千株式会社の学校向け写真販売「はいチーズ！フォト」が侵害 — 購入者・送付先の氏名住所が流出、3日でサービス再開

項目	内容
発生日	2026年6月4日18時ごろ〜6月5日9時ごろ（侵害を検知した時間帯）
対象組織・業界	千株式会社（学校・幼稚園向けインターネット写真販売サービス「はいチーズ！フォト」運営）
攻撃手法	不正アクセスによる侵害（経路・手口は未公表）
情報源	Security NEXT（2026年6月12日）

概要

学校・幼稚園向けのインターネット写真販売サービス「はいチーズ！フォト」を運営する千株式会社は、同サービスが侵害を受けたことを検知し、購入者や送付先の個人情報が流出したことを公表しました。

侵害を検知したのは2026年6月4日18時ごろから6月5日9時ごろにかけての時間帯です。流出した情報には、購入者や送付先の氏名、住所、電話番号、団体名などが含まれます。一方、写真画像は対象外とされています。

同社は警察および個人情報保護委員会へ報告し、対象となる利用者への個別連絡を実施。システム点検と安全対策を講じたうえで外部による安全評価を受け、2026年6月8日5時にサービスを再開しています。二次被害は確認されていません。

経緯

• 2026年6月4日18時ごろ〜6月5日9時ごろ: 同サービスが侵害を受けたことを検知
• サービスを停止し、外部の協力を得て調査を実施
• 流出対象を「購入者や送付先の氏名、住所、電話番号、団体名など」と特定。写真画像は対象外と確認
• 警察および個人情報保護委員会へ報告
• 対象となる利用者へ個別に連絡
• システム点検と安全対策を実施し、外部による安全評価を受ける
• 2026年6月8日5時: サービスを再開
• 2026年6月12日: 事案が報じられる。二次被害は未確認、恒久的な再発防止策は検討中

原因

侵害の経路・手口は公表されておらず、流出件数も明らかにされていません。同社は「侵害を受けたことを検知した」と説明するにとどめています。

考えられる原因（推測）: 学校・幼稚園向けの写真販売サービスは、保護者向けの購入サイト（一般公開）、学校・園向けの管理画面、写真アップロード用のカメラマン向け機能という複数の入口を持つ構成が一般的です。この形態のサービスで典型的な侵害経路としては、(a) 公開Webアプリケーションの脆弱性悪用（SQLインジェクション、認証回避、ファイルアップロード機能の悪用）、(b) 管理画面の認証情報の窃取・使い回しによるログイン、(c) ミドルウェア・フレームワークの既知脆弱性を突いた侵入、が挙げられます。

流出対象が「購入者・送付先の氏名・住所・電話番号・団体名」に限られ、写真画像が対象外であったという切り分けは、注目に値します。これは、注文・配送情報を扱うデータベース領域と、画像ファイルを保管するストレージ領域が分離されており、侵害の到達範囲が前者に限定されていたことを示唆します。もしアプリケーションサーバが完全に掌握されていれば、画像ストレージへのアクセス権も併せて奪われるのが通例です。

なお、侵害の時間帯を「6月4日18時ごろから5日9時ごろ」と約15時間の幅で特定できている点も、調査に使えるログが残っていたことを示す材料です。

対策

組織が学ぶべきこと

1. 「どこまでやられたか」を切り分けて言えたことの価値

本件の公表内容で最も実務的に評価できるのは、流出した情報の種類と、流出していないもの（写真画像）を明確に切り分けて説明している点です。学校・幼稚園の写真販売サービスにおいて、保護者が最も懸念するのは「子どもの写真が流出したのか」という一点です。ここに答えられるかどうかで、利用者の不安の量が決まります。この切り分けは、データ領域の分離設計と、それを裏づけるアクセスログの両方があって初めて可能になります。

