茨城県ひたちなか市のソフトウエア会社、株式会社ビジネステックが自治体向けに提供する「斎場予約システム」が第三者の不正アクセスを受け、栃木県足利市で約8,800人分の個人情報と登録葬祭事業者56社の情報が漏えいしたおそれがあることが分かりました。
同社は2026年10月15日夕方に不正アクセスを確認し、被害拡大を防ぐため、同じシステムを使う栃木・茨城・埼玉・群馬・新潟の計20の自治体・一部事務組合の予約システムを一斉に停止。
茨城県内では笠間市、つくば市、大子町、取手市・守谷市・つくばみらい市の共同運営「やすらぎ苑」、うしくあみ斎場など11の公営斎場が停止し、各斎場は電話やファックスでの予約受付に切り替えています。
先に葬研でお伝えしたたまのやの事案は「葬儀社自身のホームページ」が狙われたものでした。今回は「火葬場・斎場の予約システム」、つまり葬儀社が毎日のように使い、自治体がベンダーに委託している業界インフラそのものが止まりました。
しかも漏えいのおそれがある情報には、故人と申請者（喪主）の情報だけでなく、登録葬祭事業者56社の会社名・住所・電話番号・メールアドレスが含まれています。
葬儀社は、この事案の「利用者」であると同時に「被害者」でもあります。
本記事では、何が起きたのかを整理したうえで、「他の斎場予約システムでも起こりうるのか」「葬儀社・火葬場運営企業は何を確認すべきか」「今から何ができるか」を、業界の実務に沿って解説します。
※本記事は2026年10月22日時点の公表情報・報道に基づく速報です。ビジネステックによる調査は継続中で、漏えいの有無・範囲は確定していません。続報があり次第追記します。
（1）どのくらいの被害か
まずは今回発生した被害の全体像をご紹介します。以下の表をご覧ください。
事案の概要
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月18日（足利市、ビジネステック） |
| システム提供元 | 株式会社ビジネステック（茨城県ひたちなか市） |
| 不正アクセスを確認した日時 | 2026年10月15日（木）17時頃。足利市では同日、葬祭事業者から「予約できない」との連絡があり異常が判明 |
| 判明している不正行為 | データベースへの不正な照会、システムの「お知らせ欄」への不正なデータ追加 |
| 漏えいのおそれがある情報（足利市分） | ①斎場利用者約8,800件（2022年12月1日以降の利用分）：死亡者の氏名・生年月日・住所・性別、申請者の氏名・住所・電話番号／②登録葬祭事業者56社：会社名・住所・電話番号・メールアドレス |
| 停止したシステム | ビジネステックが提供する全自治体の予約システム（計20の自治体・一部事務組合。栃木県6市、茨城・埼玉・群馬・新潟県） |
| 足利市以外の被害 | 各自治体のサーバーは別々で、足利市以外での被害は確認されていない。笠間市・龍ヶ崎市は「不正アクセス・漏えい・改ざんの痕跡なし」と公表（予防的停止） |
| 再開見込み | 未定。「安全性を十分に確認したうえで案内」（ビジネステック）。朝日新聞は「数日かかる見通し」と報道 |
出典：足利市「足利市斎場予約システム」における不正アクセスに伴う個人情報の漏えいのおそれについて、ビジネステック「斎場予約システムへの不正アクセス及び個人情報漏洩のおそれに関するお詫びとお知らせ」、笠間市「笠間広域斎場 やすらぎの森システムについてのお知らせ（第2報）」、阿見町「うしくあみ斎場予約受付システム一時停止について」、茨城新聞クロスアイ（Yahoo!ニュース）、東京新聞、NHK（10月20日）
時系列
次に、事態の時系列を整理します。
| 日時 | 出来事 |
|---|---|
| 10月15日（木）17時頃 | ビジネステックが足利市のシステムへの不正アクセスを確認。同日、葬祭事業者から「予約できない」との連絡 |
| 10月15日（木）18時頃 | 同社が提供する全施設の予約システムを緊急停止 |
| 10月16日（金） | 足利市が電話予約に切り替え、登録葬祭事業者にメール等で一斉周知。笠間市・阿見町など茨城県内の自治体が停止を告知 |
| 10月18日（日） | 足利市とビジネステックが公表 |
| 10月19日（月） | 朝日新聞・NHKが報道。茨城県内の影響が明らかに |
| 10月20日（火） | 茨城新聞が「県内11斎場が対応に追われる」と報道。NHKが牛久の電話対応の状況を報道 |
現場で何が起きているか
停止中の斎場では、火葬・式場の予約を電話・ファクスで受け付けています。
