ヤクルト情報漏洩4万件、自分は対象？スーパー購入者・宅配利用者の影響と対処法

この記事の3行まとめ

スーパーやコンビニで買っているだけの人は、今回の漏洩の対象外
対象は、問い合わせフォーム利用者・「たのしい給食」会員・報道関係者フォーム利用者・対応した社員。カード情報は漏れていない
使い回しのパスワードを変え、問い合わせ内容を使った偽メールに注意すれば、慌てなくて大丈夫

ヤクルト本社の公式サイトに不正アクセスがあって、約4万件の個人情報が外に出てしまった。このニュースを見て、私が最初に思ったのは「え、毎日のようにヤクルトを飲んでいる私は大丈夫なの？」だったんだよね。きっと同じ気持ちになった人は多いと思う。

結論から言うと、スーパーやコンビニで買っているだけの人は、今回の漏洩の対象ではないよ。対象になるのは、公式サイトの問い合わせフォームを使った人、給食関係者向けサイト「たのしい給食」の会員、報道関係者向けフォームの利用者、そして対応した社員の4つのグループだけ。ただ、ヤクルトレディや宅配、通販を使っている人については、公式発表にまだ書かれていないことも残っているんだ。

この記事では、2026年10月30日時点の公式発表をもとに、自分が対象かどうかの見分け方、漏れた情報の中身、今日からできる対処までを順番に整理していくね。

ヤクルト本社の情報漏洩、何が起きたの？

まずは事実から。ニュースの見出しだけだと「4万件」という数字ばかりが目立つけれど、中身を押さえておくと不安がだいぶ整理できるよ。

第2報の要点を先に整理するよ

2026年10月30日の朝9時、ヤクルト本社は「当社ホームページへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」の第2報を公表したよ。この中で、現時点で約4万件の個人情報が外部に漏れたことを確認したと明らかにしたんだ。

漏れたグループは4つ。「メールお問い合わせフォームの利用者」「『たのしい給食』の会員」「報道関係者向けお問い合わせフォームの利用者」「お問い合わせに対応した社員」だね。一方で、同社は今回狙われたサイトではクレジットカード情報や銀行口座情報を持っていないと説明していて、これらは漏れていないとしているよ。

もうひとつ大事なのが、現時点では情報の不正利用や二次被害は確認されていないということ。ただ、これは「これから何も起きない」という意味ではないから、後半で書く備えは今のうちにやっておく価値があるよ。

発生から発表までの時系列

流れを日付で並べるとこうなるよ。10月24日に、攻撃者を名乗る人物がネット上のフォーラムでヤクルト関連のデータ約3万件を手に入れたと主張していたと伝えられているんだ。ただ、これは匿名の主張で、公式に確認された数字（約4万件）とも食い違うから、同じデータだと決めつけることはできないんだよね。

そして10月26日、ヤクルト本社が自社サイトへの不正アクセスの痕跡を見つけて、被害を広げないためにホームページの機能を止めたよ。同じ日の19時に第1報を出したけれど、この段階では「お客さまの情報への影響は調査中」としか言えていなかったんだ。

それから4日後の10月30日に、第2報で「約4万件が漏れた」と認めた形だね。同社は個人情報保護委員会への報告と、警察への相談もすでに済ませているとしているよ。不正アクセスが見つかってから、おおよそ4日で件数を出してきたことになるね。

「約4万件」は4万人とは限らないよ

数字の読み方で気をつけたいのが、「件」と「人」は同じじゃないということ。たとえば同じ人が3回問い合わせていたら、3件として数えられる可能性があるんだよね。だから約4万件が、そのまま4万人という意味にはならないよ。

それに、この数字は10月30日時点の途中経過で、最終的な確定値でもないんだ。調査が進めば、件数も、対象になる期間も変わることがあるよ。どこまで昔のデータが入っているのかも、今のところ公式には「順次お知らせする」とされているだけなんだよね。

こういうニュースは、発表のたびに数字が動くのが普通。だから「4万件」という大きな数字に驚くより、「自分はどのグループに当てはまるか」を落ち着いて確認するのが一番の近道だと思うよ。