2. 学校・園という「集団単位の顧客」を持つサービスの影響波及

流出情報に「団体名」が含まれる点は重要です。氏名・住所・電話番号に加えて所属する学校・園名が組み合わさると、特定の学校・園に子どもが在籍しているという情報が第三者に渡ります。単体の連絡先情報より、名簿としての価値は高くなります。サービス提供事業者は、自社の顧客が学校・園であっても、実質的に影響を受けるのは各家庭であることを前提に、通知と注意喚起を設計する必要があります。

3. 4日で再開したこと自体が、説明可能性の産物である

6月4日〜5日に検知し、6月8日5時に再開——実質4日弱です。この速さは、「侵害の範囲を特定できた」「対策を打った」「第三者にそれを検証させた」という3ステップを短期間で回せたことを意味します。逆に、影響範囲が特定できないままサービスを再開すると、後日の追加公表・再停止のリスクを抱え込みます。再開の判断は、対策の完了ではなく説明の完了で決まるというのが本件の示すところです。

4. 「恒久的な再発防止策は検討中」という表現の読み方

同社は再開時点で「システム点検と安全対策を実施」した一方、恒久的な再発防止策は検討中としています。これは誠実な表現です。短期の応急対策（該当機能の停止、認証強化、脆弱性の修正）と、恒久対策（アーキテクチャの見直し、監視体制の構築）は時間軸が異なります。両者を混ぜて「対策完了」と発表しないことは、後の説明責任を守るうえで正しい判断です。

ヤグラの視点 — 修復か再構築か：4日で再開できる組織と、数週間止まる組織の違い

侵害を受けたサービスの運営者が最初に直面する判断は、「直して戻すか」「作り直して戻すか」です。そしてこの判断の質を決めるのは、技術力ではなく「何が起きたかを説明できるか」です。

説明できない場合、選択肢は事実上「作り直す」しかありません。どこから入られたか分からない、どこまで到達されたか分からない、バックドアが残っていないと言い切れない——この状態で既存環境を修復して戻すのは、リスクを抱えたまま再開することになります。だから環境を刷新する。しかしそれは時間がかかり、サービス停止は数週間に伸びます。

本件は、その反対側の事例です。侵害の時間帯を約15時間の幅で特定し、流出したデータ種別を列挙し、写真画像が対象外であることまで確認したうえで、点検・対策・外部評価を経て4日弱で再開しています。この一連の判断を支えたのは、「攻撃者がどこに到達し、何に触れたか」を後から追跡できるログと、データ領域の分離設計です。

侵害の時間帯を絞り込めるということは、アクセスログ・認証ログ・データベース監査ログが揃っていて、かつそれを横断で見られたことを意味します。逆に、この材料が欠けている組織では、「いつから入られていたか分からないので、念のため半年分を対象とします」という説明になり、対象者への通知範囲も、停止期間も、失う信頼も膨らみます。

ログを集めておくことと、それを横断で相関させて短時間で答えを出せることは、別の話です。人手で複数システムのログを突き合わせるには数日〜数週間かかり、その間サービスは止まったままです。ヤグラの AI SOC は、オンプレ・クラウドの各種ログを集約して横断監視し、AIエージェントが侵害の到達範囲を調査・要約することで、「どこまでやられたか」を短時間で説明可能な状態にするための基盤を提供します。検知から初動までを平均数分の水準に引き下げることが、再開判断のスピードそのものを変えます。

今後の対応

同社はサービスを再開済みで、二次被害は確認されていません。恒久的な再発防止策は検討中とされており、監視ポイントは、①侵害経路の特定と公表の有無、②流出件数の確定、③恒久対策の内容、④流出した氏名・住所・電話番号・団体名を用いた二次被害（学校・園を装った連絡、写真販売を口実にした詐欺など）の発生有無です。学校・園を通じた利用者への追加通知が行われる可能性もあります。

更新履歴

日時	内容
2026-08-04	アーカイブとして初稿作成（2026年6月12日報道時点）。DBの company: 学校向けネット写真サービスで個人情報流出（見出し断片）を、サービス提供元の正式社名「千株式会社」に修正