福島県を中心に葬祭事業を展開する株式会社たまのや（こころネットグループ）は2026年10月20日、公式ホームページの供花・供物の電子注文システムが第三者の不正アクセスを受け、約1万400件の顧客情報が流出した可能性があると公表しました。
同じグループの株式会社喜月堂セレオでも同様の不正アクセスが確認されています。
ついに「葬儀社のホームページ」が、相次ぐ不正アクセスの当事者になりました。
これまで葬研では、焼肉きんぐやローソンといった大手企業の漏えいを「葬儀業界に置き換えるとどうなるか」という形で紹介してきましたが、今回は置き換える必要がありません。狙われたのは、多くの葬儀社が同じように設置している「供花・供物のWeb注文」そのものです。
同じ週には、栃木・茨城などの公営斎場予約システムも不正アクセスで停止しています。
▶ 【速報】公営斎場予約システムへの不正アクセスから考える、葬儀社・火葬場のセキュリティ対策
本記事では、たまのやの事案で何が起きたのかを整理したうえで、「自社でも起こりうるのか」「何を確認すべきか」「今から何ができるか」を、業界の実務に沿って解説します。
（1）たまのやの個人情報漏えいはどのくらいの被害か
まずはたまのやの被害内容を含めた概要をご紹介します。
以下の表をご覧ください。
事案の概要
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月20日（こころネット株式会社） |
| 対象企業 | 株式会社たまのや（福島市）、株式会社喜月堂セレオ（いずれもこころネットの子会社。こころネットは燦ホールディングス傘下） |
| 侵入を受けたシステム | 両社の公式ホームページ上の「供花・供物の電子注文システム」 |
| 不正アクセスを確認した日 | 株式会社たまのや：2026年9月10日 株式会社喜月堂セレオ：2026年9月11日 |
| 流出した可能性のある件数 | 約1万400件（福島民友新聞の報道による。こころネットのお知らせには件数の記載なし） |
| 流出した可能性のある項目 | 氏名、住所、電話番号、メールアドレス、注文内容 |
| クレジットカード情報 | 外部の決済サービスで入力する方式のため、両社は取得・保持しておらず対象外 |
| 現時点の状況 | 個人情報の外部出力・持ち出しの痕跡、漏えいの事実、不正使用などの二次被害はいずれも確認されていない |
出典：こころネット株式会社「お知らせ」2026年10月20日（PDF）、福島民友新聞（Yahoo!ニュース）、福島テレビ（Yahoo!ニュース）、TUFテレビユー福島（Yahoo!ニュース）
こころネットの対応
同社の発表によると、不正アクセスの確認後に次の対応をとっています。
- 応急対応：不正に作られたアカウントの削除、攻撃元IPアドレスの遮断
- 監視：システムへのアクセス状況の継続的な監視
- 調査：外部の専門家による本格的な調査（2026年10月末頃に完了予定）
- 通知・報告：流出の可能性があるお客様への個別連絡、個人情報保護委員会への報告、警察への相談
- 再発防止：継続的な監視と保守運用体制の強化。将来的にはシステムの全面的なアップデートも検討
こころネットの発表と同じ10月20日、たまのやと喜月堂セレオはそれぞれの公式サイトに「不正アクセスによる個人情報流出の可能性に関するご報告とお詫び」を掲載しています。
▶ たまのや「不正アクセスによる個人情報流出の可能性に関するご報告とお詫び」
▶ 喜月堂セレオ「不正アクセスによる個人情報流出の可能性に関するご報告とお詫び」
メンテナンスによる機会損失
出典：株式会社たまのや（左が正常なページ、右がメンテナンス中に表示されるページ）
2026年10月22日時点では「このウェブサイトは予定されたメンテナンスを実行中です」という表示に変わっていました。
注目したいのは、停止そのものではなく表示の内容です。