ところで、最近は有名な会社の情報漏洩が続いていて、「また？」と感じている人もいるよね。他社の事例で、自分が対象かどうかをどう調べたかを知りたい人は、こちらも読んでみてね。

→ 佐川急便の情報漏洩、自分は対象？

【判定表】自分は対象？利用パターン別に整理したよ

「結局、私は対象なの？」に一番早く答えられるように、よくある利用パターンごとに整理してみたよ。判断のよりどころは、あくまで10月30日時点の公式発表だよ。

スーパーやコンビニで買っている人は対象外

店頭でヤクルトを買っているだけなら、今回の対象ではないよ。お店で買うとき、私たちは公式サイトに名前も住所も登録していないよね。ヤクルト本社のサーバーに自分の情報が入っていないから、漏れようがないんだ。

「ヤクルトを飲んでいる人全員が危ない」という言い方を見かけることもあるけれど、それは正確じゃないよ。今回狙われたのは、会社全体の顧客管理ではなくて、公式サイトの特定の機能に付いていたデータなんだ。

だから、普段スーパーで買っている人は、クレジットカードを止めたりパスワードを全部変えたりする必要はないよ。過度に怖がらなくて大丈夫だね。

ヤクルトレディ・Yakult1000の宅配・通販は「公式発表にまだ出ていない」

ここは一番気になる人が多いところだと思う。ヤクルトレディから定期的に買っている人、宅配サービスでYakult1000を頼んでいる人、通販サービスやキャンペーンに応募した人については、公式発表の4つのグループに入っていないんだよね。

ただ、「入っていない」と「絶対に安全」は別の話だよ。宅配や通販のシステムが、今回の公式サイトとちゃんと切り離されているのかについては、私が調べた範囲では公式に説明が見つからなかったんだ。一般的には、サイトのサーバーと販売や配送の仕組みは別々に作られていることが多いけれど、これはあくまで一般論だね。

だから私は、「大丈夫と言い切る」のも「漏れたと決めつける」のもやめて、続報を待つのがいちばん誠実だと思っているよ。宅配の利用者は、ヤクルト本社や契約している販売会社からのお知らせを、定期的にチェックしておこうね。

問い合わせた人・「たのしい給食」会員・報道関係者は対象

はっきり対象になるのは、次のグループだよ。公式サイトのメールフォームから問い合わせた人（商品への質問、苦情、相談のどれも含むよ）。「たのしい給食」に会員登録している人。報道関係者向けの問い合わせフォームを使った人。そして、そうした問い合わせに対応した社員の人たちだね。

気をつけたいのは、過去に一度だけ問い合わせた人。対象になる期間が調査中だから、数年前のやり取りが残っていて、それが漏れた可能性もあるんだ。「今は使っていないから関係ない」とは言えないんだよね。

「たのしい給食」は、学校や保育園、病院などで給食をつくる栄養士さんや調理担当者向けのサイトだよ。個人の趣味で登録するようなサイトではないから、対象なのは主に施設で働く人たち。もし周りにそういう人がいたら、このことを教えてあげてね。

12パターンを一枚の表にまとめてみたよ

ここまでの内容を、利用パターン別の表にしておくね。10月30日時点の公式発表をもとにしているよ。

利用パターン	判定	理由
スーパー・コンビニで購入	対象外	公式サイトに情報を登録していない
ヤクルトレディから定期購入	公式には言及なし	販売会社の仕組みへの影響が説明されていない
Yakult1000を宅配で定期購入	公式には言及なし	宅配サービスへの影響が説明されていない
公式サイトから問い合わせた	対象	問い合わせフォーム利用者が明記されている
苦情や相談を送った	対象	フォーム経由なら同じ扱い
「たのしい給食」会員	対象	会員情報の漏洩が明記されている
学校・保育園・施設の担当者	登録していれば対象	業務で会員登録している場合
キャンペーンに応募した	公式には言及なし	応募データへの影響が説明されていない
通販サービスを利用した	公式には言及なし	顧客情報への影響が説明されていない
報道関係者フォームを使った	対象	利用者として明記されている
過去に問い合わせた（今は未利用）	対象の可能性が高い	対象期間が調査中のため
ヤクルト本社の社員・関係者	対象	対応した社員の氏名が漏れたと明記

