葬祭大手の燦ホールディングス（東証プライム）は10月20日、傘下の葬儀社2社が運営する公式サイトで、供花・供物の注文システムが第三者による不正アクセスを受け、注文した客の個人情報が外部へ漏えいした可能性があると発表した。対象は福島県と茨城県で葬儀会館を営むたまのや（福島市）と、山梨県で営む喜月堂セレオで、両社がそれぞれ公表した件数はたまのやが約1万400件、喜月堂セレオが約30件。氏名、住所、電話番号、メールアドレス、注文内容が含まれる。現時点で情報が持ち出された痕跡は確認されておらず、クレジットカード情報は両社が取得していないため対象外としている。
9月10日と11日に相次いで発覚
燦ホールディングスの適時開示によると、たまのやが2026年9月10日、自社サイトの供花・供物の電子注文システムへの不正アクセスを確認した。翌11日には、喜月堂セレオの同じ種類のシステムでも不正アクセスが見つかった。両社は確認後すぐに不正なアカウントを削除し、攻撃元のIPアドレスを遮断するなどの応急措置をとり、その後もシステムへのアクセス状況を監視している。
外部の専門家による本格的な調査を進めており、調査は10月末ごろに終える予定だとしていた。11月3日時点で、両社とこころネットのお知らせ欄には調査結果の掲載は見当たらない。両社は個人情報保護委員会に報告し、警察にも相談した。漏えいの可能性がある客には、順次個別に連絡しているという。発覚から公表までは約40日がたっている。
燦ホールディングスは、連結業績への影響は軽微だとしている。再発防止策として、アクセス状況の監視を続け、サイトの保守・運用体制を強めるほか、将来は両社のシステムを全面的に更新することも検討するとした。
対象は供花の注文客、たまのやが約1万400件
漏えいした可能性があるのは、両社のサイトから供花・供物を注文した客の情報に限られる。項目は氏名、住所、電話番号、メールアドレス、注文内容の5つ。両社の告知によると、件数はたまのやが約1万400件、喜月堂セレオが約30件で、合わせて約1万430件になる。燦ホールディングスと親会社のこころネットの発表には件数の記載が無く、件数は両社の告知で示された。
| 会社 | 主な営業地域 | 発覚日 | 件数 |
|---|---|---|---|
| たまのや | 福島県・茨城県 | 9月10日 | 約1万400件 |
| 喜月堂セレオ | 山梨県 | 9月11日 | 約30件 |
クレジットカード情報については、注文の際に外部の決済サービスへ移ってから入力する仕組みで、両社はもともとカード情報を取得も保持もしていないと説明している。現時点で情報が漏えいした事実は確認されておらず、不正利用などの被害も確認されていないという。
両社は、不審なメール、SMS、電話、郵便物が届いた場合は開封や応答をせず、記載されたURLや添付ファイルを開いたり、パスワード、認証コード、クレジットカード情報などを入力したりしないよう呼びかけている。悪用を確認した場合の連絡や問い合わせは、各社サイトの問い合わせフォームで受け付け、返信はサイト管理を受託しているこころネットが行う。
福島と山梨の老舗、2026年に燦HDの傘下へ
燦ホールディングスは、1932年創業の葬儀社「公益社」の事業を継ぐ公益社などを抱える葬祭大手で、本社を東京と大阪に置く。2025年3月末の連結従業員数は1153人。同社のグループ会社紹介によると、こころネットは福島市に本社を置く葬祭・石材・生花・婚礼・互助会などの事業会社の持株会社で、2012年に大証JASDAQに上場し、2026年に燦ホールディングスのグループに入った。出資比率は100％。
たまのやはこころネットの子会社で、燦ホールディングスからみると孫会社に当たる。1892年に福島市で創業し、福島県と茨城県で「こころ斎苑」「とわノイエ」の葬祭会館と、仏壇仏具の販売店「ぶつだんプラザ」を運営している。喜月堂セレオは1915年に山梨県韮崎市で創業し、2023年にこころネットのグループに入った。山梨県で「セレオホール」「家族葬のセレオ」の葬祭会館と「お仏壇の喜月堂」を運営している。
不正目的の漏えいは件数を問わず報告義務
個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えいが起きた場合、事業者に個人情報保護委員会への報告と本人への通知を義務づけている。個人情報保護委員会の案内によると、報告が必要な事態には、不正の目的で行われたおそれがある行為による漏えいと、本人の数が1000人を超える漏えいが含まれ、いずれも漏えいの「おそれ」がある段階で対象になる。「不正の目的」の主体には、従業員だけでなく第三者も含まれる。
報告の期限について委員会は、発覚したらまず速やかに報告し、不正な目的で行われたおそれがある場合は発覚日から60日以内に報告するよう求めている。両社はすでに委員会に報告したとしており、第26条第2項が求める本人への通知として、対象の客に個別の連絡を進めている。
利用者の注文情報が狙われた例は10月にもあった。外食では松屋アプリに不正アクセス、注文利用者237万件の住所・氏名漏えい アプリは停止続くがある。今回は件数は約1万件規模で、対象は葬儀の供花・供物をサイトで注文した客に限られる。漏えいの可能性がある項目には連絡先に加えて注文内容も含まれる。燦ホールディングスは、今後開示が必要な事項が生じた場合には速やかに知らせるとしている。