ナカバヤシ、製品紹介サイト「REVEX」への不正アクセスで3,631件の個人情報が流出の可能性

2026/07/28 情報収集中中程度製造 #不正アクセス

項目	内容
発生日	2026年7月1日（侵害痕跡確認日） / 2026年6月30日（外部からの指摘受領日）
対象組織・業界	ナカバヤシ株式会社（アルバム・手帳・オフィス家具などの製造・販売）
攻撃手法	製品紹介サイトへの不正アクセス（詳細な侵入経路は非公表）
情報源	Security NEXT（2026年7月28日）

概要

アルバムや手帳、オフィス家具などの製造・販売を手がけるナカバヤシは、2026年7月28日、自社が運営する製品紹介サイト「REVEX（レベックス）」の関連サイトが不正アクセスを受け、同サイトの問い合わせフォームを利用した顧客の個人情報最大3,631件が流出した可能性があると公表しました。

対象となるのは、2021年7月27日から2026年7月1日までの約5年間にフォームから問い合わせをした顧客で、氏名・メールアドレスが全件、住所と電話番号が38件、電話番号のみが25件含まれます。同社は外部専門機関と連携し、フォレンジック調査を進めています。

経緯

2026年6月30日: 外部からの問い合わせでサイトに「意図しない画面」が表示される状態を確認
2026年7月1日: 侵害痕跡を確認、対象サイトを一時停止
2026年7月28日: 不正アクセスと個人情報流出の可能性を公表
対象顧客への個別連絡を順次実施中

原因

同社は「意図しない不正な画面が表示される状態」があったと説明していますが、具体的な侵入経路・攻撃手法は公表していません。

考えられる原因（推測）: 製品紹介サイトが問い合わせフォームを持ち、5年分の応答情報が同一サーバに残っていた点から、(a) 公開Webサーバ／CMSの脆弱性悪用、(b) 管理画面認証の突破（弱いパスワード・パスワードリスト攻撃）、(c) 問い合わせフォームプラグイン等の脆弱性、が典型の候補です。「不正な画面が表示される」表現は改ざん系（悪意あるスクリプト挿入・偽ページ設置）の可能性を示唆しますが、公式発表待ちです。

対策

組織が学ぶべきこと

1. 「製品紹介サイト」は本業システムより優先度が下がりやすい

本件はECサイトや基幹システムではなく、収納家具ブランド「REVEX」の製品紹介サイトが侵害対象でした。しかしフォーム経由で5年分・3,631件の顧客連絡先が蓄積されており、被害としては十分に大きい規模になっています。本業のセキュリティ投資と、周辺サイト（ブランドサイト・キャンペーンサイト・製品紹介サイト等）のセキュリティ投資に格差があると、周辺サイトが攻撃者の入口になります。

2. 問い合わせフォームの保持期間ポリシー

5年分の問い合わせ情報がサーバに残っていたことが被害規模を押し上げています。フォーム経由の個人情報は「返信が終わったら消す」「N年経過で自動削除」などの保持ルールがあれば、侵害時の影響が数百件〜数千件のオーダーで抑えられた可能性があります。個人情報保護の観点では「集めない・持たない・早く消す」が三原則です。

3. 対象顧客への「なぜ気づけたか」の説明

今回は外部からの問い合わせが気づきのきっかけでした。自組織のログや監視で検知できていないという事実は、対象顧客への説明の重みを変えます。「サイト側の監視で気づけなかった理由」まで説明できると、信頼回復の第一歩になります。

ヤグラの視点 — 説明責任のログ：「なぜ気づけなかったか」まで説明できる備え

顧客情報漏えいの対象通知でしばしば問われるのは「いつから、いつまで、どのデータが、どのように」だけではありません。「なぜ気づけなかったか」「なぜ今このタイミングで公表できたか」という説明責任のロジックです。本件のように外部指摘が起点だった事案では、被害顧客・監督官庁・報道からの追加質問に耐えるだけの調査ログが揃っているかが、公表後の信頼回復スピードを決めます。

問い合わせフォームというシンプルな仕組みでも、送受信メールログ・アプリケーションアクセスログ・データベース操作ログ・ファイルシステム変更ログを横断で時系列相関する必要があります。ヤグラの AI SOC は、100+の連携先ログを集約・相関し、「いつどこから侵入され、どこまで到達し、何を持ち出したか」を短時間で説明可能な状態にするための基盤を提供します。周辺サイトを含めた広い監視カバレッジは、こうした「監視の盲点だった」事案の再発防止の入口になります。

今後の対応

同社は対象顧客への個別連絡を順次進めているほか、フォレンジック調査で侵入経路の特定と、実際にデータが持ち出された痕跡の有無を確認中です。続報で侵入経路・被害範囲の確定が発表される可能性があります。

更新履歴

日時	内容
2026-08-02	初稿公開（7月28日公表時点の情報を整理）