K9ナチュラルジャパン、サーバ侵害で通販会員約6万件の個人情報流出 — 警察通報で発覚

項目	内容
発生日	記載なし（2026年7月9日に警察からの連絡で発覚）
対象組織・業界	株式会社K9ナチュラルジャパン（ニュージーランド産ペットフード輸入・販売）
攻撃手法	通販サイト管理サーバへの不正アクセス（詳細未公表）
情報源	Security NEXT（2026年7月22日）

概要

ニュージーランド産ペットフードの輸入・販売を手がけるK9ナチュラルジャパンは、2026年7月22日、同社が提供するオンラインサービスを管理するサーバが侵害され、登録会員および取引先の一部の個人情報 約6万件が流出したことを明らかにしました。

流出情報には、氏名・住所・電話番号・生年月日・性別・職業・メールアドレス・会員ID・暗号化されたパスワード・購入履歴・保有ポイントが含まれます。事案は同社の自己検知ではなく、2026年7月9日の警察からの連絡で判明しました。

経緯

• 侵害の具体的な発生時期は公表されていない
• 2026年7月9日: 警察から同社に対してサーバ侵害の連絡
• 2026年7月10日: 通販サイトへの外部アクセスを遮断
• 外部協力のもと詳細調査を実施、個人情報保護委員会へ報告
• 2026年7月22日: 事案を公表、対象顧客への説明・謝罪、パスワード使い回しへの注意喚起

原因

「同社が提供するオンラインサービスを管理するサーバが侵害された」とだけ公表されており、侵入経路・攻撃手法・侵害開始時期は明らかにされていません。

考えられる原因（推測）: EC通販サイトのサーバ侵害では、(a) 公開Webアプリの脆弱性悪用（プラグイン・CMSの未パッチ）、(b) 管理画面への認証情報悪用（パスワードリスト攻撃・情報窃取型マルウェア経由）、(c) サーバOSやミドルウェアの脆弱性悪用、が典型的な経路です。警察からの連絡で発覚という経緯は、攻撃者が窃取データをダークウェブ・地下市場で販売した情報を捜査機関が把握し、被害組織へ通報したパターンと整合的です。この場合、同社が自ら検知するタイミングよりも大幅に前に侵害が発生していた可能性が考えられます。

対策

組織が学ぶべきこと

1. 自己検知できない事案は「外部通報」で長期潜伏する

本件は同社自身のアラートではなく、警察からの連絡で発覚しています。これは、侵害後のデータが外部で流通していることを第三者が先に把握したケースであり、自組織のログ・監視だけでは検知不可能な状況です。EC事業者にとって、「自組織で気づけない可能性」を前提とした準備——警察・JPCERT/CC等からの連絡窓口の明確化、通報から公表までの初動プロセス整備——が現実的な備えになります。

2. 「暗号化パスワード」でも過信しない注意喚起

本件では暗号化されたパスワードが流出しています。ハッシュ化されているとはいえ、脆弱なハッシュアルゴリズムや弱いパスワードの場合、オフラインクラッキングで復元される可能性があります。同社もパスワード使い回しへの注意喚起を行っており、対象顧客が他サイトで同一パスワードを使い回している場合、二次被害（アカウント乗っ取り）につながるリスクを説明することが重要です。

3. 「発覚時点の情報」が最終情報とは限らない

公表時点で判明している約6万件・流出情報種別は、あくまで現時点の調査結果です。侵害開始時期が公表されていない以上、時系列で被害範囲が拡大する可能性があります。対象顧客への案内も、「現時点の判明分」であることを明示する運用が説明責任上必要です。

ヤグラの視点 — 影響範囲の特定：外部通報で発覚した侵害の「いつから・どこまで」を語れるか

自組織の検知アラートではなく、警察・捜査機関からの連絡で侵害が発覚した事案では、被害組織側に「いつから侵害されていたのか」「どこまでデータを持ち出されたのか」を短時間で把握することが求められます。ここで説明可能性を分けるのは、平時からのログ保管期間と、大量ログを横断で相関分析できる基盤の有無です。

数ヶ月〜数年に及ぶ可能性がある侵害期間を、認証ログ・アクセスログ・アウトバウンド通信ログ・DBアクセスログを串刺しで見て「どこにアクセスされ、何が持ち出されたか」を再構成する作業は、人手では現実的に不可能な規模になります。ヤグラの AI SOC は、100+の連携先ログを集約し、AIで相関分析することで、事案発覚後の「いつから・どこまで」を短時間で説明可能な状態にするための基盤を提供します。外部通報で発覚する事案が増える中、平時のログ設計こそが有事の説明責任を支えます。

今後の対応

同社は個人情報保護委員会への報告を済ませ、対象顧客への説明・謝罪、パスワード変更呼びかけを進めています。侵入経路や侵害開始時期についての続報が出れば追記します。

更新履歴

日時	内容
2026-08-02	初稿公開（2026年7月22日公表事案のアーカイブ化）