ミツカンの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年11月6日、ミツカン（株式会社Mizkan）は、運営するコミュニティサイト「ミツカン365」が10月30日に不正アクセスを受け、487名の会員情報が改ざんされ、このうち29名の個人情報が漏えいしたと公表しました（Mizkan の2026年11月6日の発表）。 11月2日に「ニックネームが勝手に変わった」という問い合わせが複数あり、調べて分かったとしています。改ざんされたのはニックネームとアイコンで、漏えいしたのは29名の顧客 ID と登録メールアドレス（うち26名はサイト内の特典の交換や企画への応募の回数も）です。パスワード・氏名・住所・電話番号・カード情報の漏えいは確認されていないとしています。 原因は、会員情報を変える機能と、画面に情報を出す仕組みの不備です。第三者がこの不備を使ってほかの会員のニックネームやアイコンを書き換え、そこに仕込んだ不正なプログラムが、会員がサイトを開いたときに動いて情報を取得したとしています。

会社の対応

• 11月2日にサイトを止め、悪用されたプログラムの不備を直した。改ざんされた情報の復旧と、ほかの機能の点検を進めている
• 11月5日に個人情報保護委員会へ速報。11月6日から対象の487名に案内のメールを送る
• 「ミツカン公式通販」と「Fibee 腸内会」も11月4日から安全確認のため止めている。同じ仕組みでの影響は確認されていないとしています
• プログラムの開発と確認の手順を見直すとしています

この事例から中小企業が学べること

• 会員が入力した文字（ニックネームなど）を画面に出すときは、プログラムとして動かないように処理しているかを、作った会社に確かめる
• ほかの会員の情報を書き換えられないよう、変更の機能が本人の分だけを扱うかを確かめる
• 「表示がおかしい」という客の問い合わせを、不正アクセスのきっかけとして調べる手順を決めておく
• 会員サイトを外部に作らせたときは、公開の前に脆弱性の診断を受ける