株式会社ウェブライフ、OEM向けホームページ作成サービスのアクセス制御に不備 — 最大7,425名分が閲覧・改ざんされた可能性

項目	内容
発生日	2026年8月14日〜17日。2026年8月17日に自社システムの監視で異常なアクセスを検知
公表日	2026年8月18日（報道は2026年8月24日）
対象組織・業界	株式会社ウェブライフ（CMSやShopifyを中心としたECのSaaS事業、映像・Web制作ディレクション／情報通信・IT）
影響件数	最大7,425名分。氏名、フリガナ、住所、郵便番号、メールアドレス、電話番号等。パスワードとクレジットカード情報の漏えいは確認されていない
攻撃手法	攻撃者の侵入ではなく、OEMパートナーの顧客管理システムのアクセス制御部分のセキュリティ対策に不備があり、第三者に一部情報が閲覧・改ざんされた可能性がある
情報源	株式会社ウェブライフ「【重要】不正アクセスによる情報漏えいの可能性に関するお詫びとご報告」（2026年8月18日）、サイバーセキュリティ.com（2026年8月24日）

概要

CMSやShopifyを中心としたECのSaaS事業を手がける株式会社ウェブライフは2026年8月18日、同社が提供するOEM向けホームページ作成サービスが第三者による不正アクセスを受け、顧客情報が外部に漏えいした可能性があると公表しました。

原因は、OEMパートナーの顧客管理システムのアクセス制御部分のセキュリティ対策に不備があったことです。この不備により、第三者が一部の情報を閲覧・改ざんできる状態になっていました。

対象となるのはOEMパートナーを通じてこのサービスを利用している顧客で、最大7,425名分です。含まれる情報は氏名、フリガナ、住所、郵便番号、メールアドレス、電話番号等です。パスワードとクレジットカード情報の漏えいは確認されていないとしています。

不正アクセスが発生したのは2026年8月14日から17日にかけてで、8月17日に自社システムの監視において異常なアクセスを検知しました。同社はアクセス制御の不備を修正し、同一の手法では情報を取得できない状態にしたとしています。個人情報保護委員会への報告と関係機関への相談を進めるとし、対象者への個別の通知はOEMパートナー経由で行うとしています。同社が直接提供する「BiNDup」は本件の対象ではありません。

経緯

• 2026年8月14日〜17日: OEM向けホームページ作成サービスへの不正アクセスが発生
• 2026年8月17日: 自社システムの監視において異常なアクセスを検知
• その後: アクセス制御の不備を修正し、同一手法による情報取得ができない状態にする
• 2026年8月18日: 株式会社ウェブライフが公表。個人情報保護委員会への報告と関係機関への相談を進めるとする
• 2026年8月24日: 報道により広く伝えられる

原因

判明している事実: OEMパートナーの顧客管理システムのアクセス制御部分のセキュリティ対策に不備があり、第三者が一部の情報を閲覧・改ざんできる状態になっていたことです。不備の具体的な内容、いつからその状態だったのか、OEMパートナーの名称は、いずれも公表されていません。

考えられる原因（推測）

同社は「アクセス制御部分のセキュリティ対策に不備」と述べており、攻撃者が防御を突破したのではなく、本来届かない範囲に届く状態が最初からあったと読めます。同一の手法では情報を取得できない状態にしたという説明も、修正が防御の追加ではなく制御の修正だったことを示しています。

不正アクセスの期間が8月14日から17日の4日間と示されている一方、不備がいつ生じたかは公表されていません。この4日間は「アクセスがあった期間」であって、「不備があった期間」とは別です。後者のほうが長い可能性は残ります。

対象に「改ざんされた可能性」が含まれている点も、閲覧だけの事案とは扱いが変わります。顧客情報が書き換えられていた場合、影響は流出だけでなくデータの正しさにも及びます。同社が調査の対象として改ざんに触れているのは、この確認が必要になるためと考えられます。

対策

組織が学ぶべきこと

1. OEMで提供しているサービスの利用者を、自社の対象者として数える

今回の対象は、ウェブライフと直接の契約関係にない、OEMパートナーを通じた利用者です。サービスを他社ブランドで提供していると、エンドユーザーの連絡先も同意の取り方もパートナー側にあり、自社からは直接届きません。対象者への通知をパートナー経由で行うと公表しているとおり、緊急時の連絡経路は平常時に決めておく必要があります。誰が何人分のデータを抱えているのかを、契約の形態ごとに把握しておくことが前提になります。

2. 権限の設計を、機能ごとではなくデータの境界で確認する

不備があったのは顧客管理システムのアクセス制御です。顧客管理の画面は、その事業者の顧客だけが見えることを前提に作られますが、その前提はコードのどこかで担保されている必要があります。機能が正しく動くかのテストでは、「見えるべきものが見えるか」は確認できても「見えてはいけないものが見えないか」は通り過ぎます。他社の顧客を指定したらどうなるかを、公開前に試す工程が要ります。

3. 「アクセスがあった期間」と「不備があった期間」を分けて調べる

公表されているのは8月14日から17日という不正アクセスの期間です。不備そのものがいつからあったのかが分からなければ、その前に別の第三者が到達していた可能性は否定できません。修正して終わりにせず、不備が入った時期まで遡って記録を確認する。この2つの期間を分けて示せるかどうかが、対象者に伝えられる範囲の確かさを左右します。

今後の対応

• アクセス制御の不備が生じた時期と、不備の具体的な内容
• 改ざんの有無と、改ざんがあった場合の範囲
• OEMパートナーを通じた対象者への通知の進捗
• 個人情報保護委員会への報告の結果と、再発防止策の公表内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-25	2026年8月18日の公表内容および2026年8月24日の報道をもとに記事を公開