何が漏れた？情報の中身とカード情報の安全性

次は、漏れた情報の中身。ここを知っておくと、「どんな連絡が来たら怪しいか」が具体的に想像できるようになるよ。

クレジットカードと口座は対象外、でも基本情報は揃っている

公式発表によると、問い合わせフォームの利用者では、氏名、性別、年齢層、住所、電話番号、メールアドレス、そして問い合わせの内容が漏れたとされているよ。「たのしい給食」の会員は、氏名、業態、勤務先、部署、勤務先の住所と電話番号、メールアドレス、暗号化されたパスワード、それに任意で答えた項目だね。

クレジットカードや口座の情報は含まれていないから、カードの停止や再発行は必要ないよ。ここは安心していいところだね。

ただ、氏名と住所と電話番号とメールアドレスが揃っているというのは、「あなたに直接連絡できる材料が全部ある」ということでもあるんだ。お金の情報がなくても、悪用の入り口にはなってしまうんだよね。

問い合わせ内容が漏れると、なぜ怖いの？

今回、私がいちばん気になったのは「問い合わせ内容」まで含まれていることだよ。たとえば、昔こんなメールを送ったとするよね。「ヤクルト1000の成分について知りたいです」とか、「届いた商品の容器が壊れていました」とか。

もし悪い人がその文章を手に入れていたら、「先日お問い合わせいただいた〇〇の件について、お詫びと返金のご案内です。専用ページから手続きをお願いします」というメールを作れてしまうよね。自分が実際に書いた内容が引用されていたら、つい本物だと信じてしまうと思う。普通の迷惑メールみたいに日本語が変だったり、全然関係ない話だったりしないから、見抜くのがぐっと難しくなるんだ。

ヤクルト本社は、パスワードや口座番号、クレジットカード番号を聞くことはないと明言しているよ。それに、懸賞の当選、配送の連絡、返金の案内を装った連絡にも注意するよう呼びかけているんだ。

「暗号化されたパスワード」は本当に安心なの？

「たのしい給食」の会員は、パスワードが「暗号化された状態」で漏れたと発表されているよ。「暗号化されているなら大丈夫」と思いたくなるけれど、私はそこまで楽観しないほうがいいと思う。

技術の話を少しだけすると、パスワードの守り方には2種類あるんだ。ひとつは「暗号化」で、鍵があれば元の文字に戻せる方法。もうひとつは「ハッシュ化」で、元に戻せない形に変えてしまう方法だよ。ハッシュ化のほうが、パスワードの保存には向いているとされているんだ。

発表の文面だけでは、どちらの方法だったのか、鍵まで盗まれたのかは分からないんだよね。だから、「元のパスワードが読める状態になっている可能性もある」と考えて動くのが安全だよ。実際に解読されたかどうかは、公式にはまだ何も言われていないよ。

対象者が今すぐやる3つのこと

ここからは行動編。やることはシンプルで、実は3つだけだよ。カードを止めたり、メールアドレスを変えたりする必要はないから、安心してね。

1つ目：使い回しているパスワードを変える

いちばん大事なのはこれ。「たのしい給食」に登録していたパスワードを、ほかのサービス（通販サイト、SNS、仕事のシステムなど）でも使っているなら、そちらを今すぐ別のものに変えようね。

悪い人は、盗んだメールアドレスとパスワードの組み合わせを使って、いろんなサイトに片っ端からログインを試すんだ。これを「リスト型アカウントハッキング」と言うよ。ひとつのサービスで漏れたパスワードが、別のサービスの入口を開けてしまうんだよね。

だから、パスワードを使い回さないことが、被害を広げない一番の防御になるよ。ちなみに、アカウントの乗っ取りと詐欺の手口をまとめた記事もあるから、気になる人はあわせて読んでみてね。

