読宣WEST四国支社への不正アクセス（ヨミポスト利用者情報流出のおそれ）
公表日
株式会社読宣WEST四国支社が運営するチラシ配布サービス「ヨミポスト」のウェブサイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、利用者の個人情報少なくとも1,700人分が流出した可能性があることが判明しました。
対象者は？
「ヨミポスト」のウェブサイトで入会または退会手続きを行った利用者（少なくとも1,700人）。流出した可能性がある情報は氏名、住所、電話番号、メールアドレス、年齢、性別です。クレジットカード情報やマイナンバーカード情報は含まれていません。
対象となる利用者には同社から個別にメールで連絡が行われる予定です。また、2026年10月27日より開設された問い合わせ窓口でも確認できます。
いますぐできること
- 読宣やヨミポストを装った不審なメールや電話に注意し、記載されたリンクを不用意に開かない
何が起きたのか
2026年10月14日、読宣WEST四国支社の公式ウェブサイトが正常に表示されないトラブルが発生しました。専門業者に復旧を依頼して調査したところ、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の痕跡が確認されたため、同社は直ちにサイトを閉鎖しました。10月16日に個人情報保護委員会へ報告を行い、詳細を調査した結果、チラシ配布サービス「ヨミポスト」にウェブ経由で申し込んだり退会手続きをしたりした利用者の個人情報が外部に流出した可能性があることが判明し、10月26日に公表されました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われた具体的な手口や侵入経路などの原因については、公表時点において調査中とされています。
いまの状況2026-10-27 時点続報待ち
被害を受けた四国支社のウェブサイトは閉鎖されており、今後は読宣WESTのサイトへ統合してセキュリティと監視を強化する方針です。対象者への個別メール通知を進めるとともに、2026年10月27日から専用の問い合わせ窓口を開設して対応を行っています。
企業として考えたいこと
自社の支社や各拠点が独自に運用しているWebサイトや入力フォームについて、セキュリティ管理や監視が本社基準で徹底されているか把握できていますか。
技術的な要約
株式会社読宣WEST四国支社は、香川県で展開する新聞折込チラシ配布サービス「ヨミポスト」のウェブサイトが不正アクセスを受けたと発表した。2026年10月14日に同サイトが正常に表示されないトラブルが発生し、専門業者に復旧を依頼したところ不正アクセスの痕跡が確認された。ウェブ経由で入会および退会手続きを行った利用者の個人情報少なくとも1,700人分が外部に流出した可能性がある。流出の可能性がある情報には氏名、住所、電話番号、メールアドレス、年齢、性別が含まれるが、クレジットカードやマイナンバーなどの情報は含まれていない。同社は直ちにウェブサイトを閉鎖し、個人情報保護委員会へ報告した上で原因の調査を進めている。
攻撃の分類
- 侵入口
- 不明四国支社ウェブサイトに対して不正アクセスが行われたが、侵入手口や原因は公表時点において調査中とされている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年10月14日に読宣WEST四国支社ウェブサイトが表示されないトラブルが発生し、不正アクセスの痕跡確認後に同サイトを閉鎖した。
- データ
- おそれ上限 1,700確定 —人氏名住所電話メール性別その他「ヨミポスト」にウェブ経由で申し込みまたは退会手続きを行った顧客少なくとも1,700人分の住所、氏名、年齢、性別、電話番号、メールアドレス。クレジットカードやマイナンバーカードなどの情報は含まれず、公表時点で不正利用の報告は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
ウェブサイト表示障害から不正アクセス発覚と公表までの経緯 事実
2026年10月14日、香川県高松市にある株式会社読宣WEST四国支社の公式ウェブサイトが正常に表示されない障害が発生した。同支社が専門業者にサイトの復旧を依頼して調査を行ったところ、不正アクセスの痕跡が確認された。同社は直ちにウェブサイトを閉鎖し、新たな被害を防ぐ措置を講じた。10月16日には事案について個人情報保護委員会へ報告を行った。調査の結果、香川県を中心に展開する新聞折込チラシ宅配サービス「ヨミポスト」にウェブ経由で申し込みや退会手続きを行った利用者の個人情報少なくとも1,700人分が外部に流出した可能性があることが判明し、10月26日にお詫びとお知らせが公表された。流出した可能性がある情報項目は氏名、住所、電話番号、メールアドレス、年齢、性別であり、クレジットカードやマイナンバーカードなどの情報は含まれていない。公表時点において情報の不正利用等の報告は確認されていない。