茨城新聞やNHKの報道によれば、斎場職員は電話対応に追われ、葬儀社側も空き状況を電話で確認してからご遺族に日程を提示する「システム導入前」の運用に戻っています。
システム導入から年数が経った斎場では、電話受付の手順を知らない職員・葬儀社担当者も少なくないとみられます。
注目すべき3つのポイント
① 「1社のベンダー」が止まると「20の自治体」が止まる
被害が確認されたのは足利市のサーバーだけですが、ビジネステックは同じシステムを使う全自治体の予約を止めました。正しい判断ですが、被害のない茨城県内の11斎場も業務が止まりました。
公営斎場の予約システムは、少数の専門ベンダーが広域で提供していることが多く、「1社の事故が地域全体の火葬業務に波及する」構造があります。
② 漏えいのおそれがあるのは「死亡者と喪主」の情報
死亡者の氏名・生年月日・住所・性別と、申請者（多くは喪主）の氏名・住所・電話番号がセットです。
これは「誰が亡くなり、誰が喪主で、どこに住んでいるか」がそのまま分かる情報であり、相続を装った詐欺や、喪家を狙った空き巣の材料になります。足利市も、市役所や委託事業者を装った不審なメール・電話への注意を呼びかけています。
③ 葬儀社56社の情報も含まれている
登録葬祭事業者の会社名・住所・電話番号・メールアドレスは、攻撃者にとって「次の標的リスト」になります。市役所やビジネステックを装って「システム再開のためパスワードを再設定してください」というメールが届けば、多忙な葬儀社の担当者が開いてしまう可能性は十分にあります。
足利市は葬祭事業者に対し、不審なメールのURL・添付ファイルを開かず削除するよう求めています。
（2）他の公営斎場予約システムでも起こりうる内容か
結論から言えば、他の公営斎場予約システムでも同様の被害は起こりえます。
そして、葬儀社の側からは「選べない」リスクです。
斎場予約システムは自治体が調達し、ベンダーが運用します。葬儀社は「登録事業者」として使うしかなく、セキュリティ水準を選ぶことも、改善を求めることも、これまではほとんどありませんでした。
だからこそ、「自社が影響を受けたときにどう動くか」を先に決めておく必要があります。
-1- AIハッキングとは
「AIハッキング」とは、攻撃者が生成AIやAIエージェントを活用し、攻撃対象となり得るシステムの洗い出しから侵入経路の試行、侵入後の操作に至るまでを自動化・高速化するサイバー攻撃の総称を指します。
公営斎場の予約システムは、これまで「攻撃者にその存在自体を認識されていない」ことが、事実上の防御として機能してきました。利用できるのは地域の登録葬儀社のみで、一般の人の目に触れる機会もありません。しかし、AIはこの前提を覆します。
AIは、インターネット上のシステムを知名度の有無にかかわらず機械的にスキャンし、「古いソフトウェアで稼働している」「ログイン画面が保護されていない」といったシステムを自動的に検出します。「知られていないから安全」という考え方は、もはや通用しなくなっています。
政府は2026年5月、高性能AIの悪用を想定したサイバー対策の具体化を指示し、10月8日には高市首相が「個人情報を保有する事業者」全般を対象とした対策強化を表明しました。国内の不正アクセス被害は9月末時点で600件に達し、過去最多のペースで推移しています。なお、ビジネステックの事案にAIが関与していたかどうかは公表されていません。
-2- どのような手口か
ビジネステックは侵入経路を公表していませんが、判明している不正行為は2つです。
- データベースへの不正な照会：攻撃者がデータベースに直接問い合わせを行える状態にあった。氏名・住所・電話番号が漏えいした「おそれ」とされているのはこのためです
- お知らせ欄への不正なデータ追加：システムの表示内容を書き換えられた。改ざんです
この2つが同時に起きる典型的なパターンは、入力欄に不正な文字列を送ってデータベースを直接操作する「SQLインジェクション」と呼ばれる手口です。ただしこれは一般論であり、ビジネステックの事案での手口がこれであると確認されたわけではありません。
公営斎場の予約システムに特有の構造的な弱点もあります。
| 構造的な弱点 | なぜ弱いか | 今回の事案との関係 |
|---|---|---|
| 導入から年数が経っている | 自治体の調達は5年・10年単位。システムの土台（PHPやデータベース）が更新されないまま使われ続ける | 足利市の漏えい対象は2022年12月以降の利用分。少なくとも4年分のデータが蓄積されていた |
