ウェブライフ、OEM向けホームページ作成サービスに不正アクセス　最大7,425名の個人情報漏洩の恐れ

株式会社ウェブライフは2026年8月18日、同社が提供するOEM向けホームページ作成サービスで第三者による不正アクセスが発生し、最大7,425名の顧客情報が外部に漏えいした可能性があると公表しました。

同社は8月17日にシステム監視で異常なアクセスを検知し、調査を開始しました。その結果、8月14日から17日にかけて不正アクセスがあり、一部の顧客情報について閲覧・改ざんされた可能性が判明したとしています。

原因については、OEMパートナーの顧客管理システムにおけるアクセス制御部分のセキュリティ対策に不備があったと説明しています。アクセス制御の不備は既に修正し、同じ手法による情報取得ができない状態であることを確認しています。

対象はOEMパートナーを通じてサービスを利用している顧客で、ウェブライフが直販するホームページ作成サービス「BiNDup」の利用者は今回の対象外です。

ウェブライフ不正アクセスのサマリー

• ウェブライフは2026年8月18日、OEM向けホームページ作成サービスへの不正アクセスを公表しました。
• 2026年8月17日にシステム監視で異常なアクセスを検知し、調査を開始しました。
• 不正アクセスは2026年8月14日から17日にかけて発生したとしています。
• 対象はOEMパートナーを通じて同社サービスを利用している顧客です。
• 対象人数は最大7,425名で、現在も詳細を精査しています。
• 氏名、住所、メールアドレス、電話番号、生年月日などが外部に漏えいした可能性があります。
• 同社は、一部の顧客情報について閲覧・改ざんされた可能性があると説明しています。
• パスワードとクレジットカード情報については、現時点で漏えいを確認していません。
• 直販のホームページ作成サービス「BiNDup」の利用者は今回の対象外です。
• 原因として、OEMパートナーの顧客管理システムにおけるアクセス制御部分のセキュリティ対策の不備が示されています。
• アクセス制御の不備は修正済みで、同一手法による情報取得ができない状態を確認しています。
• 2026年8月18日時点で、本件に起因する具体的な二次被害は確認されていません。
• 個人情報保護委員会への報告と関係機関への相談を速やかに行うとしています。
• 侵入に利用された具体的な脆弱性、攻撃者、ランサムウェアの有無などは公表されていません。

項目	内容
公表日	2026年8月18日
発生日	2026年8月14日～17日
検知日	2026年8月17日
対象組織	株式会社ウェブライフ
対象サービス	OEMパートナーを通じて提供するホームページ作成サービス
インシデント	第三者による不正アクセス
原因	顧客管理システムのアクセス制御部分におけるセキュリティ対策の不備
対象人数	最大7,425名、詳細精査中
漏えいした可能性のある情報	氏名、フリガナ、住所、郵便番号、メールアドレス、電話番号、FAX番号、携帯電話番号、性別、職業、生年月日など
パスワード	現時点で漏えいを確認していません
クレジットカード情報	現時点で漏えいを確認していません
情報改ざん	一部情報が閲覧・改ざんされた可能性
対象外	ウェブライフ直販のBiNDup利用者
二次被害	2026年8月18日時点で具体的な報告なし
対応	アクセス制御の不備を修正、同一手法による情報取得ができないことを確認
個人情報保護委員会への報告	速やかに報告すると公表。実施完了の記載は確認できませんでした
攻撃者	確認できませんでした
ランサムウェア	確認できませんでした

8月17日に異常アクセスを検知、14日まで遡って不正アクセスを確認

ウェブライフによると、2026年8月17日にシステム監視で異常なアクセスを検知し、調査を開始しました。

その後の調査で、8月14日から17日にかけて第三者による不正アクセスが発生していたことが判明しました。

同社の公表では、一部の顧客情報が改ざんされ、外部へ漏えいした可能性があるとしています。また、経緯の説明では、情報を閲覧・改ざんされた可能性があるとしています。

現時点では調査が継続しているため、外部へ持ち出された情報の範囲や件数が確定した段階ではありません。

「最大7,425名」は漏えいが確認された人数ではなく、今回の事案で影響を受ける可能性がある対象人数の上限です。

氏名・住所・メールアドレス・電話番号などが対象

漏えいした可能性がある情報として、ウェブライフは次の項目を挙げています。

• 氏名・フリガナ
• 住所・郵便番号
• メールアドレス
• 電話番号・FAX番号・携帯電話番号
• 性別・職業・生年月日
• 個人情報を含まないサービス管理情報の一部

対象には契約法人情報と契約個人情報が含まれます。

一方、パスワードとクレジットカード情報については、2026年8月18日時点で漏えいを確認していないとしています。

ここは「パスワードやカード情報が漏えいしていないことが確定した」とは分けて読む必要があります。同社は現在も詳細な事実関係を調査しており、公表時点で確認された範囲を示したものです。

原因は顧客管理システムのアクセス制御部分の不備

ウェブライフは、原因について「OEMパートナー様の顧客管理システムのアクセス制御部分」のセキュリティ対策に不備があったと説明しています。

不正アクセスによって情報が閲覧・改ざんされた可能性があることが判明したとしています。

アクセス制御は、利用者やシステムがどの情報へ、どの権限でアクセスできるかを制限する仕組みです。アクセス制御に不備があると、本来アクセスできない利用者や外部の第三者から情報を参照・変更できる状態になる場合があります。

