# 靖國神社の授与品サイトに不正アクセス、会員情報約1万4,500件

- 分類: 漏洩情報
- 公開日: 2026年11月11日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-11-yasukuni-online-shop-leak/
- タグ: 不正アクセス、EC

> 靖國神社は11月11日、オンライン授与品・頒布品サイトが不正アクセスを受け、会員の氏名、メールアドレス、パスワードのハッシュ値など約1万4,500件が漏えいしたと公表しました。同じパスワードをほかのサービスでも使っている人は変更が要ります。

## この事故の概要

| 項目 | 内容 |
| --- | --- |
| 組織 | 靖國神社（その他） |
| 公表日 | 2026年11月11日 |
| 流出の恐れがある件数 | 約1万4,500件 |
| 原因 | 外部からの不正アクセス（手口は公表なし） |
| 漏れた情報 | 氏名、メールアドレス、パスワードのハッシュ値とその生成に使う補助情報、登録日時、利用状態 |
| 発覚 | 2026年10月28日 |

靖國神社は2026年11月11日、授与品と頒布品を扱う「靖國神社オンライン授与品・頒布品サイト」が外部から不正アクセスを受け、会員の個人情報の一部が漏えいしたと公表しました。対象は約1万4,500件で、調査の途中のため変わる可能性があります。漏えいした情報にはパスワードのハッシュ値が含まれていて、同じパスワードをほかのサービスでも使っている人には、変更が呼びかけられています。

## 何が起きたのか

神社によると、不正アクセスが分かったのは10月28日です。その日のうちにサイトの公開を止め、今も止めたままにしています。その後の調査で、個人情報の一部が外部に漏えいしたことを確認しました。公表は判明から2週間後の11月11日です。

不正アクセスの手口や原因は書かれていません。神社はサイトの管理会社と、原因と影響の範囲を調べています。

## 漏えいした情報

漏えいしたのは次の4つです。

- 氏名
- メールアドレス
- 会員アカウントのパスワード情報（ハッシュ値と、その生成に用いる補助情報）
- 会員アカウントの管理情報（登録日時、利用状態）

クレジットカードの番号、有効期限、セキュリティコードは漏えいした情報に含まれず、流出を示す証拠も今のところ確認されていないとしています。住所、電話番号、生年月日、購入履歴も含まれていません。二次被害は確認されていません。

ハッシュ値はパスワードを一定の計算で別の文字列に置き換えたものです。サイトはパスワードそのものを保管せず、この値を保管しておき、ログインのたびに同じ計算をして照らし合わせます。ハッシュ値から元のパスワードを逆算することはできませんが、手に入れた側はよく使われるパスワードを順に計算して一致するものを探せるため、短いパスワードやありふれたパスワードほど見つかりやすくなります。神社もそのままでは読み取れないものの、元のパスワードを特定されるおそれがあると説明しています。

## 神社の対応

神社は対象の人に、漏えいした情報に含まれるメールアドレスあてで個別に連絡しています。お知らせには、このメールの件名と差出人のアドレスが載っていて、メールにリンクや添付ファイルは入れていないと書かれているので、受け取った人は届いたメールが本物かどうかを公式サイトと見比べて確かめられます。

サイトを止めているため、このサイトのパスワードは今は変更できません。扱いは改めて案内するとしています。再発防止策は調査の結果を踏まえて講じるとするにとどまり、具体的な内容は示されていません。今後の扱いや新しい事実は同じお知らせのページで知らせるとしています。問い合わせは電話とメールで受けています。

## 利用者がすること

神社が呼びかけているのは次の2つです。

1. このサイトと同じパスワードをほかのサービスでも使っている場合は、ほかのサービスのパスワードをすぐに変える
2. 神社を装った不審なメール、SMS、電話に注意する

神社がメール、電話、SMSでパスワード、クレジットカード番号、銀行口座の番号を尋ねることはないとしています。漏えいしたのは氏名とメールアドレスなので、名前を入れたもっともらしいメールが届くことも考えられます。尋ねられても答えず、リンクは開かずに、公式サイトのお知らせで確かめてください。

## 中小企業が学べること

1つ目はパスワードの使い回しです。社員が私用で登録したサイトから漏れたパスワードが、仕事のメールやクラウドのアカウントと同じなら、そこから会社の情報に入られます。仕事用のアカウントのパスワードは私用のサイトと分けること、パスワード管理ソフトでサービスごとに別のものを作ること、多要素認証をかけることを、社内の決まりにしておきます。

2つ目は会員登録のある自社サイトでのパスワードの保管です。制作会社や委託先に、パスワードをどの方式でハッシュにしているかを聞きます。`bcrypt` や `Argon2` のように、わざと計算に時間がかかる方式なら、ハッシュ値が漏れても元のパスワードを探し当てるのに時間がかかります。古い方式のままだったときは、改修の見積もりを頼むことになります。

3つ目は事故を知らせるメールの出し方です。漏えいの直後は、本物のお知らせをまねた偽のメールが出回りやすくなります。連絡のメールにリンクや添付を入れず、件名と差出人を公式サイトに載せておくやり方は、自社で事故が起きたときの手順にそのまま使えます。

通販サイトの会員情報が漏えいした例は、[ソフト99公式通販に不正アクセス、最大13万6,968人分漏えいの恐れ](/articles/2026-11-10-soft99-online-shop-leak/)でも紹介しています。

## 自社で確かめること

1. **パスワードの使い回し**：このサイトと同じパスワードをほかのサービスでも使っていたら、ほかのサービスの側をすぐに変えます。仕事用のアカウントも対象です。
2. **自社サイトのパスワードの保管**：会員登録のある自社サイトで、パスワードをどの方式で保管しているかを制作会社や委託先に聞きます。
3. **お知らせメールの出し方**：事故の連絡メールにリンクや添付を入れないこと、件名と差出人を公式サイトに載せることを、自社の手順に書いておきます。

## 出典

- [靖國神社「靖國神社オンライン授与品・頒布品サイトへの不正アクセスによる個人情報漏洩のお詫びとお知らせ」（令和8年11月11日）](https://www.yasukuni.or.jp/news_detail.html?id=734)