うんこミュージアム 公式サイトに不正アクセス、4名の個人情報漏洩の恐れ　第三者製ソフトウェアの脆弱性を悪用

うんこミュージアムは2026年8月14日、公式サイトで利用している第三者製ソフトウェアの脆弱性を悪用した不正アクセスを受け、サイトの一部が改ざんされたと公表しました。

改ざん期間中にお問い合わせフォームを利用した4名について、氏名、メールアドレス、電話番号、お問い合わせ本文などが第三者に傍受・取得された可能性を完全には否定できないとしています。

同サイトは、フォームで送信されたデータをデータベースに保持しない仕様ですが、改ざんされていた期間中に通信された情報が外部へ取得された可能性が残ることから、「個人情報漏洩のおそれ」として公表しました。

不正に設置されたファイルの削除、改ざん箇所の復旧、脆弱性の修正は8月11日までに完了しています。なお、サイトの閲覧やチケット購入のみを行い、対象期間中にお問い合わせフォームを利用していない利用者については、現時点までの調査で情報漏洩やサイト閲覧によるマルウェア感染などの二次被害は確認されていません。

うんこミュージアム公式サイト不正アクセス事案のサマリー

• うんこミュージアムは2026年8月14日、公式サイトへの不正アクセスと改ざんを公表しました。
• 原因は、サイトで利用している第三者製ソフトウェアの脆弱性を悪用した不正アクセスです。
• 不正アクセスに利用されたソフトウェア名、製品名、バージョン、CVE番号は公表されていません。
• サイト内には攻撃者によって不正なファイルが設置されていました。
• 2026年8月10日17時04分から8月11日11時24分までにお問い合わせフォームを利用した4名が影響を受ける可能性があります。
• 漏洩した可能性がある情報は、氏名、メールアドレス、電話番号、お問い合わせ本文などです。
• 問い合わせデータはデータベースに保存しない仕様ですが、改ざん期間中の送信情報が第三者に傍受・取得された可能性を完全には否定できないとしています。
• 不正ファイルの削除、改ざん箇所の復旧、脆弱性修正は8月11日までに完了しました。
• 対象となる4名には個別に連絡しています。
• 対象期間中に問い合わせフォームを利用していない閲覧者やチケット購入者について、現時点で情報漏洩は確認されていません。
• サイト閲覧によるマルウェア感染などの二次被害も現時点では確認されていません。
• 個人情報保護委員会へ報告するとしています。
• 所轄警察署にも相談し、捜査に協力するとしています。
• 再発防止として第三者製ソフトウェア・関連プラグインの更新、管理者認証・アクセス制限の強化、監視・ログ解析体制の強化を挙げています。

項目	内容
公表日	2026年8月14日
対象	うんこミュージアム公式サイト
企画運営	株式会社たのしいミュージアム
事案	第三者製ソフトウェアの脆弱性を悪用した不正アクセス、サイト改ざん
不正アクセスの発覚日	公表資料では確認できませんでした
漏洩のおそれがある期間	2026年8月10日17時04分～8月11日11時24分
対象者	上記期間中にお問い合わせフォームを送信した4名
漏洩した可能性のある情報	氏名、メールアドレス、電話番号、お問い合わせ本文など
問い合わせ情報の保存	データベースには保持しない仕様
実際の情報流出	第三者による取得を確認したとはしておらず、可能性を完全には否定できない
閲覧者への影響	問い合わせフォーム未利用者について、情報漏洩は現時点で確認されず
マルウェア感染	サイト閲覧による二次被害は現時点で確認されず
原因ソフトウェア・CVE	公表されていません
対応	不正ファイル削除、改ざん復旧、脆弱性修正を8月11日までに完了
対象者への連絡	個別連絡済み
個人情報保護委員会への報告状況	公表時点では報告を行うと説明
警察への対応	所轄警察署へ相談し捜査に協力する方針