| 1社が多数の自治体に同じシステムを提供 | 1つの欠陥が全自治体に共通する。攻撃者にとっては「1つ見つけれだ20つ入れる」 | 20の自治体・一部事務組合が一斉停止 |
| ログインが「事業者ID＋パスワード」のみ | 登録葬儀社向けのシステムは、多要素認証を導入していないことが多い。葬儀社側でパスワードを使い回していれば、他社の漏えいから侵入される | 今回の侵入経路は未公表 |
| 自治体側にシステムを点検する人材がいない | 市民課・環境課が所管することが多く、情報システム部門の監視対象になっていないことがある | 足利市の問い合わせ先は市民課 |
-3- 関係者が確認すべき事項は？
立場ごとに確認項目が異なります。
葬儀社（登録事業者）が確認すべきこと
| 確認項目 | 内容 | 期限 |
|---|---|---|
| 自社が影響範囲に含まれるか | 利用している公営斎場の予約システムがビジネステック製か。自治体のお知らせを確認する | 今日 |
| 予約システムのパスワードを他で使い回していないか | 使い回していれば、他のサービス（メール、会計、SNS）側のパスワードを先に変更する | 今日 |
| 不審なメール・電話への周知 | 「市役所・システム会社を名乗るメールのリンク・添付は開かない」を全スタッフに伝える | 今日 |
| 電話・ファクス予約の手順 | 各斎場の電話番号、受付時間、必要書類を事務所に掲示する。夜間の搬送時に「予約が取れない」とご遺族に説明する文言を決める | 今日 |
| ご遺族への説明 | 「市の予約システムが停止しており、日程確定に時間がかかる」ことを、打合せの最初に伝える | 停止中 |
| 漏えい通知が届いたときの対応 | ビジネステックからの個別通知が届いたら、内容を記録し、自社の顧客（申請者）から問い合わせがあった場合の回答を準備する | 通知後 |
火葬場・斎場運営企業（指定管理者・運営受託）が確認すべきこと
| 確認項目 | 内容 | 確認先 |
|---|---|---|
| 予約システムの提供元と導入年 | ベンダー名、契約年、次回更新時期 | 自治体所管課、契約書 |
| システムの土台がいつ更新されたか | PHP・データベース・OSのバージョンと最終更新日。サポート終了製品が残っていないか | ベンダー |
| 予約データの保存期間 | 何年分の死亡者・申請者情報がシステム内に残っているか。削除ルールはあるか | 自治体、ベンダー |
| ベンダーが停止したときの代替手順 | 電話・ファクス受付の様式、台帳、登録葬儀社への一斉連絡手段があるか | 自社 |
| 漏えい時の責任分担 | 自治体・ベンダー・運営企業の誰が、誰に、いつ通知するかが契約・仕様書に書かれているか | 契約書、仕様書 |
| 登録葬儀社の連絡先の管理 | 事業者のメールアドレス・電話番号が、予約システムとは別にも保管されているか（システム停止時に連絡できなくなる） | 自社 |
-4- よくある質問・疑問点
Q. 予約システムは市のもの。葬儀社に責任はないのでは？
A. システムの管理責任は自治体とベンダーにあります。ただし、ご遺族から見れば「自分の情報を入力したのは葬儀社」です。漏えいの通知が届いたご遺族が最初に電話するのは、市役所ではなく、葬儀を担当した葬儀社です。法的責任とは別に、説明できる準備が必要です。
Q. システムが止まっている間、火葬の予約はどうなる？
A. 各斎場が電話・ファクスで受け付けています。ただし、空き状況をリアルタイムで見られないため、日程調整に時間がかかります。夜間・休日の搬送時にご遺族へ「明日の午前中に斎場と電話で確認してから日程をお伝えします」と先に説明しておくことが、クレームを防ぎます。
Q. 自社の情報（会社名・メールアドレス）が漏れたとして、何が困る？
A. 会社名・住所・電話番号は公開情報ですが、「このメールアドレスの持ち主は、足利市斎場の予約システムを使っている」という紐づけが漏れたことが問題です。「足利市斎場予約システム 再開のお知らせ」という件名の偽メールは、この紐づけがあって初めて成立します。
Q. 漏れたかもしれない故人・喪主の情報は、自社が通知しなければならない？
A. 通知の主体は自治体とベンダーです（足利市はビジネステックから個別通知すると発表）。葬儀社が独自に通知する必要はありませんが、問い合わせを受けたときに「市のシステムの件です。詳細は市民課の○○番へ」と案内できるよう、自治体の問い合わせ先を控えておいてください。
Q. ビジネステックの事案は、話題のPHP脆弱性が原因？
A. 時系列から見て別の問題です。次章で説明します。
（3）話題のPHP脆弱性について
