ハルメク「HALMEK up」管理画面に不正アクセス　社員1人のID・パスワード窃取、顧客管理情報へのアクセスはログで確認されず

株式会社ハルメクホールディングスは2026年9月11日、同社グループが運営するWebサイト「HALMEK up」の管理画面に不正アクセスが発生したと公表しました。

同社によると、2026年9月9日に管理画面への不正アクセスを確認し、外部専門家と調査を開始しました。原因は社員1名のID・パスワードが窃取されたことによるものとしています。

HALMEK up管理画面へのアクセスに必要なパスワードはすでに変更されています。9月11日時点の調査では、顧客管理情報へのアクセスはログ上で確認されていません。

一方、認証情報がどのような手段で窃取されたのか、不正アクセスがいつ始まったのか、攻撃者が管理画面上でどのような操作を行ったのかなどは公表されていません。ハルメクホールディングスは、被害の全容把握には時間を要する見込みとして調査を継続しています。

HALMEK up不正アクセスのサマリー

確認できている内容：

• ハルメクホールディングスは2026年9月11日、HALMEK up管理画面への不正アクセスを公表しました。
• 不正アクセスを確認したのは2026年9月9日です。
• 原因は社員1名のID・パスワードが窃取されたことによるものです。
• 同社は外部専門家の協力を得て影響範囲などの調査を進めています。
• HALMEK up管理画面へのアクセスに必要なパスワードは変更済みです。
• 9月11日時点では、顧客管理情報へのアクセスはログで確認されていません。
• システム会社を含む関係諸機関へ報告し、助言を受けながら対応を進めています。
• 雑誌や商品販売に関わる事業などへの影響は、現時点では確認されていません。
• 重大な業績影響が判明した場合は、改めて開示するとしています。

現時点で未公表・調査中の内容：

• 社員のID・パスワードが窃取された具体的な手段
• 認証情報が窃取された日時
• 不正アクセスの開始日時・継続期間
• 攻撃者が管理画面で実行した具体的な操作
• 顧客情報が閲覧・取得・外部送信された事実
• 影響を受けた可能性のある顧客数
• 多要素認証（MFA）の利用状況
• 攻撃者や攻撃グループの特定
• 個人情報保護委員会への報告有無

項目	内容
公表日	2026年9月11日
不正アクセス確認日	2026年9月9日
対象	Webサイト「HALMEK up」の管理画面
原因	社員1名のID・パスワード窃取
窃取手法	公表されていません
顧客管理情報へのアクセス	9月11日時点でログ上確認されず
情報流出	確認されていません。調査継続中
初動対応	外部専門家と調査開始、管理画面用パスワードを変更
事業への影響	雑誌・商品販売関連事業などへの影響は現時点でなし
関係機関への対応	システム会社を含む関係諸機関へ報告・連携
業績への影響	重大な影響があると判断した場合に開示予定

9月9日にHALMEK up管理画面への不正アクセスを確認

ハルメクホールディングスの適時開示によると、同社は2026年9月9日、グループのWebサイト「HALMEK up」の管理画面で不正アクセスが発生していることを確認しました。

同社は直ちに外部専門家の協力を得て調査を開始しています。

公表は確認から2日後の9月11日です。適時開示とHALMEK up上のお知らせで事案を公表しました。

HALMEK upは、50代以上の女性を主な読者とするWebメディアです。ハルメクグループの2026年向け媒体資料では、HALMEK upと通販を合わせたWeb全体の会員数を約34.7万人としています。

ただし、この約34.7万人はサービス全体の参考値であり、今回の不正アクセスの影響人数ではありません。

原因は社員1名のID・パスワード窃取

ハルメクホールディングスは、不正アクセスについて「社員1名のID・PASSWORDが窃取されたことによるもの」と説明しています。

確認済みなのは、正規の認証情報が第三者に取得され、HALMEK up管理画面への不正アクセスに利用されたという点です。

一方、認証情報の窃取方法は公表されていません。

現時点では、

• フィッシング
• インフォスティーラーなどのマルウェア
• パスワードの使い回し
• ブルートフォースやパスワードスプレー
• 内部不正
• 委託先からの流出

