生活協同組合コープやまぐち（山口県）のLINEミニアプリに不正アクセス、データベースの全データが削除され21万7,295件が漏えいのおそれ
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年8月27日（不正アクセスと、データベース内の全データの削除） |
| 公表日 | 第一報: 2026年8月28日／第二報: 2026年9月（対象範囲と情報項目を確定。報道は9月17日） |
| 対象組織・業界 | 生活協同組合コープやまぐち（山口県を事業地域とする消費生活協同組合）。侵害されたのは、同組合が開発と運用を外部事業者に委託している「コープやまぐちLINEミニアプリ」のデータベース |
| 影響件数 | 21万7,295件（氏名、住所、電話番号、メールアドレス等）。クレジットカード情報、金融機関の口座情報、パスワード、要配慮個人情報は含まれていないと説明されている |
| 攻撃手法 | 第三者によるデータベースへの不正アクセスと、保存されていた全データの削除（侵入経路は非公表） |
| 情報源 | 生活協同組合コープやまぐち「コープやまぐちLINEミニアプリへの不正アクセスによる個人情報漏えいのおそれについて」（第一報）・（第二報）、中国新聞デジタル、ScanNetSecurity（2026年9月17日）、Security NEXT |
生活協同組合コープやまぐち（山口県）は2026年8月28日、同組合の「コープやまぐちLINEミニアプリ」のデータベースが第三者による不正アクセスを受け、保存されていた全データが削除されたと公表しました。発生は前日の8月27日です。
組合員の氏名、住所、電話番号、メールアドレスなど21万7,295件の個人情報が外部へ流出したおそれがあるとしています。クレジットカード情報、金融機関の口座情報、パスワード、要配慮個人情報は含まれていないと説明されています。
このLINEミニアプリは、同組合が開発と運用を外部事業者に委託して運営しているシステムです。同組合は事象を確認した直後に外部からのアクセスを遮断し、同日中にバックアップからデータを復元して、必要なセキュリティ対策を実施したうえでサービスを復旧させています。
その後の調査を踏まえた第二報で、対象となる範囲と漏えいのおそれがある情報の項目が確定しました。最も多い区分は14万3,126件で、組合員コード、姓、電話番号、郵便番号、ココカード番号、暗証番号が含まれます。ココカード番号と暗証番号については、それだけでは残高照会や支払いに使えず、不正利用も確認されていないとしています。このほか、アンケート回答者4,218件（氏名・ニックネームを含む、郵便番号、住所、電話番号、メールアドレス、組合員コード）、店舗受取予約の利用者102件、ギフト企画の利用者62件が対象に含まれます。
第三者が個人情報を実際に閲覧・取得し、外部へ持ち出したかどうかについては、調査を進めた現時点でも確認できていないとしています。同組合は、流出の可能性を完全に否定するには至らないとして、個人情報が漏えいしたおそれのある事案として対応を進めています。
- 2026年8月27日: 「コープやまぐちLINEミニアプリ」のデータベースが第三者による不正アクセスを受け、保存されていた全データが削除される
- 同日: 事象を確認し、直ちに外部からのアクセスを遮断。バックアップからデータを復元し、必要なセキュリティ対策を実施したうえでサービスを復旧
- 2026年8月28日: 第一報を公表。21万7,295件が漏えいのおそれがあるとした
- 2026年9月: 第二報を公表。調査により対象となる範囲と漏えいのおそれがある情報の項目が確定。最も多い区分の14万3,126件にココカード番号と暗証番号が含まれることを明らかにした
- 2026年9月14日時点: 個人情報の不正利用は確認されていないと説明されている
侵入経路と手口は公表されていません。データベース内の全データが削除されていることから、第三者がデータを削除できる権限のある状態でデータベースへ到達していたことになりますが、その権限をどのように得たのかは示されていません。
委託先である外部事業者の運用に起因するものかどうかについても、現時点では公表されていません。
1. 委託先のシステムも、必要なログを確認できる状態にする
Section titled “1. 委託先のシステムも、必要なログを確認できる状態にする”システムの運用を外部へ委託していても、インシデント発生時に必要な記録を確認できなければ、被害範囲の特定が難しくなります。データベースへの接続元や利用アカウント、操作内容など、取得するログと保存期間をあらかじめ決め、自組織から確認できる状態にしておくことが重要です。
2. データベースの権限を用途ごとに分ける
Section titled “2. データベースの権限を用途ごとに分ける”今回、攻撃者がどのような権限を悪用したかは公表されていませんが、結果としてデータベース内の全データが削除されました。アプリケーション用と管理用のアカウントを分け、それぞれに必要最小限の権限だけを与えることで、侵入された場合の被害を限定できます。
3. バックアップから実際に復元できるか確認する
Section titled “3. バックアップから実際に復元できるか確認する”コープやまぐちは、不正アクセスが発生した当日にバックアップからデータを復元しています。バックアップは取得するだけでなく、定期的に復元テストを行い、必要な時間内にサービスを戻せることまで確認しておくことが重要です。
ヤグラの視点 — 「消された」は分かる。「読まれた」はどう確認するか
Section titled “ヤグラの視点 — 「消された」は分かる。「読まれた」はどう確認するか”今回、データが削除されたことは明らかになりましたが、その前に個人情報が閲覧・取得されたかどうかは確認できていません。
データの削除はサービス停止などの異常として表面化します。一方、情報の読み取りはシステムを壊さないため、ログを監視していなければ気づくことが難しい攻撃です。
重要なのは、侵入を防ぐことだけでなく、侵入後の行動を追える状態にしておくことです。データベースやID基盤などのログを集約し、普段と異なる接続元やアカウント、大量のデータアクセスを継続的に監視することで、情報が持ち出される兆候を早期に捉えやすくなります。こうした複数のログを人手で24時間監視することは難しいため、AIを活用した横断的なログ監視によって異常を検知し、初動までの時間を短縮することが有効です（→ ヤグラ AI SOC）。
- 侵入経路と、第三者がデータの削除権限を得た経緯
- 委託先である外部事業者の運用が事案にどう関わっていたか
- 第三者による閲覧・取得の有無について、調査でさらに判明することがあるか
- ココカード番号と暗証番号を含む区分について、不正利用の発生状況
- 第二報で示された区分ごとの件数と、公表されている総数21万7,295件との対応関係
- 個人情報保護委員会への報告と、再発防止策の具体的な内容
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-18 | 第一報（2026-08-28）および第二報の内容をまとめて記事化 |