ただし、今回どのような条件でアクセス制御を回避できたのか、認証を必要としない状態だったのか、特定のAPIや画面が悪用されたのかなど、具体的な技術情報は公表されていません。

CVEなどのソフトウェア脆弱性が悪用されたとの説明もなく、現時点で侵入手法を推測することはできません。

直販のBiNDup利用者は対象外

今回の対象は、ウェブライフのOEMパートナーを通じてサービスを利用している顧客です。

ウェブライフは、自社開発のWeb制作サービス「BiND」をOEMとしてパートナー企業のブランドで展開できる仕組みを提供しています。

同社公式サイトでは、OEMについて「BiND」をパートナー企業のオリジナルブランドとして販売できる事業として説明しています。

一方、ウェブライフが直接販売しているホームページ作成サービス「BiNDup」の顧客は、今回の不正アクセスの対象ではないと明記されています。

そのため、BiNDupを利用しているすべての顧客が今回のインシデントの影響を受けたと解釈するのは誤りです。

OEMパートナーへ順次連絡、顧客通知は各社と調整

ウェブライフは、影響を受けるOEMパートナー企業へ8月18日から順次、状況と対応について個別に案内しています。

OEMパートナー経由でサービスを利用している顧客への個別通知については、各OEMパートナーと連携・相談したうえで進めるとしています。

OEM型のサービスでは、システムを開発・運用する事業者と、最終利用者へサービスを提供するブランド企業が異なる場合があります。

インシデント発生時には、技術的な調査だけでなく、どの事業者がどの顧客へ通知するか、問い合わせ窓口をどこに置くか、個人情報保護法上の対応を誰が担うかといった連携も必要になります。

セキュリティ対策Labでは、SaaS事業者への不正アクセスが複数の利用企業へ波及した事例として、「メール配信システム める配くん、不正アクセスで情報漏洩の恐れ」でも、サービス提供者と利用組織の双方に必要となる対応を整理しています。

アクセス制御の不備は修正済み、調査は継続

ウェブライフは緊急対応として、アクセス制御の不備を修正しました。

同社は、同じ手法による情報取得ができない状態であることを確認したとしています。

ただし、インシデント対応自体が終了したわけではありません。

現在も詳細な事実関係を確認しており、調査結果に応じて追加対応を行います。また、個人情報保護委員会への報告と関係機関への相談を速やかに行うとしています。

8月18日の公表では、「個人情報保護委員会への報告を完了した」とは記載されていません。そのため、現時点では報告予定として扱う必要があります。

二次被害は未確認、フィッシングやなりすましに注意

2026年8月18日時点で、本件に起因する具体的な二次被害の報告は確認されていません。

一方、漏えいした可能性のある情報には、氏名、メールアドレス、電話番号、住所、生年月日などが含まれます。

これらの情報が実際に外部へ流出していた場合、今後、顧客情報を組み合わせたフィッシングメール、なりすまし連絡、詐欺電話などに悪用される可能性があります。

ウェブライフも、登録しているメールアドレスや電話番号宛てに不審な連絡が届く可能性があるとして注意を呼びかけています。

不審なメールを受け取った場合は、本文中のURLへアクセスせず、添付ファイルを開かず、記載された電話番号へ直接折り返さないよう求めています。

現時点で二次被害が発生したとする情報ではなく、今後想定されるリスクへの注意喚起です。

情報システム部門への示唆

今回の事案では、アクセス制御部分の不備が不正アクセスの原因として公表されています。

WebサービスやSaaSでは、ログイン画面の認証強度だけでなく、認証後にユーザーがアクセスできるデータの範囲を正しく制御できているかが重要です。

特にOEMやマルチテナント型のサービスでは、複数企業・複数顧客のデータを同じシステムで扱うため、テナント間のアクセス分離に問題があると、一つの不備が多数の顧客へ波及する可能性があります。

開発・運用側では、ユーザーIDやURLの変更だけで他契約者の情報を参照できないか、APIごとに認可処理が実装されているか、管理者機能へ一般ユーザーが到達できないかを継続的に確認する必要があります。

OEMサービスを利用する企業側も、提供元のセキュリティ対策だけではなく、インシデント時の役割分担を契約時に確認しておく必要があります。

具体的には、ログ保存期間、調査への協力、顧客への通知、個人情報保護委員会への報告、問い合わせ対応、再発防止策の共有などです。

今回のウェブライフの公表は第一報に近く、最大7,425名という対象範囲も詳細精査中です。

今後、外部への情報持ち出しが確認されたのか、閲覧・改ざんされた情報の具体的範囲、アクセス制御不備の詳細、影響を受けたOEMパートナー数などが追加で公表されるかが確認点になります。

関連記事

メール配信システム める配くん、不正アクセスで情報漏洩の恐れ-プリマハム・東京書籍・NPO法人など10社超に影響

外部サービスへの不正アクセスが、サービスを利用する複数の組織へ波及した事例です。SaaS・委託先を含めたインシデント対応と顧客通知の論点を整理しています。

出典

• 【重要】不正アクセスによる情報漏えいの可能性に関するお詫びとご報告 – 株式会社ウェブライフ
• ビジネスパートナー – BiNDup
• 会社情報 – 株式会社ウェブライフ