画面には「予定されたメンテナンス」「あと少しで完了します」とあり、不正アクセスへの対応で止めていることは読み取れません。電話番号や受付時間の案内もなく、あるのはSNSへのリンクだけです。メンテナンス表示用の定型文がそのまま出ているものと見られます。
この画面を見たサイト訪問者が、どこに電話すればよいか分からないまま注文を諦めることは十分に考えられます。
それは注文の取りこぼしであると同時に、喪家への供花が一つ減ることでもあります。「システムを止めたときに何を表示するか」も、事前に決めておくべき項目の一つです。
注目すべき3つのポイント
① 公表までに約40日かかっている
不正アクセスの確認は9月10日、公表は10月20日です。個人情報保護委員会への報告は「速報」をおおむね3〜5日以内、「確報」を原則30日以内（不正な目的によるおそれがある場合は60日以内）に行う決まりですが、本人への通知と一般への公表のタイミングは企業の判断に委ねられています。約40日間、注文者は自分の情報が流出した可能性を知らない状態だったことになります。
② 狙われたのは「供花・供物の注文システム」
葬儀社の業務システムの中で、供花・供物の注文は「外部の人（会葬者）が、自分の氏名・住所・電話番号を入力する」数少ない接点です。しかも故人名と葬儀日程がセットで入力されます。攻撃者にとっては、葬儀社のサイトの中で最も「価値の高い」入口といえます。
③ こころネットは2024年にも不正アクセスを受けている
同社は2024年1月にも、社内サーバー4台が第三者の不正アクセスを受け、パスワードの改ざんや不明なファイルの生成が確認された事案を公表しています（Security NEXT 2024年2月、ScanNetSecurity 2024年2月）。2年半で2度目の事案であり、今回の「システムの全面的なアップデートも検討」という再発防止策は、業界各社にとっても他人事ではない重い判断です。
（2）他の葬儀社でも起こりうる内容か
結論から言えば、起こりえます。
むしろ、供花・供物のWeb注文を受け付けている葬儀社であれば、たまのやと同じ条件がそろっています。 以下、その理由を4つの観点から整理します。
-1- AIハッキングとは
「AIハッキング」とは、攻撃者が生成AIやAIエージェントを使って、狙えるサイトの探索、侵入経路の試行、侵入後の操作までを自動化・高速化するサイバー攻撃の総称です。
従来、地域の葬儀社のサイトが狙われにくかった理由は「攻撃者の手間に対して得られるものが少ない」からでした。AIはこの前提を崩します。AIは企業の規模や知名度に関係なく、インターネット上のサイトを機械的に走査し、「古いバージョンのソフトウェアが動いている」「ログイン画面が守られていない」サイトを自動的に見つけ出します。
見つかった後の侵入も、人間が手を動かす必要はほとんどありません。
政府は2026年5月に高性能AIの悪用を念頭にサイバー対策の具体化を指示し、10月8日には高市首相が「個人情報を持つ事業者」全般に向けた対策強化を表明しました。国内の不正アクセス被害は9月末時点で600件と過去最多のペースです。
なお、たまのやの事案にAIが関与したかどうかは公表されていません。ただし「小さな会社だから狙われない」という前提が成り立たなくなっている、という点を押さえてください。
-2- どのような手口か
こころネットは「第三者による不正アクセス」とのみ公表しており、侵入経路は明らかにしていません。ただし、応急対応として「不正アカウントの削除」と「攻撃元IPアドレスの遮断」を挙げていることから、攻撃者がシステム内に自分用のアカウントを作成できる状態にあったと読み取れます。
供花・供物の注文システムのような外部公開型のWebシステムで、一般に多い侵入経路は次の4つです。
| 経路 | 手口 | 葬儀社での典型例 |
|---|---|---|
| 古いソフトウェアの脆弱性 | 更新されていないCMS・プラグイン・PHPの既知の欠陥を突いて侵入する | 数年前に制作会社が納品したまま更新されていない注文システム |
