対象：エディオンのECサイトを利用した人、とくに11月4日19時以降にパソコンでカード情報を入力した人、エディオンギフトカードを持っている人、ログインIDとパスワードの対象としてメールが届いた人。本記事は**エディオンの公式発表（第1報・第2報）**にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
エディオンのECサイトを利用した人、とくに11月4日19時以降にパソコンでカード情報を入力した人、エディオンギフトカードを持っている人、ログインIDとパスワードの対象としてメールが届いた人。
- 影響が確認された範囲表で見る ↓
- 不正アクセス
- 決済関連処理への不正プログラム
- ECサイトの稼働
可能性があるとされた項目
- 氏名・メールアドレス・電話番号・生年月日・性別・住所・お客様番号
- 注文番号・注文金額・郵便番号・住所コード
- クレジットカードの有効期限
さらに5件
- クレジットカード番号・名義人・セキュリティコード（注文時のエラーログ）
- クレジットカード番号・有効期限・名義人・セキュリティコード（パソコンでの新規入力）
- エディオンギフトカード番号
- エディオンギフトカードの番号・PIN・利用履歴
- ログインID・ログインパスワード
- 未確認事項
- 侵入の経路と方法
- 影響範囲の特定（件数・項目の確定）
- ログファイル内の氏名等と結びつかない情報の件数
さらに3件
- エディオンギフトカードの今後の扱い
- ECサイトの再開時期
- 悪用の被害の有無
- 今やること手順を見る ↓
- 11月4日19時以降にパソコンでカード情報を入力したなら、明細を確認してカード会社に連絡する
- エディオンギフトカードの番号とPINを、連絡に応じて教えない
- パスワード変更のメールが届いたら、公式サイトから変更し、使い回しを直す
さらに2件
- エディオンを名乗る不審な連絡に応じない
- 心配なときは、公式の窓口に問い合わせる
- 最終確認日時
- 2026年11月12日時点
発表の続報予定と確認の記録
同社は第2報で、個人情報保護委員会と所轄の警察署への追加報告に向けた準備を進めており、影響範囲の特定など新たな事実が判明しだい報告するとしています。2026年11月12日に同社のニュースリリース一覧を確認した範囲では、11月9日の第2報（11月10日に停止日時を訂正）より後の続報は見当たりませんでした。
利用者が今日やること
11月4日19時以降にパソコンでカード情報を入力したなら、明細を確認してカード会社に連絡する
同社の第2報によれば、不正なプログラムは11月4日19時過ぎから稼働していて、パソコンで決済情報入力画面に新規にカード情報を入力した場合（最大556回）、カード番号・有効期限・カード名義人・セキュリティコードが直接第三者に漏れた可能性を否定できないとしています。注文時のエラーログに記録されたカード情報（最大5件）も同じ項目です。スマートフォンからの操作・入力は、この不正プログラムの対象外だったと同社は確認しています。
同社は、該当する人に、カードの利用明細に身に覚えのない請求がないか確認し、あればカード裏面に記載の窓口へ連絡するよう求めています。当サイトは、セキュリティコードまで含まれる可能性があるため、不正な請求がまだなくてもカード会社に番号の変更（再発行）を相談することを勧めます。番号を替えるまで、この組み合わせは使える状態のまま残るためです（詳しい理由は APORITOオンラインストアのカード情報流出の記事 に、同じ型の事案は PhotoGoodsの記事 にあります）。
番号を替えたあとは、公共料金やサブスクリプションなど、古い番号で自動引き落としにしているサービスの支払い先も更新してください。同社は、各クレジットカード会社に不正利用のモニタリングを強化するよう依頼したとしています。
エディオンギフトカードの番号とPINを、連絡に応じて教えない
同社の第2報によれば、エディオンギフトカード5,360枚について、カード番号・PIN・利用履歴が漏れた可能性があります。番号とPINの入力だけで使える環境は同社のECサイトに限られ、実店舗ではカード原本の提示が必要です。ECサイトが停止している間は、漏れた情報だけで第三者が使うことはできないとしています。