パスワードが破られるまでの時間を計算してみた

「長いパスワードのほうがいい」と聞いても、実際にどれくらい違うのかはピンとこないよね。そこで、パスワードを総当たりで試された場合にかかる時間を、Pythonで計算してみたよ。

前提として、攻撃者が1秒に100億回（1×10の10乗）試せると仮定したよ。これは私が置いた仮定の数字で、実際の速度は相手の環境や保存方法によって大きく変わるから、あくまで目安として見てね。パターンの数は、文字の種類の数を桁数だけかけ算して出したよ。

小文字と数字だけの8桁：36の8乗＝約2.8兆通り。2.8兆÷100億＝約282秒、つまり4分42秒ほど。
大文字・小文字・数字の8桁：62の8乗＝約218兆通り。218兆÷100億＝約21,830秒、つまり約6時間。
記号まで混ぜた12桁：94の12乗＝約4.8×10の23乗通り。÷100億で約151万年。
記号まで混ぜた16桁：94の16乗＝約3.7×10の31乗通り。÷100億で約1.2×10の14年。

8桁でも文字の種類を増やせば6時間まで伸びるけれど、桁数を12桁に増やすと一気に桁が変わるよね。ポイントは「長さ」だと実感したよ。ただ、どんなに長くても、使い回していたら意味がないんだ。サイトごとに別のパスワードを作るのが理想だね。

パスワード管理ツールを使えば、サイトごとに長くて複雑なパスワードを自動で作って覚えてくれるよ。覚える負担が減るから、使い回しをやめるきっかけにもなると思う。

2つ目：偽メールや偽電話の見分け方を知っておく

2つ目は、怪しい連絡への備え。今回は問い合わせ内容まで漏れているから、本物そっくりの連絡が来る可能性があるんだ。

見分けるコツは、連絡の中身ではなくて「入口」を疑うこと。メールの中のリンクや添付ファイルは、どんなに本物らしく見えても開かないよ。確認したいときは、メールに書かれた電話番号やURLではなく、自分でヤクルトの公式窓口を調べて連絡するのが安全だね。

具体的には、こんな連絡は特に注意だよ。「懸賞に当選しました」「荷物をお届けできませんでした」「返金手続きのご案内です」といった内容。そして、パスワードやカード番号、口座番号を聞いてくる連絡。ヤクルト本社は、そうしたことを聞かないと公式に発表しているから、聞かれた時点で偽物だと判断していいよ。

3つ目：相談窓口を知っておく

もし怪しいリンクを開いて情報を入れてしまったり、電話で個人情報を話してしまったりしたら、一人で抱え込まないでね。警察庁のサイバー事案の相談窓口や、お住まいの地域の消費生活センターに相談できるよ。

ヤクルト本社の公式サイトは今メンテナンス中で、サイトからの問い合わせはできない状態だよ。そのあいだは、ヤクルトお客さま相談センター（0120-11-8960）で電話の対応をしているよ。受付は10時から16時までで、土日祝日はお休みだね。

不審な連絡の真偽を確かめたいときは、その連絡に書いてある番号ではなくて、必ずこの公式の番号にかけてね。時間が限られているから、平日の昼間に落ち着いて電話できるタイミングを決めておくといいと思うよ。

続報はいつ？確報の時期と、学校・施設の担当者が気をつけること

最後は、これからの見通しの話。「いつ詳しいことが分かるの？」と気になる人も多いよね。

確報が出る時期を日付で数えてみた

個人情報保護法では、漏洩が分かった会社は、まず速報を数日以内に、その後に詳しい確報を出すことになっているよ。確報の期限は原則30日以内で、不正アクセスのように悪意のある行為が疑われる場合は60日以内に延びるんだ。

ヤクルトの場合、不正アクセスが見つかったのが10月26日だよね。ここから数えてみると、10月26日の30日後は11月25日。60日後は12月25日になるよ。Pythonで日付を足して確かめたから、数え間違いはないはず。

