最大16件のために、19サイトを止めた

• 使っていた制作ツール側の不正アクセスを受けて止めた
• 止めたのは19サイト。報告から完了まで約2時間40分
• 保持していた個人情報は最大16件

RIZAPグループが10月16日、グループ各社のWebサイトを一時公開停止した。理由は自社が攻撃されたからではない。

このサイトで書いてきたStudioの不正アクセスの、使っている側で何が起きたかという話になる。

経緯が分単位で書かれている

報告を受けてから1時間で止め始め、2時間42分で完了している。

この速さは、事前に決めてあったからだと思う

19のサイトを止めるには、どれが対象かを把握していて、誰が止められるかが決まっていて、止める手順がある必要がある。

知らせを受けてから考えていたら、1時間では始まらない。

カーセンサーが検知した当日に全停止した件も同じで、この秋は止める判断が速い例が続いている。

止めた対象は19

公表されている一覧は、グループの広さがそのまま出ている。

• 海外向け — chocoZAPグローバル、香港、台湾、RIZAP LOUNGE 韓国
• 医療系 — 健康メディカルサービス、chocoZAPメディカル、新宿三丁目メディカルクリニック（2つ）
• コーポレート — RIZAP、RIZAP ENGLISH、RIZAPビジネスソリューションズ、RIZAPエージェンシー、RIZAP建設
• 採用 — RIZAPグループ、RIZAPトレーナー、RIZAP GOLF
• その他 — RIZAP法人会員、ボディメイクコンテンツ、chocoZAP学園コンテンツ

コーポレートサイトや採用サイトは、制作ツールで作られていることが多い。更新頻度が低く、仕組みを凝る必要も無いからだ。だから同じツールに集まる。

ツール側で何か起きると、まとめて影響を受けるという構図になる。

影響は「最大16件」

一方で、保持していた情報についてはこう書かれている。

対象Webサイトでは、原則として、個人情報は保持しておりません。しかし例外的に一部、過去にお問い合わせフォームに入力された内容のみ一時的に保持しております。（最大16件）

16件のために、19サイトを止めたことになる。

この判断をどう読むか

件数だけ見れば、止めなくてもよかったという見方はできる。ただその判断は、調べ終わってからでないとできない。

報告を受けた10時半の時点では、何がどこまで出たのか分かっていない。分からないうちは、広く止めるほうが安いという判断になる。

これはStudio側のポータルを読むと分かるが、フォームの回答は「ゴミ箱に移しただけ」でも対象になる。自社で把握していた数と、実際に残っていた数が食い違う可能性もあった。

結果として16件で済んだ。それは止めた後に分かったことになる。

止めなかったもの

合わせて、こうも書かれている。

なお、chocoZAPアプリ、各サービスのご予約・お支払い等は本件とは別のシステムで運営しており、通常どおりご利用いただけます。

ここが効く。会員が毎日使う部分は、止まっていない。

止まったのは会社案内や採用のページで、利用者の日常には直接響かない側だった。京王の件で列車の運行が止まらなかったのと同じで、分けてあったから、片方だけで済んでいる。

逆に言えば、分けていなければ全部止まっていた。

制作者から見ると

Studioの記事で、関係者が3層になると書いた。

1. 自分 — ツールのアカウント所有者
2. クライアント — サイトの運営者
3. サイトの訪問者 — フォームを送った人

今回公表したのは2層目になる。そして自社の名前で、自社のサイトに出している。

訪問者から見れば、Studioという会社は知らない。知っているのはRIZAPのほうだ。だから説明する側になるのは、こちらになる。

請けている側が用意しておくこと

1. どのサイトが、どのツールで動いているかの一覧
2. 止める手順と、止められる人
3. フォームの回答がどこに溜まっているか
4. クライアントへ連絡する順番

1番目が無いと、残りが全部できない。「うちのサイトは関係あるのか」に即答できない状態が、いちばん時間を失う。

別件と混同しない

同じ会社のお知らせ欄に、もう1件の不正アクセスが並んでいる。こちらは今回とは無関係なので、分けておく。

件数の桁が違う。同じ会社のニュース欄に並んでいると、混ざって読まれやすい。

別件のほうは、外部機関の調査が完了し、公開を確認した情報と漏えいのおそれがある情報を分けて報告している。この書き分けは、「漏えいしたおそれ」は何を意味しているのかで書いた区別そのものになる。

まとめ

• 自社が攻撃されたのではない。使っていた制作ツール側で起きた
• 報告を受けてから2時間42分で、19サイトの停止を完了
• 保持していた個人情報は最大16件
• 分からないうちは広く止めるほうが安い。16件と分かったのは後
• アプリ・予約・支払いは別システムで、通常どおり
• 公表したのはツールの利用者側。訪問者が知っているのはこちらの名前
• 同社の別件のランサムウェアとは無関係。件数の桁が違う

出典

• RIZAPグループ株式会社「RIZAPグループ各社Webサイトの一時公開停止に関するお知らせ」（2026年10月16日）（経緯と時刻、対象サイトの一覧、保持していた個人情報の件数、別システムの稼働、今後の対応）
• 同「当社グループにおける不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（第5報）」（2026年10月9日）（本記事で別件として触れた、子会社のランサムウェア被害の調査結果）

本記事は2026年10月18日時点で公表されている内容に基づく。2つの事案は原因も対象も別のものであり、本記事では区別して扱っている。本記事は法的な助言ではない。