システム表示異常を端緒とするインシデント検知の側面 解釈
本件では、侵入検知システム（IDS）などのセキュリティ監視による検知ではなく、ウェブサイトが正常に表示されなくなったというシステムの異常動作を契機に専門業者が調査し、不正アクセスの痕跡が発見されている。攻撃者がサイトの改ざんや破壊的な操作を行ったのか、あるいは不正なスクリプト設置や設定変更の影響でシステムが停止したのかは公表されていないが、外部からの攻撃がWebサイトの稼働停止という目に見える不具合として表面化した形である。一般に情報窃取のみを目的とする攻撃は検知を免れるため潜伏を試みることが多いが、運用障害が発生したことで専門業者による調査が入り、早期のサイト閉鎖と被害拡大防止につながった側面がある。一方、サービス停止に至るまで侵害が見過ごされていた可能性もあり、平時における稼働監視やアクセスログの定期的な分析体制の重要性が浮き彫りとなっている。
地域拠点サイトの単独運用に伴うセキュリティ統制の課題と統合対応 解釈
読宣WEST四国支社は再発防止策として、四国支社が単独で運用していたウェブサイトを廃止し、上位組織である読宣WESTのウェブサイトへ統合したうえでセキュリティ対策と監視体制を強化する方針を示している。地方支社や特定事業所が独自にWebサイトを構築・運用している場合、組織全体でのセキュリティガバナンスやパッチ適用、脆弱性診断の対象から漏れやすく、管理の脆弱な「飛び地」となりやすい傾向がある。特に会員登録や退会申請などの個人情報を取り扱うWebフォームを拠点が個別に運用することは、情報管理上のリスクを高める要因となる。支社のWebサイトを廃止して本部側の統合基盤に集約する判断は、管理対象となる攻撃対象面（アタックサーフェス）を削減し、一元的なセキュリティ監視とインシデント対応体制を適用する観点から合理的な判断と考えられる。
対応
- 封じ込め
- 不正アクセスの痕跡確認後、ただちにウェブサイトを閉鎖した。四国支社のウェブサイトは廃止し、読宣WESTのサイトに統合した上でセキュリティ対策と監視体制を強化する方針を決定した。
- 公表の仕方
- 2026年10月26日にウェブサイトでお詫びとお知らせを公表した。流出の可能性がある顧客には個別にメールで通知する予定であり、2026年10月27日より問い合わせ窓口を開設した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 支社や地域拠点が独自に運用する公開Webサイトにおける管理体制の分散 | 拠点ごとの独自ドメインや単独サーバ運用を廃止して統括組織の共通Web基盤へ統合するか、全社資産インベントリに登録して統一的なWAF導入と定期的な脆弱性診断を必須化する。 |
| システム障害や表示異常を単なる不具合として処理することによる侵害の見過ごし | Webサイトの表示不具合やダウンが発生した際の障害対応手順書に、サーバアクセスログ、ファイル改ざん検知ログ、設定ファイルの整合性確認などの侵害調査項目を組み込む。 |
| Webフォームで収集した個人情報の公開Webサーバ上への長期保管 | 入会・退会などのフォームから送信された個人情報はWebサーバ上のデータベースに保持し続けず、バックエンドの安全な管理領域へ即座に暗号化転送してWeb側からは自動消去する構成をとる。 |
| 侵害痕跡の確認後における速やかなサイト遮断と関係機関・利用者への報告 | 不正アクセスの痕跡が確認された場合は直ちに公開停止を行う緊急遮断手順を整備し、法令に基づく個人情報保護委員会への速報および利用者通知のフローを事前に定めておく。 |
自組織などでの確認項目
- 自社の支社や各事業拠点が独自に構築・運用しているWebサイトや外部公開サーバが存在しないか、網羅的に棚卸しが行われているか。
- 自社Webサイトの表示崩れやシステム停止が発生した際、インフラの不具合対応だけでなく不正アクセスや改ざんの有無を調査する手順が定められているか。
- Webサイト上のフォーム経由で受け付けた問い合わせや会員情報が、インターネット公開サーバ上に不要に残存していないか。
未解明点
- 不正アクセスの侵入経路となった具体的な脆弱性や設定不備、認証情報の侵害状況。
- 流出の疑いがあるとされた「少なくとも1,700人分」について、確定した流出件数および実際のデータ持ち出しの有無。
出典
- 1KSB瀬戸内海放送2026-10-26報道本文確認済
- 2NHK2026-10-26報道本文確認済
- 3KSB瀬戸内海放送2026-10-26報道本文確認済
- 4株式会社読宣2024-02-22公式本文確認済
- 5株式会社読宣2026-10-26公式本文確認済