今回は不正アクセスなので、期限は60日の枠に入る可能性が高いんだ。つまり、私たちが詳しい情報を知れるのは、早くて11月下旬、遅ければ12月下旬ごろになりそうだね。これはあくまで法律の期限から計算した目安で、会社が何日に発表すると決めているわけではないよ。

それまでは、件数や対象期間、宅配や通販への影響などが小出しで更新されると思う。ひとつの発表で一喜一憂しすぎず、続報を待つ姿勢でいようね。

学校・保育園・施設の担当者は、職場への報告も忘れずに

「たのしい給食」の会員は、個人のメールアドレスではなく、勤務先の情報で登録していることが多いよね。勤務先の住所や電話番号、部署名まで漏れている可能性があるんだ。

もし職場のメールアドレスで登録していたなら、その施設宛てに「ヤクルトを装った」メールが届くおそれがあるよ。個人の問題として抱え込まずに、上司や情報システムの担当者に早めに伝えてほしいんだ。職場全体で「ヤクルトを名乗るメールには注意」と声をかけ合うだけでも、被害はぐっと減ると思う。

最近は、ほかの会社でも似たような情報漏洩が続いているよね。「うちの会社の担当者として何をすればいいの？」と迷ったときの参考に、実際の事例の対処をまとめた記事も読んでみてね。

→ タイムズカー情報漏洩で何をすればいい？

今回のヤクルトの件は、「自分は対象か」を知ることと、「使い回しパスワードをやめる」ことの2つを押さえておけば、慌てる必要はないよ。続報が出たら、また落ち着いて確認していこうね。

よくある質問

Q. ヤクルトをスーパーやコンビニで買っていますが、私の情報も漏れましたか？

いいえ、対象外です。公式サイトの問い合わせフォームや「たのしい給食」に名前や連絡先を登録・送信した人だけが対象になります。店頭で買うだけでは、ヤクルト本社に個人情報は渡りません。

Q. クレジットカードが不正利用されないか心配です。利用を停止したほうがいいですか？

停止は不要です。ヤクルト本社の発表では、今回不正アクセスを受けたサイトにはクレジットカード情報や銀行口座情報はなく、漏れていないとされています。

Q. ヤクルトレディから定期的に買っています。顧客情報は大丈夫ですか？

現時点の公式発表では、漏洩の対象に含まれていません。ただ、販売会社の仕組みへの影響は公式に説明されていないので、続報を待ちましょう。

Q. 今回漏れた「暗号化されたパスワード」とは何ですか？

「たのしい給食」にログインするために登録したパスワードです。暗号化されていても、元の文字列に戻されるおそれがあります。同じパスワードを他のサービスで使っている場合は、すぐに変更してください。

Q. ヤクルト本社から、確認のためにパスワードや口座番号を聞かれることはありますか？

ありません。ヤクルト本社は、パスワードや口座番号、クレジットカード番号を尋ねることはないと発表しています。そうした連絡は偽物と考えてください。

Q. いつごろ、自分に漏洩の通知が来ますか？

対象者には準備が整い次第、個別に連絡するとされていますが、具体的な時期は決まっていません。通知を装った偽メールにも注意してください。

Q. 数年前に一度だけ問い合わせをしたことがありますが、対象ですか？

対象になる可能性があります。対象期間は調査中なので、過去に送ったデータが残っていれば、漏洩に含まれているかもしれません。

Q. 詐欺メールにはどんな特徴がありますか？

「懸賞の当選」「配送のご連絡」「返金のご案内」などを装うものや、過去に実際に問い合わせた内容を引用して信じ込ませるものが考えられます。メール内のリンクは開かないでください。

Q. 公式サイトが見られないとき、どこに問い合わせればいいですか？

ヤクルトお客さま相談センター（0120-11-8960）が、10時から16時まで、土日祝日を除いて電話で対応しています。メールに書かれた番号ではなく、この公式の番号にかけてください。

Q. 被害の件数は約4万件から増えることはありますか？

あり得ます。約4万件は10月30日時点の途中経過の数字で、調査が進めば件数や対象期間が変わる可能性があります。