事案の概要データ
| 公表日 | 2026年11月2日 |
|---|---|
| 不正アクセスの期間 | 2026年4月下旬から7月にかけて（約3か月） |
| 対象 | データベース管理ツール |
| 件数 | 最大約152,500件 |
| 漏えいのおそれがある情報 | メールアドレス、パスワード、生年月日など会員情報 |
| 一部の会員について | 氏名、住所、口座番号も対象 |
| 公表までの期間 | 不正アクセスの終わり（7月）から約4か月 |
| 状態 | 発表に記載なし |
図解：この事故の構造
- 2026年4月下旬データベース管理ツールへの不正アクセスが始まる
- ↓ 約3か月間、気づかなかった
- 2026年7月不正アクセスの期間の終わり
- ↓ さらに約4か月
- 2026年11月2日最大約152,500件の漏えいのおそれを公表。一部は氏名・住所・口座番号も
何が起きたのか
株式会社ネットドリーマーズは2026年11月2日、競馬情報サービス「競馬新聞デイリー馬三郎」のデータベース管理ツールに2026年4月下旬から7月にかけて第三者による不正アクセスがあり、会員情報最大約15万2,500件が外部に漏えいしたおそれがあると公表しました。
項目はメールアドレス、パスワード、生年月日など。一部の会員については、氏名・住所・口座番号も対象とされています。
ここで2つ、記録すべき点があります。①侵入されていた期間が約3か月。②パスワードについて「暗号化」「ハッシュ化」の記載がない。
「データベース管理ツール」が入口になるということ
狙われたのは、サイトそのものではなくデータベース管理ツールです。
これは、サーバーの中のデータを、ブラウザから見たり書き換えたりできる道具です。開発や保守のために入れます。代表的なものに phpMyAdmin や Adminer があります。
便利です。そして危険です。 なぜなら、そのツールにログインできた人は、顧客データを全部見られるからです。サイトの画面を1件ずつめくる必要はありません。
本サイトでは2026年10月以降、同じ種類の事案を複数扱っています。管理ツールや分析ツールが入口になった例として、ApplyNow（社内のデータ分析ツールの脆弱性）、NEXT STAGE（Metabase）などがあります。
中小企業が確認すべきことは、具体的に3つです。
1. そのツールの画面が、インターネットから開ける状態になっていませんか。 「○○○.jp/phpmyadmin/」のようなURLで、誰でもログイン画面にたどり着ける状態は危険です。社内からだけ、またはVPN経由だけに制限してください。
2. 初期のIDとパスワードのままになっていませんか。 「admin／admin」「root／パスワードなし」。業者が設定したまま、何年も変わっていないことがあります。
3. もう使っていないなら削除してください。 「サイト構築のときに入れたが、その後使っていない」ツールが残っていることがよくあります。
この3つは費用がかかりません。ホームページを作ってもらった業者に、この3点をメールで聞くだけです。
3か月気づかなかった——「見ていない」から気づけない
4月下旬から7月まで、約3か月にわたって侵入が続いていました。
なぜ気づかないのか。ログを見ていないからです。そして、見ていないのは怠慢というより、見る仕組みがないからです。
中小企業に「毎日ログを確認してください」と言っても続きません。現実的なのは、異常があったときに知らせてもらう設定です。
費用をかけずにできることを挙げます。
①管理画面へのログインがあったらメールで通知する設定を探してください。WordPressならプラグインで可能です。レンタルサーバーの管理画面にも通知設定があることがあります。
②見慣れない国からのログインを拒否する。 多くのレンタルサーバーに、海外からのアクセスを制限する機能が標準でついています。管理画面だけ国内に限定するだけでも、かなり減ります。
③月に1回、管理画面のユーザー一覧を見る。 知らないアカウントが増えていないか。5分で終わります。
そして、パスワードについてです。本件の公表では「パスワード」と書かれており、暗号化されていたかどうかの記載がありません。利用者としては、平文で保存されていた可能性も想定して動くしかありません。
つまり、馬三郎と同じパスワードを使っている他のサイトは、すべて変える。これが唯一の自衛です。口座番号まで漏れている会員は、通帳の記録も確認してください。
時系列で見る経過
- 2026年4月下旬データベース管理ツールへの第三者による不正アクセスが始まる
- 2026年7月不正アクセスが続いていた期間の終わり（約3か月間）
- 2026年11月2日最大約15万2,500件の漏えいのおそれを公表。一部は氏名・住所・口座番号も対象
中小企業が学ぶべきポイント
- 狙われたのはサイトではなくデータベース管理ツール。ログインできれば顧客データを全部見られる。
- 管理ツールの画面がインターネットから開ける状態になっていないか確認する。社内またはVPN経由だけに制限する。
- 初期のIDとパスワードのままになっていないか。業者の設定から変わっていないことがある。
- 使っていない管理ツールは削除する。サイト構築時に入れたまま残っていることが多い。
- この3点は費用ゼロ。ホームページ制作業者にメールで聞くだけで確認できる。
- 約3か月気づかなかった。毎日ログを見るのではなく、異常があったら通知される設定にする。
- 管理画面へのログイン通知、海外アクセスの制限、月1回のユーザー一覧確認。この3つで十分始められる。
- 公表文にパスワードの暗号化の記載がない。利用者は平文保存も想定し、使い回しの他サイトを変える。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。