| 管理画面への総当たり | 推測しやすいパスワードや使い回しのパスワードで管理画面にログインする | 「社名＋数字」のパスワード、担当者全員で共有している管理者ID |
| 入力フォームの悪用 | 注文フォームに不正な文字列を入力し、データベースを直接操作する（SQLインジェクション等） | 自社向けに独自開発された、セキュリティ診断を受けていないフォーム |
| 委託先・保守会社経由 | 制作会社や保守会社の端末・アカウントが侵害され、そこから入られる | 制作会社が複数の葬儀社サイトを同じ管理者アカウントで運用している |
いずれの経路も、「侵入された後に管理者権限を取られ、アカウントを作られる」という結果は共通します。たまのやの事案は、この結果の部分が公表内容と一致しています。
-3- 確認すべき事項は？
供花・供物のWeb注文、Web会葬、事前相談フォームなど「外部の人が個人情報を入力する仕組み」を持つ葬儀社は、次の項目を確認してください。
| 確認項目 | 確認方法 | 確認先 |
|---|---|---|
| 注文システムは「誰が」「いつ」作ったものか | 制作会社名、納品時期、使用しているCMS・言語を把握する | 制作会社、契約書 |
| 最後に更新したのはいつか | CMS本体・プラグイン・PHPのバージョンと更新日を確認する | 制作会社、サーバー管理画面 |
| 管理画面に多要素認証があるか | ログイン時にパスワード以外の確認（スマートフォンへのコード等）があるか | 管理画面の設定 |
| 管理者アカウントは誰が持っているか | 退職者・元制作会社のアカウントが残っていないか、見覚えのないアカウントがないか | 管理画面のユーザー一覧 |
| 注文データはどこに、いつまで残るか | 注文者の氏名・住所がサーバー内に蓄積され続けていないか。保存期間の設定はあるか | 制作会社 |
| クレジットカード情報を自社で保持していないか | 決済代行会社の画面で入力する方式になっているか | 制作会社、決済代行会社 |
| 不審なログインの記録がないか | 深夜・海外からの管理画面ログイン、大量のアクセスの記録がないか | 制作会社、サーバー管理画面 |
| 異変が起きたとき誰に連絡するか | 制作会社の緊急連絡先、サイバー保険の有無、警察のサイバー相談窓口 | 社内で1枚にまとめる |
このうち「管理者アカウントの一覧に見覚えのないアカウントがないか」は、たまのやの事案を踏まえると最も優先度の高い確認です。今日中に確認できます。
-4- よくある質問・疑問点
Q. 注文システムは制作会社に任せている。自社で何かする必要はある？
A. あります。個人情報保護法上の責任は、システムを作った制作会社ではなく、注文者の情報を預かっている葬儀社にあります。制作会社に「更新状況と管理者アカウントの一覧を報告してほしい」と依頼することが、葬儀社側の最初の一歩です。
Q. 供花の注文は年に数十件しかない。1万件も漏れることはないのでは？
A. 件数の問題ではありません。注文データが削除されずに残っていれば、10年分が蓄積されていることもあります。また、漏えいが数件であっても、個人情報保護委員会への報告義務と本人への通知義務は同じように発生します。
Q. 漏れたのは氏名・住所・電話番号だけで、カード情報ではない。深刻ではないのでは？
A. 葬儀に関する情報は、一般的な会員情報と性質が異なります。「誰が、いつ、誰の葬儀に供花を出したか」は、故人と注文者の人間関係、葬儀の日程、喪家の住所を推測する材料になります。空き巣や、相続・香典返しを装った詐欺電話に使われる恐れがあります。
Q. 不正アクセスを受けたかどうか、自社で判断できる？
A. 専門知識がなくても確認できる兆候はあります。管理画面に見覚えのないアカウントがある、サイトの表示が崩れる・勝手に別サイトに飛ぶ、注文者から「注文していないのに確認メールが来た」と連絡がある、サーバー会社から警告メールが届く、などです。一つでも当てはまれば、制作会社に連絡して調査を依頼してください。
Q. 公表はしなければならない？
