事案の概要データ
| 公表日 | 2026年10月26日（報道） |
|---|---|
| 対象件数 | 約19,250件（登録途中の情報） |
| 報じられた問題点 | パスワードを暗号化せずに保存していた |
| 原因 | 不正アクセス（手口は報道に記載なし） |
| 注意 | 当事者の公表原文は未確認。報道ベースの情報として扱う |
図解：この事故の構造
何が起きたのか
2026年10月26日、「AI Lab 225」に不正アクセスがあり、登録途中の情報 約1万9,250件が対象になったと報じられました。
報道では、パスワードを暗号化せずに保存していたとされています。侵入の手口は示されていません。
本記事の時点では当事者の公表原文を確認できていないため、件数・内容は報道にもとづくものです。
「パスワードを暗号化せず保存」とは何が問題なのか
パスワードの保存方法には、大きく2つの状態があります。
そのまま保存している状態（平文保存）。 データベースに「tanaka1234」のように、入力された文字がそのまま入っています。これが漏えいすると、攻撃者はそのまま使えます。
ハッシュ化して保存している状態。 パスワードを特殊な計算で変換し、「a3f9c2...」のような文字列にして保存します。この計算は元に戻せないため、漏えいしても攻撃者はパスワードを知ることができません。
ログインのときは、入力された文字を同じ方法で変換し、保存されている文字列と一致するかを比べます。つまり、サービス側がパスワードそのものを知らなくてもログインの仕組みは作れるのです。
これは1990年代から常識とされている作り方です。それでも平文保存の事案は、毎年のように出てきます。
自社サイトが平文保存かを確かめる方法
プログラムが読めなくても、見分けられる方法があります。
パスワードを忘れたときの動きを見てください。
「現在のパスワードをメールでお送りします」と、元のパスワードが送られてくるサイトは平文保存です。サービス側がパスワードを知っているから送れるのです。
一方、「パスワード再設定用のURLをお送りします」と、新しいパスワードを自分で決め直す流れになっているサイトは、ハッシュ化されています。元を知らないから、再設定させるしかないのです。
自社のサイトやシステムで、パスワードをメールで送る機能がないか確認してください。あれば、作り直しが必要です。
また、顧客名簿のExcelに「パスワード」の列があるなら、それも平文保存です。社内の誰でも見られる状態になっていませんか。
「登録途中の情報」が漏れる構造
今回対象になったのは「登録途中の情報」約1万9,250件とされています。
会員登録のフォームで、途中まで入力して離脱した人のデータです。登録が完了していないので、本人は「登録した」とも思っていません。
こうしたデータは、完了していないのにサーバーに保存されていることがよくあります。入力の途中経過を保存しておき、あとで続きから再開できるようにするためです。便利な機能ですが、データは溜まります。
自社のフォームでも、確認してみてください。入力途中のデータを保存していませんか。それは、いつ消されますか。
本人が登録を完了していないデータを保持し、それが漏えいした場合、本人にとっては「使ってもいないサービスから情報が漏れた」ことになります。説明も通知も、より難しくなります。
時系列で見る経過
- 2026年10月26日登録途中の情報 約1万9,250件が対象と報じられる。パスワードを暗号化せず保存していたとされる
- （調査中）侵入の手口、確定した件数は公表されていない
中小企業が学ぶべきポイント
- パスワードはハッシュ化して保存する。サービス側がパスワードを知らなくてもログインは作れる。
- 「パスワードをメールで送ってくる」サイトは平文保存。自社サイトにその機能がないか確認する。
- 顧客名簿のExcelに「パスワード」の列があれば、それも平文保存。
- 入力途中のデータを保存している場合、いつ消すかを決める。
- 本人が登録を完了していないデータの漏えいは、通知も説明も難しくなる。
- 平文保存は1990年代から問題とされているのに、いまも事案が出続けている。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。