山田ボデー工業所、不正アクセスで旧ECサイトDBを第三者が実際に閲覧　2006年頃～2016年6月頃の情報漏えいのおそれ

有限会社山田ボデー工業所は2026年9月1日、5月19日に確認したメールシステム用サーバーへの不正アクセスについて、外部専門家による調査を終え、最終報を公表しました。

調査の結果、被害を受けたサーバーには、過去に運用していたECサイトに関連するデータベースが残存していたことが新たに判明しました。この旧ECサイトDBについては、情報が窃取されたことを示す明確な痕跡は確認されなかった一方、第三者が実際にデータベースへアクセスし、情報を閲覧したことを示す操作が確認されています。

旧ECサイトDBには、2006年頃から2016年6月頃までに同サイトを利用・登録した顧客の会社名、住所、連絡先、氏名、注文・取引に関する情報が保存されていました。対象者を網羅的に特定できる資料が残っていないため、個別通知は行わず、個人情報保護委員会へ相談の上、今回の公表をもって案内に代えるとしています。

また、メールシステムについても一部情報が第三者からアクセス可能な状態にあり、情報漏えいの可能性を完全には否定できないとしています。原因は、被害サーバーで使用していた管理ツールの脆弱性を悪用した不正アクセスと判断されています。

山田ボデー工業所の不正アクセス最終報のサマリー

• 山田ボデー工業所は2026年9月1日、5月19日に確認した不正アクセスについて最終報を公表しました。
• 被害を受けたのは、メールシステムを運用していたサーバーです。
• 最終調査で、同サーバー内に過去のECサイト関連データベースが残存していたことが新たに判明しました。
• 旧ECサイトDBには、2006年頃から2016年6月頃までに利用・登録した顧客情報が保存されていました。
• 第三者が旧ECサイトDBへ実際にアクセスし、情報を閲覧したことを示す操作が確認されています。
• 一方、旧ECサイトDBから情報が窃取されたことを示す明確な痕跡は確認されていません。
• このため、旧ECサイトの顧客情報については「情報漏えいの可能性を否定できない」としています。
• メールシステムについても、閲覧・窃取を示す明確な痕跡はないものの、一部情報が第三者からアクセス可能な状態でした。
• 2026年4月1日から5月19日までに同社とメールを送受信した顧客・取引先などの情報に漏えいのおそれがあります。
• 一部の新規会員登録メールには、登録時に設定されたパスワードが含まれていました。
• 旧ECサイトDBにクレジットカード情報が保存されていたデータや痕跡は確認されていません。
• 原因は、被害サーバーで使用していた管理ツールの脆弱性悪用と判断されています。
• 現時点で情報の外部公開や不正利用などの二次被害は確認されていません。
• 旧ECサイト利用者については、対象者を合理的かつ網羅的に特定できないため、個別通知を行わず今回の公表を案内に代えています。

項目	内容
最終報公表日	2026年9月1日
不正アクセス確認日	2026年5月19日
対象組織	有限会社山田ボデー工業所
対象システム	メールシステムを運用していたサーバー
原因	サーバーで使用していた管理ツールの脆弱性悪用
メール情報	閲覧・窃取の明確な痕跡は未確認。ただし第三者からアクセス可能な状態で漏えいの可能性を否定できず
旧ECサイトDB	第三者が実際にアクセスし、情報を閲覧した操作を確認
旧ECサイト対象期間	2006年頃～2016年6月頃
旧ECサイト対象情報	会社名、住所、連絡先、氏名、注文・取引情報
クレジットカード情報	旧ECサイトDBを含む本サーバー内に保存データ・保存痕跡なし
対象件数	公表されていません
二次被害	外部公開や不正利用などは現時点で確認されていません
個人情報保護委員会	報告・相談を実施
対応	セキュリティ対策を強化し再発防止

第一報では「ECサイトは別環境」、最終調査で旧ECサイトDBの残存が判明

山田ボデー工業所は2026年5月27日の第一報で、5月19日にメールシステムを構築するサーバーへの不正アクセスを確認したと公表していました。

当時の説明では、被害を受けたサーバーは社内ネットワークから分離された独立環境で構築・運用されており、同社のECサイトと関連システムについても当該サーバーとは別環境で運用しているとしていました。

そのため第一報時点では、現在のECサイト側への直接的な影響は確認されていないという整理でした。

しかし、その後の詳細調査で、被害サーバー内に「過去に運用していたECサイト」に関連するデータベースが残存していたことが新たに判明しました。

現在運用しているECサイト環境が侵害されたという意味ではありませんが、過去のECサイトデータがメールシステム用サーバー内に残っており、今回の侵害対象になった点は第一報からの重要な更新です。

