ポンプメーカーの川本製作所、問い合わせフォームが侵害され入力情報2,545件が外部流出 — 対象は2017年2月から2019年5月
| 項目 | 内容 |
|---|---|
| 発生日 | 対象期間は2017年2月〜2019年5月。侵害の時期と発覚日は公表されていない |
| 公表日 | 2025年12月26日（報道） |
| 対象組織・業界 | 川本製作所（ポンプメーカー／製造） |
| 影響件数 | 2,545件。問い合わせフォームに入力された情報。具体的な項目は公表されていない |
| 攻撃手法 | ウェブサイトに設置されている問い合わせフォームが第三者によって侵害され、入力された情報が外部へ流出した |
| 情報源 | Security NEXT（2025年12月26日） |
ポンプメーカーの川本製作所は、ウェブサイトに設置されている問い合わせフォームに入力された情報が外部へ流出したと公表しました。
問い合わせフォームが第三者によって侵害され、入力された情報が外部へ流出したもので、対象は2017年2月から2019年5月にかけての2,545件です。入力された情報の具体的な項目は公表されていません。
同社は警察と個人情報保護委員会へ報告し、セキュリティ対策や監視体制の強化を順次進めるとしています。二次被害については確認されていないが、引き続き状況の把握を続けていくとしています。
- 2017年2月〜2019年5月: 流出の対象となる情報が問い合わせフォームに入力された期間
- 侵害の時期・発覚日: 公表されていない
- 対応: 警察および個人情報保護委員会へ報告。セキュリティ対策や監視体制の強化を順次実施
- 2025年12月26日: 報道により伝えられる。二次被害は確認されていないとする
判明している事実: ウェブサイトに設置されている問い合わせフォームが第三者によって侵害され、入力された情報が外部へ流出したことです。侵入経路、悪用された脆弱性、侵害が行われた時期、発覚の経緯はいずれも公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”対象期間が2017年2月から2019年5月という過去の区間に限られている点が、この事案の読み解きの手がかりになります。この期間だけが対象であることは、当時のフォームまたはその基盤が入れ替わったか、その期間のデータだけが保存されていたかのいずれかを示唆します。
2019年5月で対象が止まっている一方、公表が2025年12月であることから、流出そのものが最近になって判明したと考えられます。侵害の時点で気づいていれば、対象期間の終わりと発覚時期が近くなるのが自然です。6年以上の開きは、外部からの通報や、他の調査の過程で判明した可能性を示します。
「入力された情報」としか示されておらず項目が公表されていない点も、当時のフォームの入力項目を特定する作業に困難があったことを示唆します。すでに使われていないフォームの仕様を後から再構成するのは、記録が残っていなければ難しい作業です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 問い合わせフォームの受信データに保持期限を設ける
Section titled “1. 問い合わせフォームの受信データに保持期限を設ける”対象は2017年から2019年にかけての2,545件です。問い合わせは対応が終われば役目を終える情報であり、6年以上保持し続ける業務上の理由は多くの場合ありません。削除の手順とタイミングを決めていないために残り続け、それがそのまま流出の件数になっています。
2. 使わなくなったフォームと、その基盤を残さない
Section titled “2. 使わなくなったフォームと、その基盤を残さない”対象期間が2019年5月で止まっていることから、その後フォームまたは基盤が入れ替わったと考えられます。入れ替えのときに旧環境をどう扱ったかが問われます。停止しただけで残置されたシステムは、更新の対象からも監視の対象からも外れます。
3. 過去の入力項目を後から説明できる状態にしておく
Section titled “3. 過去の入力項目を後から説明できる状態にしておく”情報の項目が公表できていないのは、当時のフォーム仕様が残っていないためと考えられます。何を集めていたかを説明できなければ、対象者に「何が出たか」を伝えられません。フォームの入力項目とその変更履歴は、収集したデータと同じだけ保存する価値があります。
ヤグラの視点 — 発見までの時間：2019年に入力された情報が、2025年に流出したと知らされる
Section titled “ヤグラの視点 — 発見までの時間：2019年に入力された情報が、2025年に流出したと知らされる”この事案の対象期間は2017年2月から2019年5月です。公表は2025年12月。対象となった人にとっては、6年以上前に問い合わせフォームへ入力した情報について、いま連絡が来るということになります。
侵害がいつ行われたかは公表されていません。対象期間の末尾に近い時期だったのか、その後しばらく経ってからデータだけが持ち出されたのかも分かりません。分かるのは、公表までに長い時間が経っているという事実だけです。そしてこの時間差は、対象者にできることを大きく狭めます。当時使っていたメールアドレスや電話番号が今も同じとは限らず、連絡が届くかどうかも不確かです。
長期化の背景として考えられるのは、そのフォームがすでに運用の中心から外れていたことです。使われなくなったシステムは、更新の担当者がいなくなり、ログの確認対象からも外れます。異常が起きても観測する人がいません。攻撃者から見れば、侵入しても長く気づかれず、変更にも気づかれない環境です。
そして情報の項目すら公表できていない点に、この構造の帰結が現れています。何を持っていたかを説明できなければ、失ったものも説明できません。使わなくなったフォームやシステムを「停止して放置する」のではなく、廃止するか、残すなら管理対象として数え続けるか。この判断を先送りにした分だけ、事故が起きたときに説明できない範囲が広がります。
- 侵害の時期と侵入経路の特定
- 流出した情報の具体的な項目
- 対象者への連絡方針
- セキュリティ対策・監視体制の強化の具体的内容
| 日時 | 内容 |
|---|---|
| 2026-08-17 | 2025年12月26日の報道内容をもとにアーカイブ記事として作成 |