ビジネステックの事案とは「別の問題」です
ビジネステックが不正アクセスを確認したのは10月15日。PHPの脆弱性が公表されたのは10月20日、修正版の公開は10月21日23時です。
時系列から見て、今回の事案はPHP脆弱性とは直接の関係がありません。ビジネステックはシステムの構成も侵入経路も公表しておらず、同社の予約システムがPHPで動いているかどうかも分かっていません。
それでも「同じ週」に起きたことの意味
10月15日に斎場予約システムが止まり、20日にたまのやの供花注文システムの漏えいが公表され、21日にPHP脆弱性でエックスサーバーやさくらインターネットが予防的に止まりました。
この1週間で、葬儀社が業務で触れるWebシステムの3つの層、すなわち①自治体のインフラ（斎場予約）、②自社のホームページ（供花注文）、③その土台（レンタルサーバーとPHP）が、すべて当事者になりました。
公営斎場の予約システムとPHP脆弱性の関係
PHPは世界のWebサイトの約7割で使われており、自治体向けの予約・申請システムにも広く使われています。
10月20日に公表された2件の脆弱性（CVE-2026-109618／CVE-2026-109619）は、深刻度が10点満点中9.2の「緊急」で、ログイン不要でサーバー上のプログラムを外部から実行される恐れがあります。高市首相が自らXで修正プログラムの適用を呼びかける異例の事態となりました。
自治体システムに特有の注意点が2つあります。
- サポート終了したPHPで動いている可能性が高い。修正版はPHP 8.2以降にしか提供されません。5年・10年単位で調達され、導入時の環境のまま使われている自治体システムは、「更新」ではなく「作り直し」が必要な状態にあるかもしれません。
- 更新の判断をするのはベンダーで、自治体も葬儀社も状況を知らない。今回のPHP修正版に対して、各地の斎場予約システムがいつ対応したのかを公表している自治体は、葬研が確認した範囲ではありません。
ビジネステックの事案でたまたま停止している斎場は、皮肉にもPHP脆弱性の「修正版公開前後の危険な時間帯」を停止状態で過ごしています。
一方、ビジネステック以外のベンダーのシステムを使っている斎場は、稼働したままこの時間帯を越えています。「止まっていない」ことは「安全だった」ことを意味しません。
PHP脆弱性の背景、政府・各社の動き、葬儀社の業務別チェックリストは、葬研の別記事で詳しく解説しています。
▶【速報】PHPに最高レベルの脆弱性｜葬儀社が今すぐ確認すべきセキュリティ対策
また、「葬儀社自身のホームページ」が狙われたたまのやの事案については、供花・供物のWeb注文を持つ葬儀社向けの確認項目とあわせて別記事で整理しています。
▶ 【速報】たまのやの個人情報漏えいから考える、葬儀社のセキュリティ対策
（4）各関係者が行うべき対策を解説
斎場予約システムは葬儀社が自分で直せないシステムです。
だからこそ、対策は「システムを守る」ことではなく「システムが止まっても、漏れても、自社とご遺族が困らない」ようにしておくことになります。
葬儀社が今日できること
- 予約システムのパスワードを専用のものにする：自治体システムのパスワードが漏れたとき、自社のメールや会計ソフトまで入られないようにする。複数の斎場システムを使っている場合も、それぞれ別のパスワードにする
- 電話予約の手順書を1枚作る：利用する全斎場の電話番号、受付時間、ファクス番号、必要書類。システム導入後に入社したスタッフは電話予約をしたことがありません
- ご遺族への説明文言を決める：「市の予約システムが停止しているため、火葬の日程は明日午前中に斎場と確認してからお伝えします」。先に伝えれば理解され、後から伝えればクレームになります
- 不審メールへの注意を朝礼で伝える：「市役所・システム会社・サーバー会社を名乗るメールのリンクは開かず、電話で確認する」
葬儀社が今月中にできること
| 対策 | 内容 | ねらい |
|---|---|---|
| 自社が使う外部システムの一覧化 | 斎場予約、互助会、Web会葬、訃報配信、供花注文、クラウド会計など。それぞれ「提供元」「停止時の代替手段」「預けている個人情報」を書き出す | 次にどこが止まっても、当日に動ける |
| 予約システムの利用者アカウントの棚卸し | 退職者のIDが残っていないか。共有IDをやめて個人別にできないか自治体に相談する | 自社経由の侵入を防ぐ |
| 自社ホームページの点検 | たまのやの事案とPHP脆弱性を踏まえ、供花注文・事前相談フォームのPHPバージョンと管理者アカウントを制作会社に確認する | 自社が「次のたまのや」にならない |