第三者製ソフトウェアの脆弱性を悪用されサイトを改ざん

うんこミュージアムによると、公式サイトで利用している第三者製ソフトウェアの脆弱性が悪用され、外部から不正アクセスを受けました。

攻撃によってサイトの一部が改ざんされ、不正なファイルも設置されていました。

公表資料では、脆弱性が存在したソフトウェアや関連プラグインの名称、バージョン、CVE番号、攻撃者が侵入した具体的な日時などは明らかにされていません。

そのため、今回の事案をWordPressや特定のCMS・プラグインの脆弱性と結び付けることはできません。

うんこミュージアムは、不正に設置されたファイルの削除、改ざん箇所の復旧、原因となった脆弱性の修正を2026年8月11日までに完了したとしています。

問い合わせフォームを利用した4名に個人情報漏洩の恐れ

個人情報漏洩の可能性があるのは、2026年8月10日17時04分から8月11日11時24分までの間に、公式サイトのお問い合わせフォームを利用した4名です。

対象となる情報は、以下のような問い合わせフォームへの入力内容です。

• 氏名
• メールアドレス
• 電話番号
• お問い合わせ本文
• その他フォームから送信した情報

公式サイトは、問い合わせフォームから送信されたデータをデータベースに保持しない仕様となっています。

通常であれば、Webサイトのデータベースを侵害されても過去の問い合わせデータが大量に取得される構造ではありません。

一方、今回はサイトそのものが改ざんされています。

そのため、データベースへの保存有無とは別に、利用者がフォームへ入力して送信する瞬間のデータを第三者が傍受・取得できた可能性が残ります。

うんこミュージアムは実際に4名分の情報が攻撃者へ渡ったと確認したとはしていませんが、取得された可能性を完全には否定できないとして公表しています。

「保存していないフォーム」でも情報漏洩は起こり得る

今回の事案は、Webサイト側で問い合わせ内容を保存しない設計であっても、サイトの改ざんによって送信中の情報が漏洩する可能性があることを示しています。

お問い合わせフォームでは一般的に、利用者がブラウザへ情報を入力し、送信ボタンを押すとWebサーバー側のプログラムがデータを受け取ります。

その後、メールで担当者へ転送したり、外部システムへ送信したりする構成では、データベースへ保存しないこともあります。

しかし、フォームを処理するプログラムやブラウザへ返すJavaScriptなどが攻撃者に改ざんされれば、正規処理とは別に入力情報を外部へ転送することも技術的には可能です。

今回の公表内容から、どのような仕組みで情報が取得され得たのかは明らかにされていません。

ただし、「データベースへ保存していないから、フォーム情報は漏洩しない」とは言い切れない点は、Webサイト運用上の重要なポイントです。

問い合わせをしていない閲覧者やチケット購入者への被害は確認されず

うんこミュージアムは、公式サイトを閲覧しただけの利用者やチケットを購入しただけの利用者について、対象期間中にお問い合わせフォームを利用していなければ、現時点までの調査で情報漏洩は確認されていないと説明しています。

また、改ざんされたWebサイトを閲覧したことによるマルウェア感染などの二次被害も確認されていません。

そのため、今回の公表内容からは「サイトを閲覧した利用者全員が影響を受けた」と判断する必要はありません。

影響対象として明示されているのは、指定された期間中にお問い合わせフォームを送信した4名です。

対象者へ個別連絡、フィッシングや不審な電話に注意

うんこミュージアムは、対象となる4名に対して、問い合わせ時に入力された連絡先へ個別に連絡しています。

漏洩した可能性がある情報には、氏名、メールアドレス、電話番号に加え、問い合わせ本文も含まれています。

問い合わせ本文には、利用者が相談した内容、来場予定、チケット、施設利用などに関する情報が含まれている可能性があります。

仮に攻撃者がこうした内容を取得していた場合、「先日のお問い合わせについて」「チケットに関する確認」など、実際のやり取りを踏まえたフィッシングメールやSMS、不審な電話に利用される可能性があります。

現時点でこうした二次被害は確認されていませんが、対象となった利用者は、うんこミュージアムを名乗る連絡であっても、添付ファイルやURLを不用意に開かないよう注意が必要です。

施設や運営会社からの連絡か判断できない場合は、受信したメールやSMSへ返信するのではなく、公式サイトに掲載されている問い合わせ先から確認する方が安全です。

ナカバヤシ「REVEX」でもWebサイト改ざん後に問い合わせ情報漏洩の可能性

企業や団体の公開Webサイトが侵害され、問い合わせ情報まで影響を受ける事案はほかにも発生しています。

2026年7月には、ナカバヤシの製品紹介サイト「REVEX」が不正アクセスと改ざんを受け、問い合わせ情報3,631件が第三者に閲覧・取得された可能性を否定できないことが公表されました。

