ナカバヤシ「REVEX」のサイバー攻撃で、問い合わせに関する個人情報 3,631件が漏えいした可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月27日更新日時: 2026年07月27日

ナカバヤシ株式会社は2026年7月24日、製品紹介サイト「REVEX」に対する不正アクセスと改ざんに関する第二報を公表しました。調査の結果、サイトへの不正アクセスの痕跡が確認され、過去の問い合わせ情報3,631件が外部へ漏えいした可能性を否定できないことが判明しています。現時点で実際の情報流出は確認されていませんが、氏名、住所、電話番号、メールアドレスが対象に含まれるため、フィッシングメールやなりすましなどの二次被害に注意が必要です。

ナカバヤシの製品紹介サイト「REVEX」で不正アクセスと改ざんが発生
過去の問い合わせ情報3,631件が漏えいした可能性を否定できない
対象情報は氏名、住所、電話番号、メールアドレス
実際に個人情報が外部へ流出した事実は確認されていない
対象者には個別に連絡している
外部の専門調査会社によるフォレンジック調査を実施予定

項目	内容
公表日	2026年7月24日
被害企業	ナカバヤシ株式会社
対象サイト	製品紹介サイト「REVEX」
インシデントの内容	第三者による不正アクセスとWebサイトの改ざん
漏洩情報の内容	氏名、住所、電話番号、メールアドレス
対象件数	問い合わせ情報合計3,631件
実際の漏洩状況	外部へ漏えいした事実は確認されていないが、可能性を完全には否定できない
クレジットカード情報	公表された漏えい可能性のある情報には含まれていない
対象者への対応	対象となる利用者へ個別に連絡
個人情報保護委員会への報告状況	第二報では明記されていない
対応状況	サイトへのアクセス停止、原因調査、復旧対応、フォレンジック調査を実施予定
再発防止	サイトと関連システムの安全確認、セキュリティ対策の強化、再発防止策を検討

REVEXへの不正アクセスで問い合わせ情報に影響

ナカバヤシは2026年7月24日、同社が運営する製品紹介サイト「REVEX」に対する不正アクセスと改ざんについて、第二報を公表しました。

同社は7月2日の第一報で、REVEXへアクセスした一部の利用者に対し、意図しない不審な画面が表示される事象が発生したと発表していました。7月1日にサイトへのアクセスを停止し、原因調査と復旧対応を開始しています。

その後の調査で、REVEXに対する不正アクセスの痕跡が確認されました。サイト内に保存されていた問い合わせ情報についても、第三者に閲覧または取得された可能性を完全には否定できないとしています。

今回の第二報は、2025年に同社の「asue」ブランドサイトとオンラインショップで発生した不正アクセスとは別の事案です。過去の事案については、ナカバヤシ株式会社のasueブランドサイトと通販サイトへの不正アクセスおよびナカバヤシ運営のasueで個人情報漏洩の可能性で取り上げています。

漏えいした可能性がある個人情報は合計3,631件

漏えいした可能性があるのは、REVEXの問い合わせフォームなどを通じて登録された情報です。ナカバヤシが公表した内訳は次の通りです。

情報の項目	件数
氏名、住所、電話番号、メールアドレス	38件
氏名、電話番号、メールアドレス	25件
氏名、メールアドレス	3,568件
合計	3,631件

対象となる情報には、氏名や連絡先に加え、一部では住所も含まれています。一方、第二報で示された対象項目には、クレジットカード番号、金融機関の口座情報、パスワードなどは含まれていません。

ナカバヤシは、現時点で当該個人情報が外部へ漏えいした事実は確認されていないと説明しています。ただし、不正アクセスを受けたサイト内に情報が保存されていたことから、漏えいの可能性は完全には否定できないと判断しました。

対象となる利用者には個別に連絡しているとしています。

不正アクセスの原因や侵入経路は明らかにされていない

第二報では、不正アクセスに使われた脆弱性、侵入経路、攻撃者の属性、侵害された期間などは公表されていません。

第一報では、REVEXへアクセスした利用者に対し、サイト運営者が意図していない不審な画面が表示される改ざんが発生したと説明されていました。Webサイトの改ざんは、CMSやプラグインの脆弱性、管理アカウントの認証情報流出、サーバーや保守環境への侵害などでも起こりますが、現時点で具体的な原因を断定できる情報はありません。

