村田製菓所「被害者の方は削除フォームへどうぞ」→そのフォームで全件流出

1：パロ速名無し 2026/04/28(火) 08:24:44 ID:hMLbm9Sp1

村田製菓所、流出被害者向け「個人情報削除フォーム」を流出データ全件一覧付きで公開　被害者の指摘で発覚

村田製菓所（本社・京都府）は27日、同社の個人情報流出問題への対応措置として設置した「個人情報削除依頼フォーム」が、流出元データを全件一覧表示する状態で公開されていたと発表した。フォームにアクセスした被害者の一人が「他人の氏名や住所が全部見えている」と同社窓口に報告し発覚。調査の結果、フォームの設計段階でデータベースへのアクセス制限が一切設定されておらず、アクセスした閲覧者全員が流出データの完全なリストを参照できる状態が数日間にわたって継続していたことが確認された。事実上の二次流出である。同社の危機対応チームは「削除フォームそのものが流出源になるケースは想定していなかった」とコメントした。現在はフォームを緊急閉鎖し、再発防止策を検討中としている。なお、被害者向けの新たな問い合わせ窓口については、現在「慎重に設計中」だという。

引用元: 村田製菓所、流出被害者向け「個人情報削除フォーム」を流出データ全件一覧付きで公開　被害者の指摘で発覚

23：パロ速名無し 2026/04/28(火) 10:35:27 ID:syOcgR927

そもそもなんで菓子屋がそんなに個人情報持っとんや

24：パロ速名無し 2026/04/28(火) 10:53:57 ID:CDKh4WvS5

>>23
通販とか会員サービスとかやろ

31：パロ速名無し 2026/04/28(火) 11:16:03 ID:lVGDdJu51

DBに認証かけるのって基礎の基礎やぞ
SQLインジェクション以前の問題
フォーム作った人間、研修受けさせてもろたんか？
ワイ一応エンジニアやけどこのレベルのミスはさすがに擁護できんわ
SQL書けるけどセキュリティわからんで「フォーム作りました！」って出してきたんやろな

56：パロ速名無し 2026/04/28(火) 12:43:28 ID:PQa9IqNp9

「慎重に設計中」←同じ担当者が設計すんの？？

57：パロ速名無し 2026/04/28(火) 13:01:29 ID:S9bIx1kN6

>>56
次もやらかすの確定やん

63：パロ速名無し 2026/04/28(火) 13:26:23 ID:rbHvIn2k6

関係ないけどムラタって滋賀の電子部品メーカーと紛らわしいな

78：パロ速名無し 2026/04/28(火) 14:08:07 ID:7faNOuAh3

セキュリティの話するとな
DBに一覧を返すAPIを作って、フォームからそのAPIを叩く構造やったんやろ
その時にユーザー認証とか「自分のデータのみ返す」フィルタリングを入れ忘れた
おそらく「自分のメアド入力したら自分のデータだけ出てきて消せる」設計にしたかったのが
「誰でもアクセスできる全件返すAPI」になっとったんやと思う
原因は数行の認証コードの欠落やけど被害は最大級になるんよなぁ

82：パロ速名無し 2026/04/28(火) 14:25:14 ID:jD6kYtI47

>>78
すまんIT詳しくないんやがこれって防ぐのむずかしいんか？

89：パロ速名無し 2026/04/28(火) 14:48:36 ID:Vf7shZCU4

村田製菓所の危機対応マニュアル
Step1: 個人情報を流出させる
Step2: 謝罪して削除フォームを設置する
Step3: 削除フォームで個人情報を流出させる
Step4: 謝罪して新窓口を「慎重に設計中」
Step5: ← 今ここ