ただし、ECサイトが再開したときの扱いは、同社が検討中で、決まりしだい対象者に案内するとしています。案内があるまでは、「残高の確認」「カードの交換」などを名目に番号やPINを聞くメール・SMS・電話は偽物と考えて応じないでください。カード原本は手元に保管します。
パスワード変更のメールが届いたら、公式サイトから変更し、使い回しを直す
同社は、ログインIDとログインパスワードが含まれる最大1,141名の対象者に、パスワード変更をお願いするメールを順次、個別に送るとしています。同社のECサイトでは、新規ログイン時に2段階認証が必要なため、直ちに不正利用が行われる状況ではないとしています。
このメールに似せた偽メールが出回ることも考えられます（当サイトの見解）。メール内のリンクではなく、ブックマークや公式アプリから自分で開いた画面でパスワードを変えてください。エディオンと同じパスワードを他のサービスで使っているなら、そちらも変えます。確認の方法は パスワードが漏れたか確認する方法、使い回しを減らすには パスワードマネージャー と 多要素認証 が役に立ちます。
エディオンを名乗る不審な連絡に応じない
流出した可能性のある情報には、氏名・メールアドレス・電話番号・住所・生年月日、注文番号・注文金額が含まれます。注文を知っているかのような本物らしい連絡が作れるため、同社は、同社を装った不審なメールやSMS、電話に十分注意するよう求めています。
「注文のキャンセル」「返金」「カードの再登録」などを名目に、リンク先でカード情報やパスワードを入力させる連絡は偽物と考えてください。確認は自分で開いた公式サイトやアプリで行います。見分け方は フィッシングとは にまとめています。
心配なときは、公式の窓口に問い合わせる
発表に載っている窓口は、お客様相談センター（電話 0120-77-0095、受付時間 9:00〜18:00）です。メールやSMSに書かれた番号ではなく、公式のお知らせに載っている窓口を使ってください。身に覚えのない請求があるときは、カード裏面の窓口と、警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。
何が起きたのか（エディオンの発表より）
エディオンは2026年11月6日に第1報、11月9日に第2報を、ニュースリリースとして公式サイトに掲載しました。第2報は11月10日に、サービス緊急停止の日時を訂正しています（誤：11月8日（日）、正：11月7日（土）22:00）。以下はすべて同社の発表内容です。
11月4日 19時過ぎ
のちに判明した不正なプログラムが、決済関連の処理で稼働を始めた（第2報）。11月5日 18:30頃
ECサイトを設置しているサーバーへの外部からの不正アクセスと、個人情報の一部が漏れた可能性を確認した（第1報）。11月6日
第1報を公表。第1報の時点で個人情報保護委員会に報告済み。このときECサイトは通常どおり利用できるとしていた。11月7日 22:00
ECサイト、エディオン公式アプリ、エディオンスマートアプリを緊急停止した（第2報の記載を11月10日に訂正）。11月8日 21:10
公式アプリとスマートアプリについて、デジタル会員証機能とクーポン表示機能などに限定して再開した。11月9日
第2報を公表。第1報の記載を訂正し、新たに判明した事象を報告した。ECサイトは停止中で、再開は未定。
- 原因
- 第1報：ログファイルが格納されたサーバー領域の一部への、システムの脆弱性を突いた外部からの不正アクセス。第2報：決済関連の処理に、外部の第三者による不正なプログラムが組み込まれていた（侵入の経路・方法は公表されていない）
- ログ上の情報（第1報）
- 氏名（漢字・カナ）、メールアドレス、電話番号、生年月日、性別、住所、お客様番号（最大4,131名）。お客様によって記録されていた項目が一部異なる
- 注文情報（第1報）
- 記録されていたのは氏名、お客様番号、注文番号、注文金額。複数のログと照合した場合の最大の情報は、さらにメールアドレス、電話番号、郵便番号、住所コード（都道府県・市区町村まで）、クレジットカードの有効期限、エディオンギフトカード番号（最大9,554名）
- 第2報で追加