のいずれが原因だったのか確認できません。

一次情報にない侵入経路を推測して断定することは避ける必要があります。

管理画面のパスワードを変更

同社は不正アクセス確認後、HALMEK up管理画面へのサイトアクセスに必要なパスワードを変更しました。

ただし、公式発表では、

• 対象アカウントの無効化
• ログインセッションの失効
• MFAの導入または強制
• 接続元IP制限
• 管理画面の一時停止

などを実施したかは明らかにしていません。

同社は、今後、社員のID・パスワード管理体制を含むセキュリティ対策を強化するとしています。

顧客管理情報へのアクセスはログで確認されず

9月11日時点の調査では、顧客管理情報へのアクセスはログ上で確認されていません。

この表現は、

「顧客情報の漏えいが最終的に否定された」

という意味ではありません。

ハルメクホールディングス自身が、影響範囲を含めて調査中であり、被害の全容把握には時間を要する見込みとしています。

現段階で確認できるのは、

「公表時点の調査では、顧客管理情報へアクセスしたログが確認されていない」

という範囲です。

顧客情報が閲覧された可能性、取得された可能性、外部へ流出した可能性を最終的に否定するには、追加のログ解析やフォレンジック調査の結果を待つ必要があります。

雑誌・商品販売事業への影響は現時点でなし

ハルメクホールディングスは、9月11日時点で雑誌や商品販売に関わる事業などへの影響はないとしています。

HALMEK upへの不正アクセスを理由とする大規模な事業停止や、通販サービスの停止などは発表されていません。

業績への影響についても、今後重大な影響があると判断した場合には速やかに開示するとしています。

「不正アクセス確認」と「情報流出」は分けて見る必要

今回の初報で明確に確認されているのは、HALMEK upの管理画面へ第三者が不正アクセスしたことです。

一方、顧客情報については「アクセスがログで確認されていない」という段階です。

そのため、

「ハルメクから顧客情報が流出した」

「34万人分の個人情報が漏えいした」

などと表現する根拠はありません。

同社が今後、フォレンジック調査の結果として顧客情報へのアクセス、データ取得、外部送信などを確認した場合には、事案の評価が変わります。

続報では、

• 不正アクセス期間
• 管理画面で実行された操作
• ログの保全状況
• 顧客情報へのアクセス有無
• 情報流出の有無
• 対象件数
• 認証情報窃取の原因

などが確認ポイントになります。

管理画面の認証情報窃取で企業が確認したいポイント

社員の正規アカウントが悪用されると、WAFやネットワーク境界の防御だけでは検知が難しい場合があります。

管理画面やCMS、SaaSの管理者アカウントを運用する企業では、次の項目を確認できます。

• 管理画面でMFAを必須化しているか
• 管理者権限を必要最小限の担当者だけに付与しているか
• 管理用アカウントと通常業務アカウントを分離しているか
• 退職・異動時に権限を即時削除できるか
• 新しい端末・国・IPアドレスからのログインを検知できるか
• 管理画面へのログイン履歴と操作ログを十分な期間保存しているか
• パスワード変更だけでなく、既存セッションやAPIトークンを失効できるか
• 認証情報が盗まれた場合に関連するパスワードやシークレットを横断的にローテーションできるか
• IDプロバイダーやEDRのログとWeb管理画面のログを突合できるか
• フィッシング耐性のある認証方式を管理者へ優先適用できるか

認証情報が盗まれた場合、攻撃者の操作が正規ユーザーのログインとして記録されることがあります。

そのため、認証成功・失敗だけでなく、「どこから」「どの端末で」「何を操作したか」まで追跡できるログ設計が必要です。

不正アクセスの基本的な仕組みや企業側の対策は、不正アクセスとは？企業が知っておくべき手口・被害・対策でも整理しています。

個人情報を扱うシステムでインシデントが発生した際の確認事項については、情報漏洩対策とは？企業が実施すべき原因別の予防策と発生時の対応も参考になります。

出典

• 当社HALMEK upサイトへの不正アクセスに関するお知らせ – 株式会社ハルメクホールディングス
• 当社HALMEK upサイトへの不正アクセスに関するお知らせ – HALMEK up
• 「HALMEK up」媒体資料 – 株式会社ハルメク・エイジマーケティング