日本脆弱性総合ポータル

河淳：KEYUCA事業の委託先サーバーへの不正アクセスと個人情報漏えい

重要度
業務やサービスの停止・最大77,105件
公表日
2026.11.11
原因の分類
製品・サーバーの脆弱性、サプライチェーン
対策可能性
判定保留

この記事の3行まとめ

  1. 委託先サーバーへの不正アクセスで最大77,105件の個人情報が漏えいした
  2. ウェブアプリケーションの脆弱性を悪用され、不正なプログラムを設置された
  3. 心当たりのない連絡には個人情報を伝えず、問い合わせ先に連絡するよう呼びかけ

2026年10月21日、KEYUCA事業の業務委託先が管理するサーバーへの第三者による不正アクセスが判明した。その後の調査で、名入れ・刺繍サービスなどの受注システムから顧客の氏名、住所、電話番号、注文情報などが外部に漏えいしたとされた。原因は、サーバー上のウェブアプリケーションの脆弱性を悪用されたことにある。対象は最大77,105件で、第1報で対象外としていたオンラインショップの一部の受注情報も含まれると訂正された。現時点で二次被害の報告はない。

確認された経路・公表元の推定

  1. 公表元は、委託先が管理するサーバーのウェブアプリケーションの脆弱性が悪用され、不正なプログラムが設置されたと説明している。
  2. 2026年10月21日、委託先のサーバーへの第三者による不正アクセスが行われ、同日に外部からのアクセスが遮断された。
  3. 2026年11月9日の外部専門機関の調査報告で、サーバー内の個人情報の漏えいが確認された。

根拠の要点

公表元は、委託先が管理するサーバー上のウェブアプリケーションの脆弱性が悪用され、不正なプログラムが設置されたことを原因として説明している。また、2026年11月9日の外部専門機関の調査報告で個人情報の漏えいを確認したとしている。

資料の基準時点：2026年11月9日の外部専門機関の調査報告時点（調査継続中）

当時、対策できたのか

判定保留

資料は、悪用された脆弱性の種類、既知か否か、修正版の有無や攻撃時点の防御状況を示していない。再発防止策としては、委託先を含めたセキュリティ診断で脆弱性を解消するとだけ記載されている。

公表された対策

  • サーバーへの外部からのアクセスを遮断し、不正なプログラムを削除した。
  • 関連するシステムのパスワード、認証情報、証明書等を変更・無効化した。
  • 個人情報保護委員会及び警察へ報告し、関係機関と連携して対応を進めている。
  • 委託先を含めたシステムのセキュリティ診断を実施し、脆弱性を解消したうえで停止中サービスの再開を判断する。
  • 委託先のセキュリティ管理状況を定期的に確認する体制を整備する。

まだ分からないこと

  • 脆弱性を悪用された時期や、侵入の経路の詳細は資料に記載がない。
  • 悪用された脆弱性の製品名やCVE番号などの特定情報は資料に記載がない。
  • 現時点で二次被害の報告はないが、調査は継続中である。
  • 停止中の2つのシステムの再開時期は未定である。
  • 件数は今後の調査で変わる可能性がある。

関連する事例

同じ原因分類の事例

事例の一覧に戻る