- 注文時のエラーログのカード情報（番号・有効期限・名義人・セキュリティコード、最大5件）／エディオンギフトカード5,360枚（番号・PIN・利用履歴）／ログインIDとログインパスワード（最大1,141名）／パソコンで新規に入力されたカード情報（同じ4項目、最大556回）
- 含まれないもの
- 第1報：顧客データベース本体への不正アクセス・情報漏洩は確認されていない。第2報：スマートフォンからの操作・決済入力は不正プログラムの対象外
- 公表者・窓口
- 株式会社エディオン／お客様相談センター 0120-77-0095（9:00〜18:00）
分かっていること・分かっていないこと
2026年11月12日時点の同社の発表（第1報・第2報）をもとに整理しました。同社は件数の多くを「最大」で示しています（ギフトカードは5,360枚）。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセス | ECサイトを設置しているサーバーへの外部からの不正アクセス。11月5日18:30頃に確認 | 確認済み（同社） |
| 決済関連処理への不正プログラム | 第三者により組み込まれる改ざんが行われていた。11月4日19時過ぎから稼働 | 確認済み（同社） |
| 氏名・メールアドレス・電話番号・生年月日・性別・住所・お客様番号 | ログファイルに記録されていた情報。最大4,131名（記録項目はお客様により異なる） | 可能性（同社） |
| 注文番号・注文金額・郵便番号・住所コード | 複数のログを照合した場合の最大の情報。最大9,554名。すべての人について組み合わせられるものではない | 可能性（同社） |
| クレジットカードの有効期限 | 注文情報と照合した場合の項目に含まれる。氏名等と結びつかない形でも記録されていた | 可能性（同社） |
| クレジットカード番号・名義人・セキュリティコード（注文時のエラーログ） | 注文画面でエラーが起きたとき、入力内容が例外的にシステムログに一時記録されていた最大5件。第1報のカード番号は含まれないという説明を第2報で訂正 | 可能性（同社） |
| クレジットカード番号・有効期限・名義人・セキュリティコード（パソコンでの新規入力） | 11月4日19:00以降。不正プログラムにより直接第三者に漏れた可能性を否定できない。最大556回 | 可能性（同社） |
| スマートフォンでの操作・入力 | 不正プログラムの対象外であることを確認したとある | 含まれない（同社） |
| エディオンギフトカード番号 | 注文情報と照合した場合の項目に含まれる | 可能性（同社） |
| エディオンギフトカードの番号・PIN・利用履歴 | 5,360枚。第2報で追加。ECサイト停止中は漏れた情報だけでは使えないとある | 可能性（同社） |
| ログインID・ログインパスワード | 最大1,141名分。第1報のログインパスワードは含まれないという説明を第2報で訂正。新規ログインには2段階認証が必要 | 可能性（同社） |
| 氏名等と結びつかないメールアドレス・電話番号等の件数 | 第1報で「件数は現在精査中」。第2報では触れていない | 調査中 |
| 顧客データベース本体への不正アクセス | 第1報で確認されていないとある。第2報では触れていない | 確認されていない（同社の第1報） |
| 侵入の経路・方法 | 第1報は「システムの脆弱性を突いた」とあるが、詳細は書かれていない | 記載なし |
| 悪用の被害 | 確認されたとの記載は見当たらない。同社は不審な連絡への注意を呼びかけている | 記載なし |
| 対象者への個別連絡 | パスワード対象の1,141名にはメールで個別に案内する。その他の項目は記載なし | 一部あり（同社） |
| ECサイトの稼働 | 11月7日22:00から停止中。再開未定 | 確認済み（同社） |
第1報から第2報で何が変わったか
第1報（11月6日）と第2報（11月9日）で、同社の説明は次のように変わりました。
第1報（11月6日）の説明
- 流出した可能性のある情報は、ログファイル内のデータの一部
- クレジットカード番号とログインパスワードは含まれない
- ECサイトは引き続き通常どおり利用できる（外部のセキュリティ専門機関から、運営継続の安全性が保たれているとの評価を得たとある）