ナカバヤシは、影響範囲を詳しく確認するため、外部の専門調査会社によるフォレンジック調査を実施する予定です。今後の調査によって、侵害期間や情報へのアクセス状況が更新される可能性があります。

個人情報保護委員会への報告状況は公表資料で確認できず

7月24日付の第二報では、個人情報保護委員会への報告や警察への相談状況について明記されていません。

個人データを取り扱うシステムが不正アクセスを受け、個人情報の漏えいが発生したおそれがある場合、事案の内容によっては個人情報保護委員会への報告と本人通知が必要になります。ナカバヤシは対象者への個別連絡を行っていますが、関係機関への報告状況は今後の公表を確認する必要があります。

個人情報保護委員会は、個人データの漏えいだけでなく、不正アクセスの痕跡などから漏えいのおそれが認められる場合も、報告対象になり得ると説明しています。

利用者はフィッシングやなりすましに注意

今回の対象情報には、氏名とメールアドレスが3,631件すべてに含まれています。氏名と連絡先を組み合わせれば、REVEXやナカバヤシからの連絡を装ったフィッシングメールを作りやすくなります。

住所や電話番号が含まれる利用者については、配送確認、製品の修理、問い合わせへの回答、返金案内などを装った電話やSMSにも注意が必要です。

ナカバヤシやREVEXを名乗るメールを受け取った場合は、メール本文のリンクを直接開かず、ナカバヤシの公式サイトから案内の有無を確認してください。パスワード、クレジットカード情報、金融機関情報、認証コードの入力を求められた場合は、特に慎重な確認が必要です。

問い合わせ時に使用したメールアドレスと同じアドレスを、他のサービスのログインIDとして使っている場合でも、メールアドレスだけで直ちにアカウントが侵害されるわけではありません。ただし、不審なログイン通知やパスワード再設定メールが届いた場合は、各サービスの正規サイトからログイン履歴を確認してください。

ナカバヤシは安全確認と再発防止策を進める

ナカバヤシは、REVEXと関連システムの安全確認を行い、セキュリティ対策の強化と再発防止策の検討を進めるとしています。

フォレンジック調査の結果、新たな事実や公表すべき事項が判明した場合は、改めて案内する方針です。現段階では、REVEXの再開時期や、改ざんに使われた手法、攻撃者が個人情報へ実際にアクセスしたかどうかは明らかになっていません。

2025年に発生したasueの不正アクセスでは、調査の結果、会員情報を直接持ち出した痕跡は確認されなかった一方、データベースの認証情報を第三者が読み取った可能性が判明しました。今回のREVEX事案でも、初期調査だけでなく、ログ、サーバー、データベース、管理アカウントを含めた詳細調査の結果が重要になります。

情報システム部門への示唆

今回の事案は、製品情報を掲載するWebサイトであっても、問い合わせフォームを設けていれば個人情報漏洩事故へ発展することを示しています。

情報システム部門は、自社が管理するコーポレートサイト、製品サイト、キャンペーンサイトに保存されている問い合わせ情報を棚卸ししてください。問い合わせ対応が完了した後もデータを長期間残している場合、保存期間を定め、自動削除や安全な業務システムへの移管を検討する必要があります。

CMS、プラグイン、テーマ、Webサーバー、PHPなどの更新状況に加え、管理画面へのアクセス制限、多要素認証、WAF、ファイル改ざん検知を確認してください。外部の制作会社や保守会社が管理しているサイトでは、委託先アカウントの棚卸し、共有アカウントの廃止、接続元IPアドレスの制限も重要です。

不正アクセスを検知した場合は、サイトを停止するだけでなく、ログやサーバーイメージなどの証拠を保全してから復旧作業を進めます。復旧を急いで初期化や再構築を行うと、侵入経路や情報持ち出しの有無を確認できなくなるおそれがあります。

利用者への案内では、漏えいした可能性がある項目を明確にし、フィッシング、なりすまし電話、不審なSMSなどの具体的な二次被害を説明する必要があります。問い合わせ情報は単独では機密性が低いように見えても、製品への関心や過去の問い合わせ内容と組み合わされることで、説得力のある詐欺に悪用される可能性があります。