セキュリティ対策Labでは第一報について、以下の記事で取り上げています。

山田ボデー工業所、メールシステム用サーバーへの不正アクセスを公表

旧ECサイトDBへ第三者が実際にアクセスし情報を閲覧

今回の最終報で最も重要なのは、旧ECサイトDBについて、単に「アクセス可能だった」だけではなく、第三者が実際にデータベースへアクセスし、情報を閲覧したことを示す操作が確認された点です。

一方、山田ボデー工業所は、情報が窃取されたことを示す明確な痕跡までは確認できなかったとしています。

そのため、事実関係は次のように分ける必要があります。

• 第三者による旧ECサイトDBへのアクセス：確認済み
• 第三者による情報の閲覧操作：確認済み
• データの外部持ち出し・窃取：明確な痕跡は確認されず
• 情報漏えい：可能性を否定できない
• 公開・不正利用などの二次被害：現時点で未確認

「閲覧が確認された」ことと「外部へのデータ流出が確認された」ことは同じではありません。本件ではDBへの不正アクセスと閲覧操作は確認されていますが、外部への持ち出しを裏付ける明確な証拠は確認されていません。

旧ECサイトには2006年頃～2016年6月頃の顧客情報

旧ECサイト関連データベースには、2006年頃から2016年6月頃までの間に同サイトを利用・登録した顧客情報が保存されていました。

漏えいのおそれがある項目は以下です。

• 会社名
• 住所
• 連絡先
• 氏名
• 注文・取引に関する情報

対象件数は公表されていません。

また、フォレンジック調査の結果、今回のサーバー内にはクレジットカード情報が保存されているデータや、過去に保存されていた痕跡も確認されなかったとしています。

古い顧客データが長期間サーバーに残存

今回の事案では、2016年6月頃までに運用していた旧ECサイトの顧客データが、2026年の不正アクセス時点でも被害サーバー内に残っていたことになります。

最も古い情報は2006年頃の利用者に関するものであり、約20年前に取得された可能性のある顧客情報も含まれます。

山田ボデー工業所は、なぜ旧ECサイトDBがメールシステム用サーバーに残存していたのか、業務上の保存目的や保存期間については説明していません。

ただし、サービスを終了・移行した後もデータが別用途のサーバーに残り続けていた場合、現在利用しているシステムだけを棚卸ししていても、過去資産に残存する個人情報を見落とす可能性があります。

今回の事案は、システム廃止や移行時にデータそのものを削除・移管できているかを確認する「データライフサイクル管理」の重要性を示す事例です。

旧ECサイト利用者への個別通知は行わず

旧ECサイトの利用者については、対象者への個別通知を行いません。

山田ボデー工業所によると、当時のECサイトのバックアップデータや、対象者を合理的かつ網羅的に特定できる資料が現在は残っていません。

さらに、古い登録情報を使って個別通知を行うと、住所やメールアドレスの変更などによって宛先を誤り、別の個人情報漏えいを発生させる可能性があります。

このため、同社は個人情報保護委員会へ相談した上で、9月1日の公表をもって対象となる可能性のある利用者への案内に代えています。

古いデータを長期間保持する場合、「漏えい時に誰のデータなのか特定できるか」「正しい連絡先が残っているか」という事故後対応上の問題も生じることが分かります。

メールシステムも漏えいの可能性を否定できず

メールシステムについては、情報が閲覧または窃取されたことを示す明確な痕跡は確認されませんでした。

一方、一部の情報について第三者からアクセス可能な状態になっていたことから、山田ボデー工業所は情報漏えいの可能性を完全には否定できないとしています。

対象となるのは、2026年4月1日から5月19日までの間に同社とメールを送受信した顧客、取引先などの情報です。

漏えいのおそれがある情報には、メール本文などに含まれていた以下の情報があります。

• 氏名
• 会社名
• 住所
• 電話番号
• メールアドレス
• 会員登録に関する情報
• 注文申込・審査に関する情報
• 取引に関する情報
• 配送に関する情報
• 問い合わせなどに関する情報

実際の対象項目はメールの内容によって異なります。

一部の会員登録メールには設定したパスワードも含まれる

2026年4月1日から5月19日までの対象期間中に、同社ECサイトで新規会員登録をした顧客については注意が必要です。

山田ボデー工業所によると、新規会員登録時に送信されたメールには、利用者が登録時に設定したパスワードが含まれていました。

メールシステムについて実際の閲覧や窃取を示す明確な痕跡は確認されていませんが、第三者からアクセス可能な状態だったことから、同社は該当顧客に対してECサイトのパスワードを変更するよう呼びかけています。

