フジッコのキャンペーン応募受付の委託先に不正アクセス、第2報で「延べ約15,500件」を14,594件・合計14,848人に修正

事案の概要データ

第1報	2026年10月22日「不正アクセスによる個人情報漏えいの可能性に関するお詫び」
第2報	2026年11月2日「【第2報】不正アクセスによる個人情報漏えいの可能性のある情報の内容修正について」
判明日	2026年10月21日（水）
不正アクセスを受けた対象	「キャンペーンの応募受付業務を委託しております会社のサーバー」
委託先の社名	第1報・第2報とも公表されていない
対象キャンペーン（1）	カスピ海ヨーグルトシリーズ「もっと！とろぉ〜もっちキャンペーン第2弾」（2026年5月以降に実施）
対象キャンペーン（2）	「フジッコ大感謝祭キャンペーン」
対象となる応募経路	上記2つのキャンペーンの非会員様向け応募フォームに入力された個人情報
対象外の応募経路	「フジッコインに会員登録してのご応募、応募はがき、X（エックス）でのご応募は対象ではありません」
件数（第1報）	「延べ約15,500件（同じお客様が複数回ご応募された場合を含みます）」
件数（第2報）	「14,594件（同じお客様が重複してご応募された人数を除いています。また、両キャンペーンに応募されたお客様は254人が該当し、これを合わせると合計14,848人となります。）」
情報項目	氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報
含まれないもの	「免許証、クレジットカード、口座番号などの情報は含まれておりません」
会社の構え	「当社では、情報が第三者に取得されたものとみなして対応しております」（第1報）
他環境への影響	「フジッコイン会員様向けの応募フォームなど、他の環境は別に管理しており、今回の事象による影響は確認されておりません」（第1報）
初動	不正アクセスを受けたサーバーを速やかに停止。該当する応募受付を一時停止
個人情報保護委員会	報告する（第1報）
警察	「警察に相談のうえ、被害届を提出する予定」（第1報）
一部再開	2026年10月27日、「安全性が確認されている会員様向け応募受付システムに限り再開」
対象者への連絡	準備が整い次第、順次、登録のメールアドレス宛に連絡。「このメールには、URLの記載や添付ファイルはございません」
別件（参考）	同社は2026年10月27日に、メール配信サービス「ブラストメール」への不正アクセスに伴う個人情報漏えいの可能性についても公表している（別事案）

図解：この事故の構造

図：第2報が示した内訳。ただし同じ文の中で「件」と「人」が切り替わっており、実人数は一通りに読み取れない。

第2報が示した合計（2026年11月2日）：14,848人（第1報の「延べ約15,500件」から修正）

14,594件　「同じお客様が重複してご応募された人数を除いています」（第2報の原文）
254人　「両キャンペーンに応募されたお客様」。「これを合わせると合計14,848人となります」（第2報の原文）

何が起きたのか

フジッコは2026年10月22日、キャンペーンの応募受付業務を委託している会社のサーバーが不正アクセスを受け、応募者の個人情報が漏えいした可能性があることを公表しました。

対象は、2026年5月以降に実施したカスピ海ヨーグルトシリーズ「もっと！とろぉ〜もっちキャンペーン第2弾」と「フジッコ大感謝祭キャンペーン」の、非会員様向け応募フォームに入力された個人情報です。漏えいの可能性が判明したのは10月21日で、不正アクセスを受けたサーバーは速やかに停止しています。

情報項目は、氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報。免許証、クレジットカード、口座番号などは含まれていないとしています。

そして公表文には、こう書かれています。「当社では、情報が第三者に取得されたものとみなして対応しております」。

件数は、第1報で「延べ約15,500件」。その11日後、11月2日の第2報で修正されました。

「婚姻状況」「家族構成」が入っている応募フォーム

まず、漏えいした項目を落ち着いて読んでください。

氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報。

食品メーカーのプレゼントキャンペーンの応募フォームです。それでも、婚姻状況と家族構成を聞いています。

これは珍しいことではありません。キャンペーンは、景品を配ることが目的ではなく、マーケティングのためのデータを集めることが目的です。「どんな世帯が、この商品を買っているのか」を知りたい。だから世帯の情報を聞きます。

しかし、漏えいしたときの重さは項目によって違います。カード番号や口座番号は、不正利用に直結するので誰でも危険だと分かります。一方で「婚姻状況」「家族構成」「年齢」「職業」は、組み合わせると「その人がどんな人か」が分かってしまう情報です。

これが悪用されるとどうなるか。フィッシングの文面の精度が上がります。 「未婚・30代・会社員」と分かっていれば、その人が開きそうなメールを書けます。「子どもが2人いる主婦」と分かっていれば、学校や保育園を装えます。名前とメールアドレスだけの漏えいより、はるかに危険です。

だから中小企業がキャンペーンや会員登録のフォームを作るときに、考えてほしいことが1つあります。「その項目は、本当に必要ですか」

聞いた情報は、持ち続けることになります。持ち続ける限り、漏れる可能性があります。聞かなければ、漏れません。 アンケートを取りたいなら、応募フォームと切り離して、匿名で集めるという手もあります。

もう1つ。キャンペーンが終わったら、集めたデータを消す期限を決めておく。 「抽選と発送が終わって3か月後に削除」と決めて、カレンダーに入れる。これだけで、漏れたときの対象者数が大きく減ります。

第2報は「件数の修正」だった——そして「件」と「人」が混ざっている

11月2日の第2報は、タイトルが「漏えいの可能性のある情報の内容修正について」です。新たな被害が分かったのではなく、件数を直すための公表でした。

変更の内容は、こうです。

変更前：延べ約15,500件（第1報。「同じお客様が複数回ご応募された場合を含みます」との注記つき）

変更後：14,594件（「同じお客様が重複してご応募された人数を除いています。また、両キャンペーンに応募されたお客様は254人が該当し、これを合わせると合計14,848人となります。」）

