通販サイト「murauchi.com」を運営する株式会社ムラウチドットコム（東京都八王子市）は2026年9月15日、7月に発生した不正アクセスについての第二報を公表し、外部の情報セキュリティ専門会社によるフォレンジック調査（機器に残されたログ等の証跡から発生事象を明らかにする調査）が完了したことを明らかにした。調査の結果、同社が保有する個人情報7,716,811件が外部へ持ち出されていた事実が確認された。侵入の起点は、同社が管理するWebシステムの一部に存在していた脆弱性だった。
7月15日のシステム障害が発端だった
同社の公表によると、最初の異変は2026年7月15日未明に社内システムで発生した障害だった。翌7月16日、その復旧作業を進めるなかで第三者による不正アクセスの痕跡が確認され、同社はシステム保全のため外部アクセスを遮断し、被害と影響範囲の調査を開始している。
その後、同社は7月20日に個人情報保護委員会へ速報を提出し、23日には警察へ被害を相談した。24日に第一報を公表するとともに専用の問い合わせ窓口を開設し、27日から外部の情報セキュリティ専門会社によるフォレンジック調査を開始している。9月14日には個人情報保護委員会へ確報を提出し、翌9月15日から対象となる顧客への個別通知メールの送信を順次開始している。痕跡の確認から件数の特定まで、約2か月を要したことになる。
脆弱性を起点に、複数のシステムへ
第二報で明らかにされた侵入の構図はこうだ。同社が管理するWebシステムの一部に存在していた脆弱性を悪用されたことを起点として、その後、複数のシステムにまで不正なアクセスが及んだ。結果として、同社が保有する顧客の個人情報の一部が外部へ持ち出されたことが確認された。
漏えいが確認された対象は7,716,811件。含まれる情報の種類は、氏名、住所、電話番号、メールアドレス、生年月日、性別である。クレジットカード情報およびパスワードは対象に含まれていないとしている。
決済情報が含まれていないとはいえ、氏名・住所・電話番号・メールアドレス・生年月日・性別という組み合わせは、なりすましに悪用されうるものである。電話や郵便を使った詐欺、実在の注文を装ったフィッシングメールといった二次被害につながる懸念は残る。同社は本件に関する専用窓口（privacy@murauchi.com）で問い合わせを受け付けている。
「入口ひとつ」で複数システムが連鎖する
この事案で目を引くのは、侵入の起点がWebシステムの脆弱性という単一の穴でありながら、そこから複数のシステムへアクセスが広がっている点である。外部に露出したWebシステムは、インターネットから直接叩ける以上、攻撃者にとって最初の足がかりになりやすい。問題は、そこを抜かれた後に内部で横へ動けてしまう構造のほうにある。
同社が再発防止策として挙げているのも、まさにその両面だ。関連するシステムの安全性の確認とセキュリティ対策の強化に加えて、システムへのアクセス権限および認証情報の管理方法の見直し、サーバー・ネットワークの監視および不正アクセスの検知体制の強化に取り組んでいるとしている。さらに、定期的な脆弱性診断とセキュリティ点検を実施し、潜在的な問題の早期発見と対応に継続して取り組むという。
権限と認証情報の管理は、侵入後の横移動を止めるための対策である。監視と検知体制の強化は、侵入に気づくまでの時間を縮めるための対策だ。今回、同社が不正アクセスの痕跡に気づいたのはシステム障害の復旧作業中であり、能動的な検知によるものではなかった。障害という目に見える形で表面化しなければ、発見はさらに遅れていた可能性がある。
自社のWebシステムに未修正の脆弱性が残っていないか。そこを抜かれたとき、攻撃者が次にどこまで行けるのか。そして、その動きに気づく仕組みがあるか。7月の障害から2か月をかけて771万件という数字にたどり着いた今回の経過は、この三つを自社に当てはめて確かめる材料になる。
同じ手口に、自社は備えられていますか？