千株式会社（東京都千代田区、代表取締役社長：千葉伸明）は2026年7月31日、同社が運営するインターネット写真販売サービス「はいチーズ！フォト」（8122.jp）への不正アクセスによる個人情報漏洩について、個人情報保護委員会へ確報を提出したことを公式サイトで報告しました。不正アクセスは2026年6月4日（木）18時頃から6月5日（金）9時頃にかけて発生しており、一部の注文に紐づく購入者・送付先の氏名・住所・電話番号・団体名（園名・学校名等）が外部に漏洩したことが確認されています。写真データそのものやクレジットカード情報・パスワードの漏洩は確認されていません。
はいチーズ！フォト不正アクセス・個人情報漏洩事案のサマリー
- 2026年6月4日18時頃〜6月5日9時頃にかけて外部からの不正アクセスが発生、約15時間で検知
- 漏洩が確認された情報：購入者および送付先の氏名・住所・電話番号・団体名（園名・学校名・スポーツ団体名等）
- 漏洩が確認されていない情報：写真データ・サムネイル画像・クレジットカード情報（非保有）・パスワード・メールアドレス
- 漏洩件数は個人情報保護委員会へ報告済みだが、対象者保護の観点から公表せず
- 2026年7月30日に個人情報保護委員会へ確報を提出（7月31日に公表）
- 漏洩対象者への個別連絡：メール（6月10〜11日）、メール未着者には圧着はがきを送付（7月3日〜）
- 7月31日時点で二次被害は確認されず、インターネット上での情報流通も未確認
整理表
| 項目 | 内容 |
|---|---|
| 運営会社 | 千株式会社（東京都千代田区） |
| 代表 | 千葉伸明 |
| サービス名 | はいチーズ！フォト（8122.jp） |
| サービス概要 | 保育園・幼稚園・学校・スポーツ団体等向けインターネット写真販売 |
| 不正アクセス発生 | 2026年6月4日（木）18時頃〜6月5日（金）9時頃 |
| 検知日時 | 2026年6月5日（金）9時（不正アクセス開始から約15時間後） |
| 漏洩が確認された情報 | 氏名・住所・電話番号・団体名（購入者および送付先） |
| 漏洩件数 | 個人情報保護委員会へ報告済み（公表しない方針） |
| 二次被害 | 確認されていない（7月31日時点） |
| 確報提出日 | 2026年7月30日 |
| サービス再開 | 2026年6月8日（月）5時 |
何が起きたか——15時間の不正アクセスで注文情報が漏洩
「はいチーズ！フォト」は、保育園・幼稚園・小学校・スポーツ団体等が撮影した子どもの写真を、保護者がインターネット上で閲覧・購入できるサービスです。利用団体（写真を提供する側）と保護者・購入者（写真を購入する側）の双方が利用するサービスの性格上、注文情報には購入者の住所・電話番号に加えて、どの保育園や学校に所属しているかを示す「団体名」が含まれており、この情報が今回の漏洩対象に含まれています。
不正アクセスは2026年6月4日（木）18時頃に開始され、翌6月5日（金）9時に同社が検知しました。検知後は即時に不正アクセス経路の遮断と脆弱性の修正を実施し、同日12時に第一報を公開するとともに写真販売システムを一時停止しました。6月5日15時には個人情報保護委員会および警察へ速報を行い、外部専門機関と連携した調査を開始しています。
6月8日（月）5時には必要な安全対策が完了し外部専門機関の評価を経てサービスを再開。その後6月9日（火）21時に漏洩対象者の特定が完了し、6月10日から11日にかけて対象者への個別メール連絡を完了しました。メールが届かなかった対象者に対しては7月3日から圧着はがきを送付しています。
お勧め記事：フォトクリエイトやスナップスナップ、不正アクセスで個人情報漏洩の恐れ-ハッカーがダークウェブで犯行声明
漏洩した情報と安全が確認された情報
千株式会社が確認した漏洩情報と安全情報を整理すると次のとおりです。
漏洩が確認された情報は「一部のご注文内容に紐づく」情報として、購入者および送付先の氏名・住所・電話番号・団体名（園名・学校名・スポーツ団体名等）の4項目です。なお同社は「漏えいした情報はご注文に紐づく登録情報であり、園・学校が管理する園児名簿や園内の記録等が含まれるものではない」と明記しており、園や学校が保有する独自の台帳データが漏洩したわけではないとしています。
一方、漏洩が確認されていない情報は写真データそのもの・注文に紐づくサムネイル画像・クレジットカード情報（同社では非保有）・パスワード・メールアドレスです。子どもの写真そのものの漏洩は確認されていません。
漏洩件数については、個人情報保護委員会への報告には正確な数値を記載しているとしながらも「対象のお客様の保護および二次被害防止の観点から、公表を差し控える」として非公開としています。
対応体制の強化——WAF・ISMS・CSIRT整備を推進
千株式会社は今回のインシデントを受けて、複数の体制強化策を実施・推進中です。
技術面では、不正な通信を遮断するWAF（ウェブアプリケーションファイアウォール）の強化と、外部専門機関によるシステム全体の横断的なセキュリティ診断を実施しました。ガバナンス面では、情報セキュリティ管理体制（ISMS）認証取得に向けた準備を進めているほか、CSIRT/PSIRT相当の体制を構築し、監視・初動対応・原因分析・再発防止を一元的に実施できる組織体制を整備しています。
二次被害への注意点
同社は「弊社や園・学校・写真館等の関係者を装った不審な電話・郵便物・訪問等には引き続きご注意ください」と呼びかけています。漏洩した情報（氏名・住所・電話番号・団体名）は、どの保育園や学校に通う子どもの保護者かを特定しやすくする組み合わせであり、なりすまし詐欺・不審な訪問・勧誘電話への悪用が懸念されます。
特に住所と電話番号の組み合わせは、フィッシング電話・訪問販売・不審者による特定に利用されうる情報です。「弊社からお客様に、本件に関連して金銭のお振り込みやクレジットカード情報の入力、パスワード等の個人情報の聞き取りをお願いすることは一切ない」と同社は明示しています。実害が生じた場合は下記専用窓口に申し出ることで個別対応を受けられるとしています。
問い合わせ先（保護者・購入者向け）：
- フォーム: https://help.8122.jp/
- 電話：0120-941-538（受付 10:00〜17:00／土日祝除く）
情報システム部門・関連施設の担当者が確認すべきこと
「はいチーズ！フォト」を利用している保育園・幼稚園・学校・スポーツ団体の情報管理担当者は、自施設が当該サービスに登録している情報の種類と範囲を確認し、保護者への必要な案内を実施することが求められます。
同社は利用団体・パートナー事業者向けに「案内文のひな型・FAQの提供、書面発送のご相談」を受け付けており、問い合わせ先は各担当営業またはヘルプページのお問い合わせ窓口とされています。
また、本サービスを業務で利用している場合や、類似の写真・文書管理サービスを外部委託で使用している組織においては、今回の事案を機にサービス提供事業者のセキュリティ対策状況（WAFの有無・ISMS認証・CSIRT体制等）を確認することを推奨します。子どもの個人情報および保護者の連絡先を扱うサービスは、漏洩した場合の社会的影響が大きく、委託先のセキュリティ水準の把握が特に重要な領域です。
