千株式会社の学校向け写真販売「はいチーズ！フォト」が侵害 — 購入者・送付先の氏名住所が流出、3日でサービス再開
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年6月4日18時ごろ〜6月5日9時ごろ（外部からの不正アクセスが行われた期間）。検知は6月5日9時 |
| 公表日 | 2026年6月5日（第一報）／2026年7月31日（続報） |
| 対象組織・業界 | 千株式会社（学校・幼稚園向けインターネット写真販売サービス「はいチーズ！フォト」運営） |
| 影響件数 | 公表されていない。同社は個人情報保護委員会へ正確な内容を報告したうえで、対象顧客の保護および二次被害防止の観点から公表を差し控えるとしている。項目は購入者・送付先の氏名、住所、電話番号、団体名 |
| 攻撃手法 | 外部からの不正アクセス。脆弱性の修正を実施したとされるが、侵入経路と脆弱性の内容は公表されていない |
| 情報源 | 千株式会社「【ご報告】『はいチーズ！フォト』への不正アクセスによる個人情報漏えいについて」（2026年7月31日）、Security NEXT（2026年6月12日）、ScanNetSecurity（2026年8月20日） |
学校・幼稚園向けのインターネット写真販売サービス「はいチーズ！フォト」を運営する千株式会社は、同サービスが侵害を受けたことを検知し、購入者や送付先の個人情報が流出したことを公表しました。
侵害を検知したのは2026年6月4日18時ごろから6月5日9時ごろにかけての時間帯です。流出した情報には、購入者や送付先の氏名、住所、電話番号、団体名などが含まれます。一方、写真画像は対象外とされています。
同社は警察および個人情報保護委員会へ報告し、対象となる利用者への個別連絡を実施。システム点検と安全対策を講じたうえで外部による安全評価を受け、2026年6月8日5時にサービスを再開しています。二次被害は確認されていません。
2026年7月31日、同社は続報を公表しました。7月30日に個人情報保護委員会へ確報を提出し、対象となる件数については「個人情報保護委員会へ、正確な内容を報告しておりますが、対象のお客様の保護および二次被害防止の観点から、公表を差し控えております」としています。漏えいの対象外であることが確認されたのは、写真データそのもの、サムネイル画像、クレジットカード情報、パスワード、メールアドレスです。再発防止策として、24時間体制での監視・アラート運用の確立、外部専門機関によるセキュリティ診断、WAFの強化、ISMS認証取得に向けた準備、CSIRT／PSIRT相当の対応体制の構築を挙げています。二次被害および本件に関連する情報のインターネット上での流通は、いずれも確認されていないとしています。
- 2026年6月4日18時ごろ〜6月5日9時ごろ: 外部からの不正なアクセスが行われた期間
- 2026年6月5日9時: 不正アクセスを検知し、即時に遮断。サービスを停止し、外部の協力を得て調査を実施
- 2026年6月5日: 個人情報保護委員会および警察へ速報を提出
- 流出対象を「購入者や送付先の氏名、住所、電話番号、団体名など」と特定。写真データ・サムネイル画像・クレジットカード情報・パスワード・メールアドレスは対象外と確認
- システム点検と安全対策を実施し、外部による安全評価を受ける
- 2026年6月8日5時: サービスを再開
- 2026年6月9日21時: 漏えいの対象となる顧客を特定
- 2026年6月10日〜11日: 対象者への個別メール通知を開始
- 2026年6月12日: 事案が報じられる。二次被害は未確認、恒久的な再発防止策は検討中
- 2026年7月3日以降: 圧着はがきによる通知を発送
- 2026年7月30日: 個人情報保護委員会へ確報を提出
- 2026年7月31日: 続報を公表。件数は公表を差し控えるとしたうえで、再発防止策の内容を開示
- 2026年8月20日: 続報が報じられる
侵害の経路・手口は公表されておらず、流出件数も明らかにされていません。2026年7月31日の続報では、即時対応として不正アクセス経路の遮断と脆弱性の修正を行ったと述べていますが、どの脆弱性であったかは示されていません。件数についても、個人情報保護委員会へは正確な内容を報告したうえで、対象顧客の保護と二次被害防止を理由に公表を差し控えるとしています。
考えられる原因（推測）: 学校・幼稚園向けの写真販売サービスは、保護者向けの購入サイト（一般公開）、学校・園向けの管理画面、写真アップロード用のカメラマン向け機能という複数の入口を持つ構成が一般的です。この形態のサービスで典型的な侵害経路としては、(a) 公開Webアプリケーションの脆弱性悪用（SQLインジェクション、認証回避、ファイルアップロード機能の悪用）、(b) 管理画面の認証情報の窃取・使い回しによるログイン、(c) ミドルウェア・フレームワークの既知脆弱性を突いた侵入、が挙げられます。
流出対象が「購入者・送付先の氏名・住所・電話番号・団体名」に限られ、写真画像が対象外であったという切り分けは、注目に値します。これは、注文・配送情報を扱うデータベース領域と、画像ファイルを保管するストレージ領域が分離されており、侵害の到達範囲が前者に限定されていたことを示唆します。もしアプリケーションサーバが完全に掌握されていれば、画像ストレージへのアクセス権も併せて奪われるのが通例です。
なお、侵害の時間帯を「6月4日18時ごろから5日9時ごろ」と約15時間の幅で特定できている点も、調査に使えるログが残っていたことを示す材料です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「どこまでやられたか」を切り分けて言えたことの価値
