要点
- ヤクルト本社の公式サイトに第三者が不正にアクセスし、約4万件の個人情報が外に漏れたことを、ヤクルト本社が確認した。
- 対象は、メールの問い合わせフォームの利用者、給食サイト「たのしい給食」の会員、報道関係者向けフォームの利用者などで、氏名・住所・電話番号・メールアドレスが含まれる。
- 漏れた情報を使って、ヤクルトや配送業者を装う偽のメール・SMS・電話が来るおそれがある。
何が起きたか
ヤクルト本社は2026年10月26日19時（日本時間）、自社サイトの告知ページで不正アクセスを公表した。この第1報の時点では、お客さまの情報に影響があるかを調べている段階だった。
情報が外に出ていたと分かったのは、30日9時の第2報である。ヤクルト本社が確認できた漏えいは、今の時点で約4万件だという。これは確定した数ではない。最終的な件数や、どの期間に登録された情報が含まれるかは、あとから知らせるとしている。
分かっていないことも多い。どこから、どうやって入られたかは書かれていない。一方で、お金に直接関わる情報は含まれないとされる。ヤクルト本社の説明では、サイトではクレジットカードや銀行口座の情報をそもそも預かっていない。
漏れた項目は、使った窓口によって違う。ヤクルト本社が示した内容は次のとおり。
- メールの問い合わせフォームを使った人: 氏名、性別、年齢層、住所、電話番号、メールアドレス、問い合わせの中身
- 「たのしい給食」の会員: 氏名、業態、勤務先、所属部署または受託会社、勤務先の住所と電話番号、メールアドレス、暗号化した登録パスワード、任意で答えた項目（知ったきっかけ、興味のある商品、登録の理由）
- 報道関係者向けの問い合わせフォームを使った人: 氏名、職業、メディアの種類、媒体名、会社名・組織名、部署名・役職名（任意）、会社の住所、電話番号、メールアドレス、問い合わせの中身
- 上の問い合わせに対応した社員: 氏名
対応について、ヤクルト本社は、被害が広がるのを防ぐため26日にサイトの機能を止めたと説明している。あわせて、個人情報保護委員会に第一報を出し、警察にも相談したという。
日本の利用者への影響
対象は、ヤクルト本社の公式サイトでメールの問い合わせフォームや報道関係者向けフォームを使った人、「たのしい給食」の会員、それらの問い合わせに対応した社員である。問い合わせフォームは一般の消費者も使うため、ヤクルトに質問や意見を送ったことがある人は対象かもしれない。「たのしい給食」の会員は、勤務先の名前や所属部署、受託会社まで漏れている。仕事のメールアドレスあてに、取引先や業者を装うメールが来ることも考えておきたい。
報道関係者向けフォームの利用者は、媒体名や役職まで含まれる。取材の窓口を装う偽の連絡にも気をつけたい。
今すぐやること
- 自分が対象かを確かめる。 ヤクルト本社は、対象の人には準備ができしだい連絡するとしている。待たずに確かめたいときは、ヤクルトお客さま相談センター（0120-11-8960、10時〜16時、土日・祝日を除く）に聞く。番号は、届いたメールに書かれたものではなく、公式の告知で確かめる。
- ヤクルトを名乗る連絡は、まず疑ってかかる。 告知によると、ヤクルト本社のほうからパスワードやカード番号、口座番号を尋ねることはない。当選・荷物・返金の知らせを装う手口に注意するよう、ヤクルト本社は呼びかけている。
- 心当たりのない連絡は、リンクも添付も触らない。 ヤクルト本社も、開かないよう求めている。
- 「たのしい給食」のパスワードを、ほかでも使っていないか見直す。 パスワードは暗号化されていたとされるが、どこまで守られていたかは公表されていない。同じパスワードをほかのサービスでも使っているなら、そちらを変えておくほうが安心である（これはヤクルト本社の勧めではなく、こちらの見立て）。
背景
会社のサイトにある問い合わせフォームや会員登録のページは、名前・住所・連絡先がまとまってたまる場所である。お金の情報がなくても、本物らしい偽のメールを作る材料になる。漏れたあとしばらくは、その会社の名前を使ったなりすましが増えやすい。
今回、ヤクルト本社は、どこの欠陥を突かれたか、いつから入られていたかを、まだ明かしていない。確認できた漏えいは約4万件だが、対象の件数や期間の詳細は、このあと順に知らせるとしている。続報で対象の期間や件数が変われば、対象になる人も増えるかもしれない。
技術者向けの詳細
- 時系列（日本時間）: 2026-10-26 にホームページの機能を停止、同日19:00に第1報。10-30 9:00に第2報で「約4万件」の漏えい確認と、漏えいした項目を公表。
- 入られた経路、使われた欠陥、侵入の期間、侵入の跡（IOC）は、10-30の時点で公表されていない。
- 「たのしい給食」の登録パスワードは「暗号化」と書かれている。ハッシュ化かどうか、方式、ソルトの有無は不明。漏えいを前提に、同じ文字列を使い回したアカウントを持つ人には、変えるよう伝えたほうがよい。
- 漏れた中には、問い合わせに対応した社員の氏名も含まれる。その名前を差出人にして、社内外を狙う標的型メールに使われるおそれがある。
- 自組織で給食の担当者などが「たのしい給食」に登録していたなら、ヤクルトを装うメールへの注意を社内で伝えておくとよい。
- 報道関係者向けの窓口: ヤクルト本社 広報部 広報課 03-6625-8971、privacy-press@yakult.co.jp（告知ページに記載）。