| サイバー保険の確認 | 外部システム経由の漏えいで自社に問い合わせ・苦情対応が発生した場合の補償範囲 | 費用の備え |
火葬場・斎場運営企業が自治体に提案できること
指定管理者や運営受託企業は、システムの調達権限を持ちませんが、現場の課題を最もよく知っています。今回の事案は、自治体に次の提案をする機会です。
- 停止時の業務継続手順（BCP）の文書化：電話・ファクス受付の様式、空き状況の管理台帳、登録葬儀社への一斉連絡手段。今回、これがなくて現場が混乱した斎場は少なくないはずです
- ベンダーへの定期的なセキュリティ確認の契約化：PHP・OS・データベースのバージョン、脆弱性診断の実施、多要素認証の導入を、年に一度は文書で報告させる
- 予約データの保存期間の設定：火葬終了後、死亡者・申請者の情報をシステム内に何年残すか。足利市では4年分が対象になりました。統計・台帳の目的であれば、個人を特定できない形にして残すことができます
- 漏えい時の役割分担の明文化：自治体・ベンダー・運営企業のうち、誰がご遺族への通知を行い、誰が問い合わせ窓口になるか。今回は自治体が窓口、ベンダーが通知でしたが、契約で決まっていない自治体は多いとみられます
「止まっても回る」ことが、業界の強みになる
葬儀は延期できません。システムが止まっても、火葬は行われ、茨城県内の11斎場は電話とファクスで業務を続けています。これは、完全にデジタル化された業界にはない、葬儀業界の強みです。
ただし、その強みは「電話での受付を知っているスタッフがいる」間しか続きません。システム導入後に入社した世代が多数になる前に、「止まったときのやり方」を文書にしておく。それが、今回の事案から得られる、最も費用のかからない教訓です。
（5）葬儀屋jpでもご相談を受け付けています
葬儀社の皆さまに、集客・採用支援サービスを幅広く提供している葬儀屋jpでは、PHP脆弱性、たまのやの事案に続き、今回の公営斎場予約システムの停止についても、葬儀社・火葬場運営企業の皆さまからのご相談を受け付けています。
斎場予約システムは、葬儀社が選ぶことも直すこともできません。だからこそ、相談の中身は「システムを守る」ことではなく、「自社が困らない準備ができているか」になります。次のような不安をお持ちの方は、ぜひ一度ご相談ください。
- 斎場予約、互助会、Web会葬、訃報配信、供花注文など、自社が使っている外部システムを一覧にしたことがなく、どこが止まると何ができなくなるのか把握できていない
- 電話・ファクスでの予約手順を知っているのがベテランだけで、システム導入後に入社したスタッフが夜間の搬送時に対応できるか不安
- 「市のシステムが停止しています」とご遺族にどう説明すればよいか、社内で文言が決まっていない
- 市役所やシステム会社を名乗る不審メールへの注意を、全スタッフに徹底できている自信がない
- 外部システムの事案をきっかけに、自社ホームページの供花注文や事前相談フォームも気になってきたが、制作会社に何を聞けばよいか分からない
葬儀屋jpでは、多要素認証の標準導入、WordPressプラグインの定期的な更新代行、委託先向けセキュリティチェックシートの提供を2026年10月22日から開始しています。これらのご利用の有無にかかわらず、「自社の状況を誰かに整理してほしい」という段階でのご相談でも構いません。
まずは第4章の「葬儀社が今日できること」の4項目を確認し、それでも判断がつかない点があれば、【問い合わせ窓口】までお気軽にお寄せください。
まとめ｜葬儀社は「利用者」であり「被害者」であり「説明する側」でもある
ビジネステックの事案は、漏えいの有無も範囲もまだ確定していません。
同社が確認後1時間で全施設を停止し、足利市が翌日には電話受付に切り替えて登録事業者に周知した対応は、初動としては適切です。本記事は同社や自治体を批判するものではありません。
業界にとって重いのは、この1週間で「自治体のインフラ」「葬儀社のホームページ」「その土台」の3つが立て続けに当事者になったことです。そして、どのケースでも、ご遺族に最初に説明を求められるのは葬儀社です。
やるべきことは高度ではありません。今日、予約システムのパスワードを専用にし、電話予約の手順を掲示する。今週、ご遺族への説明文言と不審メールへの注意を全員に伝える。今月、自社が使う外部システムを一覧にし、自社ホームページのPHPバージョンを制作会社に確認する。
葬研では、ビジネステックの調査結果とシステム再開、各自治体の続報を引き続き追い、本記事に追記します。