A. 個人情報保護委員会への報告と本人への通知は法律上の義務です。一般への公表は義務ではありませんが、本人に個別連絡できない場合は公表で代替することになります。また、公表しない判断は、後に報道で明らかになった際の信用失墜のリスクを伴います。
Q. たまのやの事案は、話題のPHP脆弱性が原因？
A. 違います。次章で説明します。
（3）話題のPHP脆弱性について
たまのやの事案とは「別の問題」です
たまのやの不正アクセスが確認されたのは9月10日です。一方、PHPの脆弱性が公表されたのは10月20日、修正版の公開は10月21日23時です。時系列から見て、たまのやの事案は今回のPHP脆弱性とは直接の関係がありません。
こころネットも原因を「第三者による不正アクセス」としており、PHPには言及していません。
ただし、「今後、同じような事案が起きる入口」としては、両者は深くつながっています。
供花注文システムの多くは、PHPで動いています
PHPは世界のWebサイトの約7割で使われているプログラミング言語です。
葬儀社のホームページの大半を占めるWordPressも、供花・供物の注文フォームや小規模な注文システムも、その多くがPHPで書かれています。
10月20日に公表された2件の脆弱性（CVE-2026-109618／CVE-2026-109619）は、深刻度が10点満点中9.2の「緊急」で、ログイン不要でサーバー上のプログラムを外部から実行される恐れがあります。高市首相が自らXで修正プログラムの適用を呼びかけ、エックスサーバーやさくらインターネット、BASE、コドモンなどが予防的にサービスを止める異例の事態となりました。
「修正版が出たから安心」ではありません
修正版（PHP 8.5.12／8.4.27／8.3.36／8.2.35）は公開されましたが、注意すべき点が2つあります。
- 修正版が「用意された」ことと、自社のサイトが「修正版で動いている」ことは別です。
多くのレンタルサーバーでは、サイトごとにPHPのバージョンを選ぶ仕組みになっており、サーバー会社が修正版を用意しても、サイト側の設定が古いままでは守られません。 - PHP 8.1以前には修正版が提供されません。
数年前に制作会社が納品したまま更新されていない供花注文システムは、サポートが終了した古いPHPで動いている可能性が高く、その場合は「更新」ではなく「作り直し」が必要になります。
こころネットが再発防止策として「システムの全面的なアップデートも検討」と述べているのは、まさにこの点と重なります。古いシステムは、今回のPHP脆弱性に限らず、今後見つかるすべての脆弱性に対して「直せない」状態が続きます。
PHP脆弱性の背景、政府・各社の動き、葬儀社の業務別チェックリストは、葬研の別記事で詳しく解説しています。
▶ 【速報】PHPに最高レベルの脆弱性｜葬儀社が今すぐ確認すべきセキュリティ対策
（4）今からできる、問題にならないための対策
たまのやの事案とPHP脆弱性の2つから導かれる対策を、「供花・供物のWeb注文を持つ葬儀社」に絞って整理します。
今日中に：管理者アカウントとパスワード
- 注文システム・ホームページの管理画面を開き、ユーザー一覧に見覚えのないアカウントがないか確認する。自社で開けない場合は制作会社に一覧の提出を依頼する
- 退職者・元制作会社のアカウントを削除する
- 管理者パスワードを、他のサービスと使い回していない長いものに変更する
今週中に：システムの「年齢」を把握する
- 制作会社に「注文システムのPHPバージョン、CMS・プラグインの最終更新日、今回のPHP修正版への対応状況」を文書で報告してもらう
- PHP 8.1以前で動いている場合は、更新ではなく作り直しの見積もりを取る。それまでの間、注文受付を電話・FAXに切り替えることも選択肢に入れる
- 管理画面に多要素認証とログイン試行回数制限を入れる
- クレジットカード情報を自社サーバーで扱っていないか確認する。扱っていれば、決済代行会社の画面で入力する方式に変える（たまのやがこの方式だったため、カード情報は被害の対象外となりました）