他サービスで同じパスワードを使用している場合についても変更を推奨しています。

これは今後想定されるパスワードリスト攻撃などの二次被害を防ぐ観点から重要です。

ただし、今回パスワードが実際に攻撃者へ取得されたことや、それを使った不正ログインが発生したことまでは確認されていません。

一部顧客・取引先には個別連絡

メールに関する漏えいのおそれがある対象のうち、山田ボデー工業所は以下の顧客へ個別に連絡しています。

• 同社ECサイトで注文し、2026年5月22日までに取引が完了した顧客
• Yahoo!ショッピング・Yahoo!オークションで注文し、2026年5月22日までに取引が完了した顧客
• 法人向け後払い決済サービス「Paid」を利用し、2026年5月19日までに取引が完了した顧客

一方、注文したものの取引が完了しなかった顧客、新規会員登録のみを行った顧客、Paidへ申し込んだものの利用に至らなかった顧客については、個人情報保護委員会へ確認の上、今回の公表をもって案内に代えています。

販促メールなどを同社へ送信していた人についても、継続的な連絡先管理をしておらず、サーバーログの消去などにより対象者を合理的に特定できないため、個別通知は行わないとしています。

原因は管理ツールの脆弱性悪用

フォレンジック調査の結果、山田ボデー工業所は、被害サーバーで使用していた「管理ツールの脆弱性」を悪用した不正アクセスが原因と判断しています。

第一報では原因や侵入経路について調査中でしたが、最終報で脆弱性悪用だったことが明らかになりました。

一方、管理ツールの製品名、脆弱性の内容、CVE番号、修正版などは公表されていません。

そのため、特定製品の既知脆弱性が悪用されたのか、ゼロデイだったのか、公開済みパッチが存在していたのかについては確認できません。

現時点で情報公開や不正利用など二次被害は確認されず

山田ボデー工業所は、メールシステムと旧ECサイトDBに関連する情報について、現時点で外部へ公開された事実や、不正利用などの二次被害は確認していないとしています。

ただし、情報漏えいの可能性を否定できない状態であることから、対象者は同社を装ったメールや、注文・取引情報を利用したなりすまし連絡などに注意する必要があります。

特に、氏名、会社名、住所、メールアドレス、注文・取引情報などを組み合わせることで、取引先を装った標的型メールやフィッシングの信頼性を高められる可能性があります。

現時点でこうした二次被害が実際に確認されたわけではないため、今後想定されるリスクとして警戒する必要があります。

情報システム部門への示唆

今回の事案では、メールシステム用サーバーへの不正アクセスを調査する過程で、過去に運用していたECサイトのデータベースが同じサーバー内に残存していたことが判明しました。

情報システム部門が確認すべきポイントは、現在稼働中のシステムだけではありません。

システムの更改やクラウド移行、ECサイトのリニューアル、サーバー統合などを行った後、旧環境のデータがバックアップ、移行用ファイル、DBダンプ、検証環境などとして残存していないか定期的に棚卸しする必要があります。

特に個人情報については、「保存できるから残す」のではなく、

• 何の目的で保存するのか
• いつまで保持するのか
• 期限後にどう削除するのか
• システム廃止時にデータ削除を誰が確認するのか
• バックアップや旧サーバーにも同じデータが残っていないか

といったライフサイクルを明確にすることが重要です。

また、今回の旧ECサイト利用者では、データ自体は残っている一方、誰が対象者なのかを網羅的に特定するための資料が残っていないという問題も生じました。

データを長期保管する場合は、漏えい時の影響評価や通知が可能な状態を維持できるかも含めて考える必要があります。利用目的がなくなったデータを削除することは、侵害時の被害範囲を縮小するだけでなく、事故後対応の複雑化を避けることにもつながります。

さらに、本件では管理ツールの脆弱性が侵入経路となりました。管理系ツールはインターネットからのアクセス制限、脆弱性情報の継続監視、速やかな更新、多要素認証、管理ログの保全などを組み合わせ、侵害された場合の影響を限定する設計が求められます。

出典

• 弊社サーバーへの不正アクセスに関するお知らせ（最終報） – 有限会社山田ボデー工業所
• 弊社サーバーへの不正アクセスに関するお知らせ – 有限会社山田ボデー工業所
• 山田ボデー工業所、メールシステム用サーバーへの不正アクセスを公表 – セキュリティ対策Lab