ヤクルト本社のサイトから約4万件。漏れたのは問い合わせの「中身」まで。フォームの回答をサイトにためない

• ヤクルト本社は10月30日、ホームページへの不正アクセスで、約4万件の個人情報が外部に漏れたことを確認したと発表した（第2報）
• 対象は、問い合わせフォームの利用者、給食関係者向けサイト「たのしい給食」の会員、報道関係者向けフォームの利用者。問い合わせの内容や、対応した社員の名前も含まれる
• クレジットカードと銀行口座の情報は、もともと預かっていない。ホームページは26日から停止中。件数や期間の詳細は順次公表するという

発表されたこと

• 10月26日、被害の拡大を防ぐためにホームページの機能を停止し、同日19時に不正アクセスを告知した（第1報）
• 個人情報保護委員会に第一報を出し、警察にも相談している
• 対象者には、準備が整い次第連絡する。ホームページは30日時点でもメンテナンス中で、再開の時期は示していない

問い合わせはヤクルトお客さま相談センター（0120-11-8960、10時〜16時、土日・祝日を除く）。本件専用の窓口を準備しているという。

問い合わせた人が気をつけること

ヤクルト本社は、差出人の分からない電話・メール・SMSに注意するよう呼びかけ、例として「懸賞の当選」「配送の連絡」「返金の案内」を挙げている。パスワード、口座番号、カード番号を同社が尋ねることはない。

ここからは筆者の見方だ。今回は問い合わせの内容まで漏れている。商品について相談した人なら、その中身を知っている相手から、こんな連絡が来るかもしれない。

• 「先日お問い合わせいただいた件で、お詫びの品をお送りします。送料のお支払いを」
• 「ご指摘の商品について返金いたします。口座をこちらに」

相談した内容を正しく言われても、本物の証拠にはならない。相談センターの番号に自分からかけて確かめる。

「たのしい給食」の会員は

• 勤務先や部署まで漏れているので、職場あての偽の連絡（取引の案内、請求書、サンプルの送付）に注意する
• 登録パスワードは暗号化されていたが、同じパスワードをほかで使っていれば変えておく

報道関係者は

記者や編集者の連絡先と、取材の問い合わせ内容がまとまって漏れた。広報を名乗る偽の連絡や、取材依頼を装ったメールの添付ファイルに注意したい。

問い合わせフォームを持つサイトの教訓

これも筆者の見方だ。問い合わせフォームは、ほとんどの会社のサイトにある。今回のように、サイトのデータベースに問い合わせをためていると、サイトに入られたときに、過去の問い合わせがまとめて持ち出される。

• フォームの回答をサイトにためない。担当者へメールや社内のシステムに送ったら、サイトからは消す設定にする
• ためる必要があるなら、保存する期間を決めて、過ぎたら消す
• 対応した社員の名前のような、外に出す必要のない情報を同じ場所に置かない
• 管理画面への入口を絞り、多要素認証をかける

今週のStudioの件でも、サービスの中にたまったフォームの回答が対象になった。WordPressのお問い合わせ用のプラグインなどにも、送信内容を保存する機能がある。自分のサイトで、何件の問い合わせが、いつからたまっているかを一度見ておきたい。

まとめ

• ヤクルト本社のホームページに不正アクセス。約4万件の個人情報が漏れた
• 問い合わせフォーム、「たのしい給食」の会員、報道関係者向けフォーム。問い合わせの内容と対応した社員の名前も
• カードと口座は預かっていない。「懸賞」「配送」「返金」をかたる連絡に注意し、相談センターに自分からかけて確かめる
• サイトを持つ側は、フォームの回答をサイトにためない

出典

• ヤクルト本社「当社ホームページへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【第２報】」（2026年10月30日9時。ホームページのメンテナンス画面に掲載）、「当社ホームページへの不正アクセスの発生について【第１報】」（2026年10月26日19時）
• ITmedia NEWS「ヤクルト本社、個人情報約4万件漏えい　公式サイトへの不正アクセスで」（2026年10月30日）

本記事は2026年10月30日時点の公式発表に基づく。件数や期間の詳細は今後公表される。「問い合わせた人が気をつけること」の一部と「問い合わせフォームを持つサイトの教訓」は筆者の見方である。