うんこミュージアム改ざん DB非保存でも漏えい

【更新 2026-08-19】本記事を見直し、修正しました。主な修正点：出典・参考リンクに挙げていたIPAテクニカルウォッチ「ウェブサイト改ざんの脅威と対策」がIPAのサイトで公開終了（404）となっていたため、国立国会図書館のインターネット資料収集保存事業（WARP）に保管された版へURLを差し替えました。

エンターテインメント施設「うんこミュージアム」の公式サイトが不正アクセスを受けて改ざんされ、問い合わせフォームに送信された4名分の個人情報が漏えいした可能性があると、運営する株式会社たのしいミュージアムが2026年8月14日に公表しました。原因は「当サイトで利用している第三者製のソフトウェアの脆弱性」とされています。

件数だけ見れば小さな事案です。しかしこの事案には、自社の公開Webサイトを預かる情シスが押さえておくべき論点が2つ含まれています。ひとつは「送信データをデータベースに保存していない」設計なのに漏えいのおそれと判断されたこと。もうひとつは、4名でも個人情報保護委員会への報告対象になることです。

この記事でわかること

事案の事実関係（期間・原因・被害範囲・対応）
「DBに保存しない」フォームでもデータが抜かれる理屈
4名の漏えいでも報告義務が生じる法的な根拠
自社の公開サイトで今日確認すべきポイント

何が起きたのか
1. 「第三者製ソフトウェア」とは何を指すのか
なぜ「保存していない」のに漏えいのおそれなのか
4名でも報告義務がある
現場目線の課題──広報サイトは情シスの死角
情シスはどうすべきか
まとめ
出典

何が起きたのか

公表されている事実を整理します。

項目	内容
対象サイト	うんこミュージアム公式サイト（運営：株式会社たのしいミュージアム）
改ざん期間	2026年8月10日 17時04分～ 8月11日 11時24分（約18時間）
原因	サイトで利用していた第三者製ソフトウェアの脆弱性を悪用した不正アクセス。不正なファイルを設置されるなどしてサイトの一部が改ざんされた
影響	上記期間に問い合わせフォームから送信した4名の氏名・メールアドレス・電話番号・問い合わせ本文等
復旧	2026年8月11日までに不正ファイルの削除、改ざん箇所の復旧、脆弱性の修正を完了
公表	2026年8月14日
その他の対応	対象者への個別連絡、個人情報保護委員会への報告、警察への相談・捜査協力

「第三者製ソフトウェア」とは何を指すのか

公表では具体的な製品名は明かされていません。一般にWebサイトで使われる「第三者製ソフトウェア」とは、自社で作ったものではなく、外部から導入して動かしているプログラム一式を指します。CMS本体（WordPress等）、そのプラグインやテーマ、問い合わせフォームの部品、アクセス解析やチャットのタグ、サーバ側のPHP・ライブラリなどが該当します。

ここが盲点になりやすい理由は明確です。これらは「導入した」という記憶がないまま動いていることが多いからです。制作会社が入れたプラグイン、キャンペーン時に貼った外部タグ、テーマに同梱されたライブラリ。資産管理台帳には載らず、更新の担当者も決まっていない。それでも公開サーバ上で毎日動き続けています。

本件の具体的な製品は非公表のため、自社が同じ製品を使っているかを直接確認することはできません。代わりに、自社サイトについて次を確認してください。

CMS本体・プラグイン・テーマの一覧と、それぞれの最終更新日（管理画面の更新一覧で確認できます）
すでに開発が終了している（更新が止まっている）プラグインが残っていないか
公開ディレクトリに、身に覚えのない.phpファイルや不自然な更新日時のファイルがないか
制作会社・運用委託先との契約に、脆弱性対応と更新作業の責任範囲が書かれているか

なぜ「保存していない」のに漏えいのおそれなのか

本件でもっとも実務的な示唆があるのはこの点です。運営側は「当サイトでは送信データをデータベースに保持しない仕様となっております」と説明したうえで、それでも「改ざん期間中に送信されたデータが第三者に傍受・取得された可能性を完全には否定できない」と判断しています。

答えは単純です。攻撃者が狙ったのは「保管されたデータ」ではなく「通過中のデータ」だからです。サイトの一部を改ざんしてファイルを仕込める状態になれば、フォームの送信処理そのものに手を入れられます。利用者がフォームに入力した内容を、正規の送信先に届けると同時に攻撃者の手元へ写し取る──という仕掛けは、保存の有無とは無関係に成立します。ECサイトのクレジットカード情報を盗む「Webスキミング」と発想は同じです。

なお、本件で実際にどのような仕掛けが置かれていたかは公表されていません。運営側も「否定できない」という表現にとどめており、確定した窃取ではない点は正確に読み取る必要があります。

ここから引き出すべき教訓は次のとおりです。

「個人情報を保存していないから被害は限定的」という説明は成り立たない。改ざんされた期間に通過したデータは、すべて漏えいのおそれの対象になります。
影響範囲の算定基準が「保有件数」ではなく「改ざん期間中の通過件数」になる。だからこそ、改ざんの開始時刻と終了時刻を分単位で特定できるかが被害範囲の確定を左右します。本件が「17時04分から11時24分まで」と分単位で示せたのは、ログが残っていたからにほかなりません。
アクセスログの保存期間が、そのまま説明責任の限界になる。ログが3日分しかなければ、3日より前に何が起きたかは「わからない」としか言えません。

