靖國神社の授与品サイトに不正アクセス、会員情報約1万4,500件

靖國神社は2026年11月11日、授与品と頒布品を扱う「靖國神社オンライン授与品・頒布品サイト」が外部から不正アクセスを受け、会員の個人情報の一部が漏えいしたと公表しました。対象は約1万4,500件で、調査の途中のため変わる可能性があります。漏えいした情報にはパスワードのハッシュ値が含まれていて、同じパスワードをほかのサービスでも使っている人には、変更が呼びかけられています。

何が起きたのか

神社によると、不正アクセスが分かったのは10月28日です。その日のうちにサイトの公開を止め、今も止めたままにしています。その後の調査で、個人情報の一部が外部に漏えいしたことを確認しました。公表は判明から2週間後の11月11日です。

不正アクセスの手口や原因は書かれていません。神社はサイトの管理会社と、原因と影響の範囲を調べています。

漏えいした情報

漏えいしたのは次の4つです。

• 氏名
• メールアドレス
• 会員アカウントのパスワード情報（ハッシュ値と、その生成に用いる補助情報）
• 会員アカウントの管理情報（登録日時、利用状態）

クレジットカードの番号、有効期限、セキュリティコードは漏えいした情報に含まれず、流出を示す証拠も今のところ確認されていないとしています。住所、電話番号、生年月日、購入履歴も含まれていません。二次被害は確認されていません。

ハッシュ値はパスワードを一定の計算で別の文字列に置き換えたものです。サイトはパスワードそのものを保管せず、この値を保管しておき、ログインのたびに同じ計算をして照らし合わせます。ハッシュ値から元のパスワードを逆算することはできませんが、手に入れた側はよく使われるパスワードを順に計算して一致するものを探せるため、短いパスワードやありふれたパスワードほど見つかりやすくなります。神社もそのままでは読み取れないものの、元のパスワードを特定されるおそれがあると説明しています。

神社の対応

神社は対象の人に、漏えいした情報に含まれるメールアドレスあてで個別に連絡しています。お知らせには、このメールの件名と差出人のアドレスが載っていて、メールにリンクや添付ファイルは入れていないと書かれているので、受け取った人は届いたメールが本物かどうかを公式サイトと見比べて確かめられます。

サイトを止めているため、このサイトのパスワードは今は変更できません。扱いは改めて案内するとしています。再発防止策は調査の結果を踏まえて講じるとするにとどまり、具体的な内容は示されていません。今後の扱いや新しい事実は同じお知らせのページで知らせるとしています。問い合わせは電話とメールで受けています。

利用者がすること

神社が呼びかけているのは次の2つです。

1. このサイトと同じパスワードをほかのサービスでも使っている場合は、ほかのサービスのパスワードをすぐに変える
2. 神社を装った不審なメール、SMS、電話に注意する

神社がメール、電話、SMSでパスワード、クレジットカード番号、銀行口座の番号を尋ねることはないとしています。漏えいしたのは氏名とメールアドレスなので、名前を入れたもっともらしいメールが届くことも考えられます。尋ねられても答えず、リンクは開かずに、公式サイトのお知らせで確かめてください。

中小企業が学べること

1つ目はパスワードの使い回しです。社員が私用で登録したサイトから漏れたパスワードが、仕事のメールやクラウドのアカウントと同じなら、そこから会社の情報に入られます。仕事用のアカウントのパスワードは私用のサイトと分けること、パスワード管理ソフトでサービスごとに別のものを作ること、多要素認証をかけることを、社内の決まりにしておきます。

2つ目は会員登録のある自社サイトでのパスワードの保管です。制作会社や委託先に、パスワードをどの方式でハッシュにしているかを聞きます。bcrypt や Argon2 のように、わざと計算に時間がかかる方式なら、ハッシュ値が漏れても元のパスワードを探し当てるのに時間がかかります。古い方式のままだったときは、改修の見積もりを頼むことになります。

3つ目は事故を知らせるメールの出し方です。漏えいの直後は、本物のお知らせをまねた偽のメールが出回りやすくなります。連絡のメールにリンクや添付を入れず、件名と差出人を公式サイトに載せておくやり方は、自社で事故が起きたときの手順にそのまま使えます。

通販サイトの会員情報が漏えいした例は、ソフト99公式通販に不正アクセス、最大13万6,968人分漏えいの恐れでも紹介しています。