うんこミュージアム情報漏れに学ぶ 「DBに保存しない」設計でどう安全を守るか：公式サイトが改ざん被害

うんこミュージアムは、公式サイトが第三者製ソフトウェアの脆弱性を悪用された不正アクセスにより、一部改ざん被害を受けたと公表した。改ざん期間中に送信された4人分の問い合わせ内容が漏えいした可能性があるとしている。

[＠IT]

　たのしいミュージアムは2026年8月14日、体験型エンターテインメント施設「うんこミュージアム」の公式サイトで利用している第三者製ソフトウェアの脆弱（ぜいじゃく）性を悪用した不正アクセスを受け、Webサイトの一部が改ざんされる被害が発生したと発表した。

　改ざん期間中に同サイトの問い合わせフォームを利用した4人について、フォームに入力した情報が第三者に取得された可能性があるという。

「DBに保存しない」設計でも漏えいの可能性　改ざん期間中に4人がフォーム利用

　発表によると、影響を受けた可能性があるのは、2026年8月10日17時4分から同年8月11日11時24分までの間に問い合わせフォームから情報を送信した4人。漏えいした可能性がある情報項目としては氏名、メールアドレス、電話番号、問い合わせ本文などが含まれる。

　事態の判明後、同サイトでは不正に設置されたファイルの削除、改ざん箇所の復旧、悪用された脆弱性の修正などの初動対応を実施し、2026年8月11日までに完了した。情報が取得された可能性のある4人の利用者には、フォームに入力された連絡先宛てに個別に連絡している。

　現時点の調査では、該当期間中にWebサイトを閲覧しただけの利用者や、オンラインチケットを購入したものの問い合わせフォームを利用していない利用者について、情報漏えいは確認されていない。また、Webサイトの閲覧によるマルウェア感染などの二次被害も確認されていないとしている。

脆弱性を修正、管理者認証や監視も強化へ

　たのしいミュージアムは再発防止に向けて、以下の対策を推進するという。

• 第三者製ソフトウェアおよび関連プラグインの脆弱性情報を継続的に収集し、必要なアップデートを迅速に適用する
• 管理者アカウントの認証を強化し、アクセス制限を厳格化する
• 監視・ログ解析体制を強化し、異常の早期検知と迅速な対応につなげる

　今回の事案では、問い合わせ情報をデータベースに保存しない設計だったにもかかわらず、改ざん期間中にフォームから送信された情報について、第三者による取得の可能性があると判断した点が特徴だ。

　データをデータベースに保存しないことは、データベースからの情報流出を防ぐ上では有効だが、フォームへの入力からサーバ側での処理までの過程で情報が取得される可能性までなくなるわけではない。

　Webアプリケーションでは、ユーザーが入力した情報は送信・受信、処理、外部サービスへの連携など、複数の経路を通る。Webサイト自体が改ざんされれば、正規の処理を装って入力情報を攻撃者側に送信するといった手法も考えられる。つまり「保存していないから漏えいしない」という考え方ではなく、データがどこを通り、どこで処理され、誰がアクセスできるのかまで確認する必要があるだろう。

　CMSやプラグイン、外部サービスなど第三者製コンポーネントへの依存が増える中、脆弱性管理は単なるパッチ適用にとどまらない。侵害された場合に「何が見られ、何が書き換えられ、何を取得され得るのか」を把握しておくことが大事だ。