Section titled “1. 「どこまでやられたか」を切り分けて言えたことの価値”本件の公表内容で最も実務的に評価できるのは、流出した情報の種類と、流出していないもの（写真画像）を明確に切り分けて説明している点です。学校・幼稚園の写真販売サービスにおいて、保護者が最も懸念するのは「子どもの写真が流出したのか」という一点です。ここに答えられるかどうかで、利用者の不安の量が決まります。この切り分けは、データ領域の分離設計と、それを裏づけるアクセスログの両方があって初めて可能になります。
2. 学校・園という「集団単位の顧客」を持つサービスの影響波及
Section titled “2. 学校・園という「集団単位の顧客」を持つサービスの影響波及”流出情報に「団体名」が含まれる点は重要です。氏名・住所・電話番号に加えて所属する学校・園名が組み合わさると、特定の学校・園に子どもが在籍しているという情報が第三者に渡ります。単体の連絡先情報より、名簿としての価値は高くなります。サービス提供事業者は、自社の顧客が学校・園であっても、実質的に影響を受けるのは各家庭であることを前提に、通知と注意喚起を設計する必要があります。
3. 4日で再開したこと自体が、説明可能性の産物である
Section titled “3. 4日で再開したこと自体が、説明可能性の産物である”6月4日〜5日に検知し、6月8日5時に再開——実質4日弱です。この速さは、「侵害の範囲を特定できた」「対策を打った」「第三者にそれを検証させた」という3ステップを短期間で回せたことを意味します。逆に、影響範囲が特定できないままサービスを再開すると、後日の追加公表・再停止のリスクを抱え込みます。再開の判断は、対策の完了ではなく説明の完了で決まるというのが本件の示すところです。
4. 「恒久的な再発防止策は検討中」という表現の読み方
Section titled “4. 「恒久的な再発防止策は検討中」という表現の読み方”同社は再開時点で「システム点検と安全対策を実施」した一方、恒久的な再発防止策は検討中としています。これは誠実な表現です。短期の応急対策（該当機能の停止、認証強化、脆弱性の修正）と、恒久対策（アーキテクチャの見直し、監視体制の構築）は時間軸が異なります。両者を混ぜて「対策完了」と発表しないことは、後の説明責任を守るうえで正しい判断です。
ヤグラの視点 — 修復か再構築か：4日で再開できる組織と、数週間止まる組織の違い
Section titled “ヤグラの視点 — 修復か再構築か：4日で再開できる組織と、数週間止まる組織の違い”侵害を受けたサービスの運営者が最初に直面する判断は、「直して戻すか」「作り直して戻すか」です。そしてこの判断の質を決めるのは、技術力ではなく「何が起きたかを説明できるか」です。
説明できない場合、選択肢は事実上「作り直す」しかありません。どこから入られたか分からない、どこまで到達されたか分からない、バックドアが残っていないと言い切れない——この状態で既存環境を修復して戻すのは、リスクを抱えたまま再開することになります。だから環境を刷新する。しかしそれは時間がかかり、サービス停止は数週間に伸びます。
本件は、その反対側の事例です。侵害の時間帯を約15時間の幅で特定し、流出したデータ種別を列挙し、写真画像が対象外であることまで確認したうえで、点検・対策・外部評価を経て4日弱で再開しています。この一連の判断を支えたのは、「攻撃者がどこに到達し、何に触れたか」を後から追跡できるログと、データ領域の分離設計です。
侵害の時間帯を絞り込めるということは、アクセスログ・認証ログ・データベース監査ログが揃っていて、かつそれを横断で見られたことを意味します。逆に、この材料が欠けている組織では、「いつから入られていたか分からないので、念のため半年分を対象とします」という説明になり、対象者への通知範囲も、停止期間も、失う信頼も膨らみます。
ログを集めておくことと、それを横断で相関させて短時間で答えを出せることは、別の話です。人手で複数システムのログを突き合わせるには数日〜数週間かかり、その間サービスは止まったままです。ヤグラの AI SOC は、オンプレ・クラウドの各種ログを集約して横断監視し、AIエージェントが侵害の到達範囲を調査・要約することで、「どこまでやられたか」を短時間で説明可能な状態にするための基盤を提供します。検知から初動までを平均数分の水準に引き下げることが、再開判断のスピードそのものを変えます。
2026年7月30日に個人情報保護委員会への確報が提出され、7月31日の続報で再発防止策の内容も公表されました。対象者への通知はメール（6月10日〜11日）と圧着はがき（7月3日以降）で完了しており、追加公表の予定は示されていません。
- 参考: 侵入経路と修正した脆弱性の内容、および対象件数は公表されていません
- 参考: 流出した氏名・住所・電話番号・団体名を用いた二次被害（学校・園を装った連絡、写真販売を口実にした詐欺など）は、現時点で確認されていないとされています
| 日時 | 内容 |
|---|---|
| 2026-08-04 | アーカイブとして初稿作成（2026年6月12日報道時点）。DBの company: 学校向けネット写真サービスで個人情報流出（見出し断片）を、サービス提供元の正式社名「千株式会社」に修正 |
| 2026-08-21 | 2026年7月31日の続報（2026年8月20日報道）を反映。検知は6月5日9時であり6月4日18時〜6月5日9時は不正アクセスが行われた期間である旨に修正、通知・確報提出までの経緯と再発防止策（24時間監視、外部診断、WAF強化、ISMS準備、CSIRT／PSIRT構築）を追記、件数を非公表とする方針とその理由を追記、status を monitoring から resolved に変更 |