今月中に：「溜めない」「渡さない」「決めておく」
| 方針 | 具体策 | ねらい |
|---|---|---|
| 溜めない | 注文データの保存期間を決め（例：葬儀終了後○ヶ月）、期限を過ぎたデータはサーバーから削除する | 漏えい時の件数を最小化する。10年分が残っている状態をなくす |
| 渡さない | 制作会社・供花業者・返礼品業者に渡す個人情報を必要最小限にし、メール添付やFAXでの名簿送付を見直す | 委託先経由の漏えいを防ぐ |
| 決めておく | 異変時の連絡先（制作会社の緊急窓口、警察のサイバー相談窓口、顧問、保険代理店）と、公表文の雛形を1枚にまとめる | たまのやのように「確認から公表まで」を短くし、説明責任を果たす |
「システムを持たない」という選択肢もある
供花・供物の注文が年に数十件であれば、自社で注文システムを抱えず、外部の専用サービスを利用する、あるいは電話受付に戻すという判断も合理的です。
外部サービスを使えば責任がなくなるわけではありませんが、少なくとも「古いPHPで動く独自システムを、誰も更新しないまま放置する」という最も危険な状態は避けられます。
自社で判断がつかない場合は、「管理者アカウントの一覧」と「PHPのバージョン」の2点だけでも、今週中に制作会社に確認してください。この2点に答えられない制作会社であれば、保守体制そのものを見直す時期です。
（5）「自社のホームページは大丈夫か」と不安な方は、葬儀屋jpにご相談ください
葬儀社の皆さまに、集客・採用支援サービスを幅広く提供している葬儀屋jpでは、先日のPHP脆弱性に続き、今回のたまのやの事案についても、葬儀社の皆さまからのご相談を受け付けています。
今回狙われたのは供花・供物の注文システムでしたが、事前相談フォーム、資料請求、Web会葬、会員ページなど、外部の方が氏名や住所を入力する仕組みであれば、構造は同じです。
次のような不安をお持ちの方は、ぜひ一度ご相談ください。
- ホームページや各種フォームを制作会社に任せきりで、管理画面を自社で開いたことがない
- 管理者アカウントの一覧を見ても、どれが誰のものか分からない。退職者や元制作会社のアカウントが残っているかもしれない
- 制作会社にPHPのバージョンや更新状況を聞いたが、明確な返事が返ってこない
- フォームから届いた個人情報が何年分サーバーに残っているのか、自社で把握できていない
- 不正アクセスが起きたとき、どこに連絡し、何を表示し、どう公表すればよいのか決まっていない
葬儀屋jpでは、多要素認証の標準導入、WordPressプラグインの定期的な更新代行、委託先向けセキュリティチェックシートの提供を2026年10月22日から開始しています。これらのご利用の有無にかかわらず、「自社の状況を誰かに整理してほしい」という段階でのご相談も歓迎です。
まずは第4章の「今日中に」の項目を確認し、それでも判断がつかない点があれば、【問い合わせ窓口】までお気軽にお寄せください。
まとめ｜「業界外の話」が「業界の話」になった日
たまのやの事案は、漏えいの事実も二次被害も確認されておらず、同社は応急対応から外部調査、当局への報告まで、求められる手順を踏んでいます。本記事は同社を批判するものではありません。
ただ、業界にとって重いのは、「葬儀社のホームページの供花注文」という、全国の葬儀社が同じように持っている仕組みが狙われ、報道されたという事実です。これまで「大手の話」だった個人情報漏えいが、地域の葬儀社の話になりました。
やるべきことは高度ではありません。今日、管理者アカウントの一覧を見る。今週、制作会社にPHPのバージョンを聞く。今月、注文データの保存期間と異変時の連絡先を決める。この3つで、たまのやと同じ立場になる確率は大きく下がります。
葬研では、こころネットによる外部調査の結果（10月末頃完了予定）と、業界向けシステム提供会社各社の対応を引き続き追い、本記事に追記します。