第2報（11月9日）の説明
- 新たな不正アクセスの痕跡を確認し、決済関連の処理に不正なプログラムが組み込まれていたことが判明
- カード情報・ギフトカードのPIN・ログインパスワードの一部が含まれていたと訂正
- ECサイトなどを11月7日22:00から緊急停止。ECサイトは再開未定
今回も、続報で項目や件数が変わる可能性があります。第2報の件数も「調査中」とされているため、この記事の数字は最新の発表で確かめてください。
カード・ギフトカード・ログイン情報で何が起きうるか
次の表は、一般にこうした項目の組み合わせで起こり得ることです。この件で実際に起きたという意味ではありません。
| 漏れた可能性のある項目 | 一般に起こり得ること | 利用者の行動 |
|---|---|---|
| カード番号＋有効期限＋名義人＋セキュリティコード | 通販サイトでの不正利用。番号を替えるまで使える | 明細を確認し、番号の変更を相談する |
| ギフトカードの番号＋PIN | 番号とPINだけで使える環境での不正利用。偽の「残高確認」連絡 | 番号とPINを教えない。同社の案内を待つ |
| ログインID＋パスワード | 同じ組み合わせを使った他サイトへのログイン試行 | 使い回しを直し、2段階認証を使う |
| 氏名＋電話番号＋メールアドレス＋住所コード＋注文番号・金額 | 注文を知っているかのような、本物らしい偽の連絡 | リンクを開かず、公式サイトやアプリで確認する |
運営者が見直すこと：カード情報を持たない仕組みでも、入力画面の改ざんで盗まれる
原因の詳細は公表されていないため、公表された事実から言えることだけを書きます。
- 「サーバーにカード情報を残さない」ことと、入力画面が安全なことは別：同社は、カード決済は「非保持化」に対応していてサーバーに情報を残さないが、今回はパソコン向けの決済情報入力処理に不正なプログラムが組み込まれていたと書いています。一般に、決済ページで動くスクリプトを一覧にして許可したものだけ動かし、改ざんを検知する対策が要ります（PCI DSS 4.0 の 6.4.3 と 11.6.1 がこれにあたります）。
- エラーログに入力内容を残さない：同社は、注文画面でエラーが起きたとき、入力内容が例外的にシステムログに一時記録されていた（カード番号とセキュリティコードを含む最大5件）と書いています。一般に、カード番号やセキュリティコードはログに出さない設計にし、定期的にログを検索して残っていないか調べます。
- 調査途中の速報では、確認できた範囲とまだ調べていない範囲を分けて書く：今回は第1報で含まれないと説明した項目が、詳細な解析で後から訂正されました。一般に、調査の途中では範囲の見積もりが変わることがあります。分けて書いておくと、訂正の影響を小さくできます。
出典（公開記録）
本記事の事実関係は、以下の公式発表にもとづきます。公表されていない原因の詳細は推測していません。
- エディオン「当社ECサイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ」（2026年11月6日） — edion.co.jp（PDF）
- エディオン「当社ECサイトにおける新たに判明した事象と個人情報漏洩の可能性、およびサービス停止に関するお詫びとお知らせ（第２報）」（2026年11月9日、11月10日訂正） — edion.co.jp（PDF）
- エディオン ニュースリリース一覧 — edion.co.jp
更新履歴
2026-11-12：初版。エディオンの第1報（11月6日）と第2報（11月9日、11月10日に停止日時を訂正）にもとづく。同日に公式のニュースリリース一覧を確認し、第2報より後の続報は見当たらなかった。
次に読む
- 同じ家電量販の事案：ヤマダデンキのリフォーム管理システムへの不正アクセス
- 決済画面でカード情報が盗まれた事案：PhotoGoodsのカード情報窃取 ／ APORITOオンラインストアのカード情報流出
- パスワードが漏れたとき：パスワードが漏れたか確認する方法 ／ パスワードマネージャーの選び方
- 偽の連絡の見分け方：フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）