まず、件数を下げる修正を、わざわざ公表したという点は評価できます。「実は少なかった」という修正は、黙っていても誰も気づきません。それでも出したのは、公表した数字に責任を持つという姿勢です。

ただし、読む側には難しさが残りました。「件」と「人」が、同じ文の中で混ざっています。

変更後の数字は「14,594件」と書かれています。しかしその直後のカッコの中は「重複してご応募された人数を除いています」「254人」「合計14,848人」。件を数えたのか、人を数えたのかが、1つの文の中で切り替わっています。

さらに、第2報は第1報を引用するときに「延べ約15,500人とお伝えしておりました」と書いていますが、第1報のPDFの原文は「延べ約15,500件」です。自分の第1報を引用する段階でも、件と人が入れ替わっています。

そのうえ、算数としても読み方が一通りに決まりません。「両キャンペーンに応募されたお客様は254人」で、それを「合わせると合計14,848人」。14,594＋254＝14,848です。しかし、両方に応募した人がいるなら、普通は重複として引くはずです。足して合計になるのは、14,594が片方のキャンペーンだけの人数である場合などに限られます。

本サイトでは、「のべ件数」「項目別の件数」「実人数」は別のものとして扱うという方針を取っています。この事案は、公表する側がそこを整理しきれなかった例として記録しておきます。会社が示した合計は14,848人なので、本記事はこれを採用しますが、この数字が実人数を指すのかどうかは、公表文からは一通りに読み取れません。

中小企業が公表文を書くときに守れるルールは、1つだけです。同じ文書の中で、単位を混ぜない。 人数で数えるなら全部「人」、件数で数えるなら全部「件」。両方書く必要があるなら、「のべ応募件数：15,500件」「実人数：14,848人」のように分けて並べる。これだけで、読む側の混乱は消えます。

会員向けフォームは「別に管理」していたので、5日後に再開できた

この事案には、もう1つ見逃せない事実があります。

第1報にこう書かれています。「フジッコイン会員様向けの応募フォームなど、他の環境は別に管理しており、今回の事象による影響は確認されておりません」。

そして10月27日、同社は「安全性が確認されている会員様向け応募受付システムに限り再開」というお知らせを出しました。不正アクセスの判明から6日です。

つまりこうなります。非会員向けのフォームは委託先のサーバーにあり、そこが入られた。会員向けのフォームは別環境だったので無事だった。だから会員向けだけ先に再開できた。

もし両方が同じサーバーに載っていたら、キャンペーンは全面停止のままだったはずです。環境を分けていたことが、事業を止める範囲を決めました。 外務省の事案（本サイト掲載）でネットワークを2系統に分けていたことが被害範囲を決めたのと、同じ構図です。

中小企業に当てはめると、こうなります。キャンペーン用の仮設フォームと、本業の顧客管理を、同じ場所に置かない。

キャンペーンのフォームは、短期間で作られ、終われば放置されがちです。だからセキュリティの手当ても薄くなります。そこに本業の顧客データベースがつながっていると、薄い側から入られて全部が持ち出されます。

やることは、順番としてはこうです。①キャンペーンや期間限定の企画は、本業のシステムと別のサービスで作る。②終わったら、そのサービスからデータを書き出して、本業側に移し、元のサービスからは削除する。③委託先を使うなら、どのサーバーにどのデータが置かれるのかを契約前に聞く。

③について、今回フジッコは委託先の社名を公表していません。第1報も第2報も「委託しております会社」のままです。公表するかどうかは会社の判断ですが、発注する側は、契約の段階で「データがどこに置かれるか」を知っておく必要があります。 事故が起きてから聞くと、自社の顧客への説明が遅れます。

時系列で見る経過

2026年5月以降「もっと！とろぉ〜もっちキャンペーン第2弾」および「フジッコ大感謝祭キャンペーン」を実施。非会員向け応募フォームの受付業務は委託先が担当
（時期の記載なし）委託先のサーバーが第三者による不正アクセスを受ける
2026年10月21日（水）応募フォームから送信された個人情報が漏えいした可能性があることが判明。不正アクセスを受けたサーバーを速やかに停止
2026年10月22日第1報「不正アクセスによる個人情報漏えいの可能性に関するお詫び」を公表。件数は延べ約15,500件
2026年10月27日安全性が確認されている会員様向け応募受付システムに限り再開
2026年11月2日第2報。件数を「14,594件（…合計14,848人）」に修正
今後対象者に、順次、登録のメールアドレス宛に連絡。個人情報保護委員会へ報告し、警察に相談のうえ被害届を提出する予定

中小企業が学ぶべきポイント

キャンペーンの応募フォームは、婚姻状況や家族構成まで集めていることがある。漏れたときの重さが変わる。
年齢・職業・婚姻状況・家族構成の組み合わせは、フィッシングの文面の精度を上げる。
フォームを作るとき「その項目は本当に必要か」を問う。聞かなければ漏れない。
キャンペーンのデータは削除期限を決めてカレンダーに入れる。対象者数が減る。
件数を下げる修正でも公表する。黙っていても誰も気づかないが、出すのが筋。
同じ文書の中で「件」と「人」を混ぜない。両方書くなら分けて並べる。
キャンペーン用の仮設フォームと本業の顧客管理を、同じ場所に置かない。
環境を分けていれば、無事だった側だけ先に再開できる。止まる範囲が変わる。
委託先を使うなら、どのサーバーにどのデータが置かれるかを契約の段階で聞く。

出典・参考

ご注意
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。