ナカバヤシ「REVEX」のサイバー攻撃で、問い合わせに関する個人情報3,631件が漏えいした可能性

REVEXの事案では、氏名、住所、電話番号、メールアドレスなどが対象となりました。

今回のうんこミュージアムでは対象者は4名と規模が異なりますが、公開用Webサイトに設置された問い合わせ機能が、サイト侵害によって個人情報漏洩の問題へ発展するという点では共通しています。

問い合わせフォームはECサイトや会員システムほど大量の個人情報を保存していない場合でも、氏名、連絡先、問い合わせ内容といった利用者情報を処理します。

コーポレートサイトや施設サイトを「重要なデータを持たない公開サイト」として扱うのではなく、入力フォームを持つシステムとして脆弱性管理と監視を行う必要があります。

再発防止で第三者製ソフトウェアとプラグインの脆弱性管理を強化

うんこミュージアムは再発防止策として、第三者製ソフトウェアおよび関連プラグインの常時最新化と脆弱性管理の徹底を挙げています。

さらに、管理者アカウントの認証強化とアクセス制限、監視・ログ解析体制の強化による異常の早期検知・即時対応を進めるとしています。

Webサイトでは、CMS本体だけでなく、プラグイン、テーマ、フォーム機能、アクセス解析、画像処理、バックアップなど多くの外部コンポーネントが利用されます。

管理しているWebサイトについて、導入されているソフトウェアとバージョンを把握できていなければ、脆弱性が公表されても自社が影響を受けるかを判断できません。

セキュリティ対策Labでは、2026年6月にWordPressプラグイン「WP Maps Pro」の重大な脆弱性CVE-2026-8732が実際の攻撃に悪用された事例も取り上げています。

ただし、今回うんこミュージアムで悪用されたソフトウェアがWordPressまたはWP Maps Proであるとの情報はなく、両事案を直接結び付けるものではありません。

重要なのは、利用している第三者製コンポーネントを継続的に棚卸しし、脆弱性公開時に迅速に影響判定と更新を行える運用を用意しておくことです。

個人情報保護委員会へ報告、警察にも相談する方針

うんこミュージアムは、本件について個人情報保護委員会への報告を行うとしています。

また、所轄警察署にも相談した上で、捜査へ全面的に協力する方針です。

公表時点では、個人情報保護委員会への報告が完了したとは記載されていないため、「報告済み」ではなく「報告を行う方針」と整理するのが正確です。

対象となる4名にはすでに個別連絡を行っています。

情報システム部門への示唆

今回の事案でまず確認したいのは、自社が運営する公開Webサイトで利用している第三者製ソフトウェアを把握できているかです。

CMS本体だけでなく、プラグイン、テーマ、フォーム、ライブラリ、サーバーソフトウェアまで含めた構成情報を管理し、脆弱性が公表された際に「どのサイトが、どのバージョンを使っているか」を短時間で確認できるようにしてください。

外部の制作会社や保守会社へWebサイト運用を委託している場合も、脆弱性対応の責任範囲と更新期限を契約・運用ルールで明確にしておく必要があります。

また、問い合わせ情報をデータベースに保存していない場合でも安全とは限りません。

フォームを構成するJavaScript、PHPなどのサーバー側処理、メール転送処理が改ざんされれば、入力された情報が別の送信先へ転送される可能性があります。

そのため、Webサーバー上で不審なファイルが作成されていないか、JavaScriptやテンプレートが変更されていないかを監視するファイル改ざん検知も有効です。

管理画面についてはMFA、接続元IP制限、不要な管理者アカウントの削除を行い、WebサーバーやWAF、管理画面のログをサイト外のログ基盤へ保存してください。

不正アクセスを確認した場合は、攻撃者が設置したファイルを削除するだけではなく、侵入経路、侵害開始時期、フォームへのアクセス、外部通信の有無まで調査する必要があります。

特に問い合わせフォームを持つサイトでは、「データを保存しているか」だけでなく、「利用者が入力した情報がサーバーを通過するか」という観点で個人情報漏洩リスクを評価することが重要です。

出典

• 【お知らせとお詫び】当サイトへの不正アクセスによる個人情報漏えいのおそれについて – うんこミュージアム
• ナカバヤシ「REVEX」のサイバー攻撃で、問い合わせに関する個人情報3,631件が漏えいした可能性 – セキュリティ対策Lab
• WordPressプラグイン WP Maps Proで重大な脆弱性 CVE-2026-8732-サイバー攻撃への悪用確認 – セキュリティ対策Lab