要点
発表された事実
- 靖國神社は2026年11月11日、同神社が運営するオンライン授与品・頒布品サイトへの不正アクセスで、登録者の個人情報の一部が外部に漏えいしたことを確認したと発表した（靖國神社）。
- 10月28日に不正アクセスが判明し、同日中にサイトの公開を停止した（同）。
- 漏えいしたのは、氏名、メールアドレス、会員アカウントのパスワードに関する情報（ハッシュ値と、その生成に使う補助情報）、アカウントの管理情報（登録日時、利用状態）。対象は約14,500件で、調査中のため変わる可能性がある（同）。
- 神社は、パスワード情報はそのままでは読めないが、第三者に元のパスワードを特定されるおそれがあると説明している（同）。
- カード番号・有効期限・セキュリティコード、住所、電話番号、生年月日、購入履歴の漏えいは確認されていない。カード決済は決済代行会社の画面で行う仕組み。二次被害は確認されていない（同）。
わかっていないこと
- 不正アクセスの原因と侵入経路。
- 確定件数。
- パスワードのハッシュ方式（特定のされやすさに関わる）。
- サイトの今後と、同サイトのパスワードの扱い。
関係しそうな既知の手口
- （考察）ハッシュ化されたパスワードが漏れた国内事例にはシグナルトーク「Maru-Jan」がある。漏れたハッシュは時間をかけて解析されうるため、使い回し先のパスワード変更が実際の対策になる。
概要
- 判明から公表まで約2週間あり、その間に調査で漏えいを確認したという流れ（靖國神社）。
- 対象者には漏えいしたメールアドレス宛てに個別に連絡する。差出人は ec-info@yasukuni.jp、件名は「【靖國神社】個人情報漏洩のお詫びとお知らせ（オンライン授与品・頒布品サイト）」で、リンクや添付ファイルは付けないとしている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-28 | 不正アクセスが判明、同日中にサイト公開を停止 | 靖國神社 |
| 2026-11-11 | 個人情報の漏えいを公表 | 同 |
発表内容の整理
事実（靖國神社の11月11日の発表による）
| 項目 | 内容 |
|---|---|
| 対象 | オンライン授与品・頒布品サイト |
| 件数 | 約14,500件（調査中） |
| 漏えいした情報 | 氏名、メールアドレス、パスワードのハッシュ値と生成用の補助情報、登録日時、利用状態 |
| 確認されていない情報 | カード番号・有効期限・セキュリティコード、住所、電話番号、生年月日、購入履歴 |
| 対応 | サイト停止（当面継続）、サイト管理会社と原因・範囲を調査、対象者へ個別メール |
出典：靖國神社「靖國神社オンライン授与品・頒布品サイトへの不正アクセスによる個人情報漏洩のお詫びとお知らせ」（2026-11-11）
考察
- 「ハッシュ値とその生成に用いる補助情報」は、ソルト付きのハッシュを指していると読める。ソルトがあっても、弱いパスワードや使い回されたパスワードは総当たりで特定されうるため、神社が「特定されるおそれ」と書いたのは妥当な説明だ。
- 漏えい項目が会員アカウントの情報にとどまり、住所や購入履歴が含まれていないことから、会員テーブルだけが読まれた可能性がある。ただし原因が公表されていないため、どこまで侵入されたかはわからない。
- 個別通知に「リンクも添付もない」と明記しているのは、通知を装った偽メールと見分けやすくする工夫として参考になる。
利用者・運用者がいまできること
- 利用者：同サイトと同じパスワードを他のサービスで使っている場合は、そちらを変更する。靖國神社を名乗るメール・SMS・電話でパスワードやカード番号を聞かれても答えない。
- 運用者：会員パスワードの保存方式（ソルト付きの遅いハッシュ関数か）を確認する。漏えい時の個別通知文に、正規の差出人とリンクの有無を書いておく。