ミツカングループの株式会社Mizkan（愛知県半田市）は11月6日、同社が運営するコミュニティサイト「ミツカン365」が第三者による不正アクセスを受け、会員487人の会員情報が改ざんされたと発表した。このうち29人については、顧客IDと登録メールアドレスが外部に漏えいした。同社は11月2日にサイトを停止し、5日に個人情報保護委員会へ速報した。現時点で漏えいした情報の不正利用や二次被害は確認されていないという。

487人のニックネームが「名なしさん」に、29人はメールアドレスも

同社の発表によると、被害は2種類に分かれる。1つは会員情報の改ざんで、対象は487人。会員のニックネームが「名なしさん」に変えられ、ユーザーアイコン（サイト上で会員を表す画像）が書き換えられた。もう1つは個人情報の漏えいで、対象は29人。29人全員の顧客IDと登録メールアドレスが漏れた。顧客IDは、同社のシステムが会員を識別するために付けている番号である。

29人のうち26人については、サイト内で貯めた特典を交換した回数と、キャンペーンやモニター企画に応募した回数も漏れた。29人はいずれも改ざんされた487人に含まれる。内訳は、改ざんだけを受けた会員が458人、改ざんと漏えいの両方を受けた会員が29人となる。

一方、同社は現時点の調査で、ログイン用のパスワード、氏名、住所、電話番号、クレジットカード情報が漏えいした事実は確認されていないとしている。メールアドレスやパスワードが不正に変更された事実も確認されていないという。

同社は11月6日午後4時から、対象の487人に被害の内容に応じた案内メールを順次送っている。漏えいしたメールアドレスを使った詐欺の連絡を警戒し、不審なメールやSMSに書かれたURLや添付ファイルを開かないよう求めた。同社からメールや電話でパスワードや認証コードを尋ねることは無いとも説明している。問い合わせは「Mizkan ID/ミツカン365事務局」がメールで受け付けている（平日午前10時〜午後5時）。

発覚は会員の問い合わせから、発生の3日後

発表した経緯によると、不正アクセスが起きたのは10月30日（金）だった。同社が把握したのは3日後の11月2日（月）で、「ニックネームが勝手に変更された」という問い合わせが複数の会員から寄せられ、調査を始めた。同日のうちに不正アクセスと個人情報の漏えいを確認し、サイトを停止した。

同じ11月2日には、悪用されたプログラムの不備を修正し、同じ手口で不正な操作ができないことを確かめた。今は、改ざんされた情報の復旧、不正なプログラムやアカウントへの対処、他の機能の点検、安全性の検証を進めている。再開の時期は決まっておらず、情報の復旧と安全性の確認を経て判断するとしている。

影響はミツカン365の外にも広がった。同社は11月4日から、通販サイト「ミツカン公式通販」と「Fibee腸内会」を安全確認のため一時停止している。両サイトについては、今回と同じ仕組みによる直接の影響は確認されていないとし、点検と安全確認を終えたところから順に再開する。

表示の仕組みの不備を突かれ、閲覧した会員の情報が抜かれた

同社が説明した原因は、サイトの「会員情報を変更する機能」と「画面に情報を表示する仕組み」の不備である。第三者はこの不備を使い、他の会員のニックネームやアイコンの登録情報を勝手に書き換えた。その書き換えた情報に不正なプログラムを仕込んでおき、会員がサイトを開いたときにそのプログラムが動いて、一部の個人情報を取得したという。

同社の説明に従えば、情報はサイトのデータベースから直接抜き出されたのではなく、書き換えられた画面を開いた会員の側で取得されたことになる。改ざんの対象が487人に及んだ一方で、漏えいが確認されたのは29人にとどまる。

