ヤクルト本社のサイトに不正アクセス、3万9,505件の個人情報が漏えい

何が起きたのか

ヤクルト本社は2026年11月4日、ホームページへの不正アクセスについて第3報を出しました。不正アクセスを確認したのは10月26日です。

第2報で約4万件としていた件数を精査し、現時点で3万9,505件と確認しました。あわせて、化粧品キャンペーンにWebで応募した人の情報も含まれていたと分かりました。第3報は、専用の問い合わせ窓口を開くことと、対象のお客様への連絡を知らせるものです。

原因は調査中で、手口や侵入の経路は公表されていません。

漏れた情報

対象は5つの区分で、件数と期間は次のとおりです。

区分	件数	漏れた情報	期間
メールの問い合わせフォームの利用者	3万1,781件	氏名、性別、年齢層、住所、電話番号、メールアドレス、問い合わせ内容	2015年4月から2026年10月
給食サイト「たのしい給食」の会員	5,698件	氏名、業態、勤務先、所属部署または受託会社、勤務先の住所と電話番号、メールアドレス、暗号化されたパスワード、任意の回答（知ったきっかけ、興味のある商品、登録理由）	2021年9月から2026年10月
報道関係者向けフォームの利用者	1,613件	氏名、職業、メディアの種類、媒体名、会社名や組織名、会社の住所、電話番号、メールアドレス、問い合わせ内容など	2011年2月から2026年10月
化粧品キャンペーンの応募者	354件	氏名、郵便番号、住所、年齢、電話番号、購入した商品、購入の理由、任意のメールアドレス	2021年8月から2022年2月
上の問い合わせに対応した社員	59件	氏名	2015年3月から2026年7月

同じパスワードを他のサービスで使っている場合に備え、給食サイトの会員には変更を求めています。登録パスワードは暗号化して保管していたとしています。

会社の対応

同社は10月26日にホームページの機能を止め、いまも調査と安全確認のため止めたままです。外部の専門事業者と技術調査を進め、脆弱性対策や、外部からの侵入に対する多重防御などの強化を順次行っています。個人情報保護委員会に報告し、警察にも相談しています。

11月5日の午前9時に、この件の専用の問い合わせ窓口（電話、平日の日中）を開きました。対象のお客様には、順次メールで連絡します。登録のメールアドレスの変更などで届かない人には、お知らせの掲載をもって個別の連絡に代えるとしています。

お客様には次のことを求めています。

• 同社は、パスワード、口座番号、クレジットカード番号をお客様に尋ねることはない
• この件の案内を装った偽のメールやSMSが送られる可能性がある。身に覚えのない連絡のリンクや添付ファイルは開かず、不安なときは、メールのリンクではなく、自分で同社のホームページを開いてお知らせを確かめる
• 懸賞の当選、配送の連絡、返金の案内など、差出人が分からない電話、メール、SMSにも注意する

中小企業が学べること

問い合わせフォームに届いた内容は、長い間サーバーに残ることがあります。この件では、2011年や2015年からの分が対象に含まれ、2021年から2022年に行ったキャンペーンの応募データも残っていました。保存の期間を決めて、古いものを消しておくと、事故のときの範囲を狭められます。

自社のホームページで、次の点を点検できます。

• 問い合わせフォームや資料請求の内容が、サーバーのどこに、何年分残っているか。制作会社や運用会社に聞いて、一覧にする
• 終わったキャンペーンや、使わなくなった会員サイトの応募データや会員データが、残っていないか
• 件数や範囲が変わったときに、続報を出す担当者と手順。この件は第2報の「約4万件」から、第3報で「3万9,505件」と区分ごとの件数に変わっています

パスワードを暗号化して保存するのは、漏れたときの被害を減らす手段です。それでも、同じパスワードの使い回しがあると他のサービスに影響するため、会員への案内には変更のお願いも含めておきます。