91：パロ速名無し 2026/04/28(火) 15:08:45 ID:v8Ygwsek0

>>89
天才すぎる

97：パロ速名無し 2026/04/28(火) 15:26:42 ID:4Shwp7RG0

>>89
笑いすぎてこれ声出たわ

103：パロ速名無し 2026/04/28(火) 15:50:36 ID:zeKf0LIi0

>>89
Step5に何が入るか想像したら怖くて草

138：パロ速名無し 2026/04/28(火) 18:18:46 ID:6qKzcW102

>>89
テンプレにしてええか

256：パロ速名無し 2026/04/29(水) 00:57:15 ID:LvDMabOm2

>>89
Step6まで行きそうで草

112：パロ速名無し 2026/04/28(火) 16:37:30 ID:6sLDTurb8

こういう会社って外注でフォーム作ってもらって自分らは仕組みわかってないパターンやろな

115：パロ速名無し 2026/04/28(火) 16:56:03 ID:0Hcbol697

>>112
それが真相感あるな

119：パロ速名無し 2026/04/28(火) 17:15:11 ID:2dAYChHo4

この手の話って大体「想定していなかった」で終わるよな
想定してないことを想定するのがセキュリティやろに

131：パロ速名無し 2026/04/28(火) 18:00:19 ID:aSXu1Qwy8

ちょっと調べたら村田製菓所って結構有名な老舗らしいな
IT対応はガバガバでも商品は美味いのかもしれんけど
これだけやらかしたら信頼回復に何年かかるんやろ
お菓子業界って意外と個人情報けっこう持っとるよな
ポイントカードとか定期購入とかで蓄積しとるやつ

142：パロ速名無し 2026/04/28(火) 18:41:39 ID:7NKvQIEg1

削除したとして本当に消してるのか確認する術もないしな

152：パロ速名無し 2026/04/28(火) 19:20:16 ID:Swo4pJUZ5

ワイ昔こういうフォーム設計する仕事してたけど
認証なしで全件返すAPIとか絶対やらかすなって言われてたで
レビューしてる人おらんかったんやろな

156：パロ速名無し 2026/04/28(火) 19:46:41 ID:QvU3JgN79

>>152
現場では常識なのに現場外では非常識やったわけか

163：パロ速名無し 2026/04/28(火) 20:06:49 ID:WuhIaoi12

「慎重に設計中」の窓口、どうせメールフォームか電話番号やろ
それも漏らすんか

171：パロ速名無し 2026/04/28(火) 20:28:20 ID:LBOcHrPY1

でもまあ最初の流出の原因何なんやろな
その話が全然出てないのが気になる

178：パロ速名無し 2026/04/28(火) 20:43:39 ID:7dNDMm3y1

>>171
それなんよな
本筋の流出原因がぼやけとる

184：パロ速名無し 2026/04/28(火) 21:11:06 ID:UDXJvulT1

お詫びの品として村田製菓所のお菓子くれたら笑う

189：パロ速名無し 2026/04/28(火) 21:33:08 ID:2pLMq1us3

>>184
「被害者各位へ、お詫びとしてクッキー1箱をお送りします」

193：パロ速名無し 2026/04/28(火) 21:46:35 ID:L5SCbNUX1

まあ被害者からしたら笑えないんやけどな
住所氏名が数日間公開されてたって相当やぞ
ストーカーとか勧誘業者がアクセスしてたら終わりやん

203：パロ速名無し 2026/04/28(火) 22:35:24 ID:SmKUHENF9

問題起きた時の対応で会社の本質がわかるって言うけど
村田製菓所はわかりやすく本質出たよな

215：パロ速名無し 2026/04/28(火) 23:16:39 ID:hjZdJeaN5

セキュリティ会社に相談せずに社内で解決しようとしたのが失敗やろな

222：パロ速名無し 2026/04/28(火) 23:37:52 ID:IwgzTWlM2

>>215
コスト削減の結果がこれやからな

231：パロ速名無し 2026/04/28(火) 23:56:33 ID:wW5TfAoV5

これ被害者に個別補償どうすんやろな
数日間住所ダダ漏れやったやつに何ができるっていう

247：パロ速名無し 2026/04/29(水) 00:37:00 ID:eM3ntl7L8

村田製菓所の関係者ここ見てたら「慎重に設計中」の窓口ちゃんと外部のセキュリティ会社に頼んでくれな

271：パロ速名無し 2026/04/29(水) 01:17:00 ID:CiWpvkMR5

結局新しい窓口もちゃんとできるんか
被害者の人ら宙ぶらりんで終わらんといてほしいけど...