |
| 注文確認画面で入力された情報が対象となっており、決済画面まわりの改ざん検知が重要 | 決済関連ページのスクリプトを一覧化し、ファイル改ざん検知とCSP・SRIによる読み込み制限を導入する。カード情報を自社サーバーで扱わないトークン型・リダイレクト型決済への移行も検討する。 |
| 稼働期間を時刻まで特定できたことで、対象者を9名に絞り込めた。ログ保全が影響範囲の確定を支える | Webサーバー、アプリ、管理画面のログを十分な期間保存し、改ざんできない保管先に集約する。ファイル変更監視を入れ、不審なプログラムの設置を検知できるようにする。 |
| 第一報では項目や件数を示せず、続報で詳細が明らかになった。段階的な公表を前提にした準備が必要 | インシデント対応手順に、第一報の記載項目、続報の予定、個別通知の文面、カード会社・決済代行会社・当局への報告順序をあらかじめ盛り込み、机上訓練で確認する。 |
自組織などでの確認項目
- 自組織のECや会員サイトで使っている製品・プラグイン・ミドルウェアと、そのバージョンを一覧で答えられるか。
- 管理画面にインターネットから直接アクセスできないよう制限されているか。管理者アカウントに多要素認証は設定されているか。
- 決済や注文確認の画面で読み込まれるスクリプトの一覧があり、改ざんされた場合に検知できる仕組みがあるか。
- 不正アクセスの疑いが出たとき、サイトを止める判断者と、カード会社・決済代行会社・個人情報保護委員会への連絡手順が決まっているか。
未解明点
- 悪用された脆弱性の製品名、バージョン、CVE番号は何か。
- 不正アクセスが最初に発覚した経緯と時期、および侵入が始まった実際の時期はいつか。
- 対象者9名の情報は実際に外部へ流出したのか。その他の影響範囲は何か。
- サイトの全機能の再開時期と、再発防止策の具体的な内容は何か。
- 2024年の事案と今回の不正アクセスに技術的な関連はあるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-25報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-17報道本文確認済
- 3ScanNetSecurity2026-08-26報道本文確認済
- 4ScanNetSecurity2026-10-05報道本文確認済
- 5原田産業株式会社2026-09-14公式本文確認済