情報処理推進機構（IPA）は、掲示板や個人情報の登録確認画面など、利用者の入力をウェブページに出力する仕組みに問題があると、ページにスクリプト（プログラム）を埋め込まれるおそれがあると解説している。IPAはこの問題を「クロスサイト・スクリプティングの脆弱性」と呼び、その影響はサイト自体ではなく、そのページを閲覧した利用者に及ぶとしている。IPAは、ウェブサイトに関する届出のうち約5割がこの脆弱性だった（届出の受け付け開始から2014年10〜12月期まで）とも記している。同社の発表はこの用語を使っていないが、説明した経緯は、利用者の入力が画面に出る部分を足がかりに、閲覧者の側で情報が取られたという点で、IPAが示す仕組みと重なる。

利用者が入力したニックネームやアイコンを他の会員に見せるのは、コミュニティサイトの基本の機能である。今回はその機能が攻撃の入口になった。同社は再発防止策として、プログラムの開発と確認の手順を見直すとしている。ウェブサイトの基本的な対策の不足を突く攻撃をめぐっては、政府も事業者に対策の点検を求めている（攻撃にAI使用の可能性高い　政府が事業者に注意喚起、低リスクの弱点も組み合わせ侵入か）。

グループの漏えい関連の公表は10月9日以降で4件目

ミツカングループの公式サイトのお知らせ欄には、10月以降、個人情報の漏えいやそのおそれを知らせる発表が続いている。今回は10月9日以降で4件目になる。前の3件はいずれも、グループが使っていた外部の会社のサービスやシステムが攻撃を受けたもので、今回は同社が運営するサイトの機能の不備が原因と説明している点が異なる。

公表日 対象 攻撃を受けた先 規模・内容
10月9日 ZENB JAPANのオンラインコミュニティ「ZENB GARDEN」 運営に使うコミューン社のシステム 897人の漏えいを確認（最大で全会員949人）。メールアドレスやニックネームなど
10月23日 Mizkan Asia Pacificのホームページの問い合わせフォーム サイト構築に使うStudio社のシステム 送信データ最大355件（テスト送信などを除くと332件）。氏名・メールアドレスなど
11月2日 佐川急便で配送した荷物の送り状 佐川急便の「お荷物問い合わせサービス」 漏えいのおそれ。件数は調査中。氏名・住所・電話番号など
11月6日 コミュニティサイト「ミツカン365」 同サイトの機能の不備 487人の改ざん、うち29人の顧客ID・メールアドレスの漏えい
ミツカングループの個人情報漏えい関連の公表（2026年10〜11月）

出典: 株式会社Mizkan・株式会社ZENB JAPANの各お知らせ

ソフトウェアやウェブサイトの脆弱性の届出の最近の状況は、ソフト製品の脆弱性届出、7〜9月は179件　前年同期の1.4倍　IPA集計で伝えている。

不正目的なら人数を問わず報告、確報は60日以内

今回の速報は、個人情報保護法に基づく手続きである。同法第26条は、個人データの漏えいなどのうち「個人の権利利益を害するおそれが大きいもの」が起きたとき、事業者に個人情報保護委員会への報告と本人への通知を義務付けている。その対象は委員会の規則（個人情報保護法施行規則）第7条が4つに分けて定める。

規則が人数で線を引くのは、漏えいした本人が1000人を超える場合である。今回の漏えいは29人で、この基準には届かない。ただ、規則は「不正の目的をもって行われたおそれがある」行為による漏えいを別に定めており、こちらは人数を問わず報告の対象になる。第三者の不正アクセスで情報が取られた今回はこれに当たり得る。同社も委員会に速報を出している。

報告は2段階で行う。事業者は事態を知った後、「速やかに」その時点で把握している事項を報告する（第8条第1項）。そのうえで、知った日から30日以内、不正の目的によるおそれがある場合は60日以内に、改めて報告しなければならない（同条第2項）。Mizkanが事態を確認したのは11月2日で、委員会への速報は3日後の11月5日だった。不正の目的によるおそれがある事態として扱うなら、確定した内容の報告は11月2日から60日以内に出すことになる。本人への通知は、規則第10条が「事態の状況に応じて速やかに」行うと定めており、同社は公表と同時に487人への案内メールを始めた。

同社は、再開の時期や新たに判明した事実を、発表文を更新して知らせるとしている。会員にとっては、漏えいしたメールアドレスに届く連絡に、当面は注意を払う必要がある。