4名でも報告義務がある

「4名なら社内処理で済むのでは」と考えるのは危険です。個人情報保護法では、報告義務の対象となる事態が個人情報保護法施行規則第7条に定められており、そのうち第3号は「不正の目的をもって行われたおそれがある行為による漏えい等」です。この号には件数の要件がありません。1名でも該当すれば報告対象です。

規則第7条	対象事態	件数要件
第1号	要配慮個人情報の漏えい等	なし
第2号	財産的被害のおそれがある漏えい等	なし
第3号	不正の目的をもって行われたおそれがある行為による漏えい等	なし
第4号	1,000人を超える本人に係る漏えい等	1,000人超

さらに見落としやすいのが、第3号の条文が対象を「個人データ」だけに限っていない点です。条文は「当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」を含むと定めています。フォームに入力され、まだデータベースに保存されていない段階の情報も射程に入るということです。「DBに入れていないから個人データではない」という整理では逃げられません。

報告の期限は、速報が「知った後速やかに」（おおむね3～5日以内）、確報が原則30日以内。ただし第3号に該当する場合の確報は60日以内とされています。不正アクセス事案は原因調査に時間がかかるため、期限が延ばされているわけです。

本件は8月11日までに復旧を終え、8月14日に公表しています。速報期限とほぼ重なる速さで対外公表まで到達しており、この点は率直に評価してよいと考えます。関連して、漏えいが確認できなくても報告義務が生じる考え方はCRM開発会社が侵害、漏えいなしでも報告義務でも扱っています。

現場目線の課題──広報サイトは情シスの死角

正直に書くと、この種の事案がなくならない理由は技術ではなく体制にあります。コーポレートサイトや施設・キャンペーンサイトは、情シスの管轄外に置かれていることが多いのです。所管は広報・宣伝部門、構築と運用は制作会社、サーバはその制作会社が契約したレンタルサーバ。情シスがログインアカウントすら持っていないケースは珍しくありません。

そうなると、脆弱性情報が出ても「誰が更新を判断するのか」が決まっていません。制作契約が納品で終わっていれば、保守の予算もついていない。結果として、公開サーバ上で数年前のプラグインが動き続けます。IPAへの脆弱性届出でも累計の約7割がウェブサイトに関するもので、この構図は業界全体の課題です。

そしてこの事案が示すとおり、被害を受けるのは自社ではなく、問い合わせをくれた利用者です。氏名・電話番号・問い合わせ本文が渡れば、そのまま自然な文面のなりすましメールや電話に転用できます。「4件だけ」で済ませられない理由がここにもあります。同種の改ざん事案への初動はWebサイト改ざんで外部誘導、情シスの初動と対策にまとめています。

情シスはどうすべきか

自前で長大なチェックリストを作るより、公的機関の指針をそのまま社内・委託先との共通言語にするのが早道です。

安全なウェブサイトの運用管理に向けての20ヶ条（IPA）……運用フェーズに絞った点検項目集です。制作会社との保守契約の見直しや、委託先への確認依頼をかける際の「たたき台」としてそのまま使えます。
ウェブサイト改ざんの脅威と対策（IPA テクニカルウォッチ）……改ざんの手口と、サイト運営者・管理者それぞれの立場で取るべき対策が整理されています。経営層への説明資料の下敷きに向きます。なお本レポートはIPAのサイトでの公開が終了しており、現在は国立国会図書館のインターネット資料収集保存事業（WARP）に保管された版を参照します。
漏えい等の対応とお役立ち資料（個人情報保護委員会）……報告様式や判断フローが公開されています。事故が起きてから探すのでは遅いので、平時のうちに担当者間で場所を共有しておくことを勧めます。

そのうえで、今回の事案から自社に持ち帰るなら次の3つです。

公開Webサイトの棚卸し……ドメイン単位で「誰が所管し、誰が更新し、誰が費用を持つか」を一覧化する。情シスが把握していないサイトの存在自体が最大のリスクです。
アクセスログとファイル改ざん検知の確認……ログの保存期間は十分か、公開ディレクトリのファイル変更を検知できるか。本件のように期間を分単位で示せるかどうかが、説明責任を果たせるかの分かれ目になります。
フォームの取り扱いの見直し……保存しない設計であっても漏えいのおそれは生じます。「保存しないから安全」という社内説明が残っていないか点検してください。

あわせて、フォームからの問い合わせに応対する部署への周知も有効です。窃取された問い合わせ内容を材料にした「続きを装う」連絡は見破りにくいものです。検知の遅れと公表判断の難しさについては介護評価システムに不正アクセス｜検知遅れと公表の教訓もあわせてご覧ください。

まとめ

うんこミュージアム公式サイトが第三者製ソフトの脆弱性を突かれて約18時間改ざんされ、その間にフォーム送信された4名分の個人情報が漏えいした可能性がある。復旧は8月11日、公表は8月14日。
送信データをデータベースに保存しない設計でも、改ざんによって「通過中のデータ」を写し取られる余地は残る。影響範囲の基準は保有件数ではなく改ざん期間中の通過件数であり、ログの精度と保存期間がそのまま説明責任の限界になる。
不正アクセスによる漏えいは件数要件なしで個人情報保護委員会への報告対象となり、条文上は「取得しようとしている個人情報」も含まれる。4名だから軽い、という整理は通らない。