対象：スイスのオンラインマーケットプレイス「Ricardo」の利用者（買い手・売り手、法人ユーザーを含む）。本記事はRicardoの親会社SMG Swiss Marketplace Groupの公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
スイスのオンラインマーケットプレイス「Ricardo」の利用者（買い手・売り手、法人ユーザーを含む）。
- 影響が確認された範囲表で見る ↓
- 氏名・郵便の住所・電話番号
- 会社名（法人ユーザー）
- 規模
さらに3件
- 検知の日
- 脆弱性の修正
- 当局への届出
- 未確認事項
- 脆弱性の内容
- 不正アクセスがあった期間
- 露出したデータが公開・悪用されたか
さらに1件
- 個別の連絡が届いていない人が確かめる方法
- 今やること手順を見る ↓
- カード情報や銀行・TWINTのログイン情報を求める連絡に答えない
- リンクを開かず、自分でアプリかブックマークからRicardoに入る
- 想定外の郵便は、書かれた連絡先を使わずに扱う
さらに2件
- Ricardoからの個別の連絡を確かめる
- パスワードの変更は発表では求められていない
- 確認先（出典）出典の一覧 ↓
- SMG Swiss Marketplace Group「Ricardo fixes security vulnerability affecting user data」（2026年10月9日、英語。ドイツ語・フランス語版あり）— swissmarketplace.group
- 最終確認日時
- 2026年10月31日時点
発表の続報予定と確認の記録
10月9日の発表に、続報の予定は書かれていません。10月31日に確認した時点で、SMGのメディアリリース一覧に本件の続報はありません。
Ricardoの利用者が今日やること
カード情報や銀行・TWINTのログイン情報を求める連絡に答えない
氏名と電話番号がそろっているため、Ricardoのサポートや取引相手を名乗る電話・SMSが、本物らしく聞こえることがあります。SRFの取材に対し、SMGの広報は、クレジットカード情報や銀行・TWINT（スイスのスマホ決済）のログイン情報を求める想定外の郵便、電話、SMS、WhatsAppのメッセージに特に注意するよう呼びかけています。
こうした情報を求める相手には答えず、電話は切ってください。相手が名前や住所を知っていても、本人確認にはなりません。
リンクを開かず、自分でアプリかブックマークからRicardoに入る
取引の通知や「支払いの受け取り」を装うメッセージのリンクは開かないでください。確かめたいときは、自分でRicardoのアプリを開くか、ブックマークからサイトに入ります（見分け方：フィッシングとは）。
想定外の郵便は、書かれた連絡先を使わずに扱う
郵便の住所も露出しました。心当たりのない請求書や通知が届いたら、そこに書かれたURL、QRコード、電話番号は使わず、自分で調べた正規の窓口に確かめてください。これは一般的な注意で、同社がこうした郵便が届いていると発表したわけではありません。
Ricardoからの個別の連絡を確かめる
同社は、対象の利用者に事件の内容と影響、取れる予防策を直接伝えるとしています。届いた連絡が本物か迷ったら、その連絡のリンクではなく、アプリやブックマークから入ったRicardoの画面で確かめてください。
パスワードの変更は発表では求められていない
同社は、メールアドレスとパスワードは影響を受けていないとしています。ほかのサービスと同じパスワードを使い回しているなら見直すのは一般的に良い習慣ですが、本件で求められている手順ではありません（参考：パスワード管理アプリの選び方）。
何が起きたのか（SMG Swiss Marketplace Groupの発表より）
以下は、2026年10月9日にSMG Swiss Marketplace Groupが出した発表（英語・ドイツ語・フランス語）にもとづきます。
2026年10月7日
Ricardoがサーバー上の不審な動きを検知し、システムを守るための技術的な対策をすぐに始める。10月9日
SMGが、注文にひも付く個人データへの不正アクセスと、アクセスを許した脆弱性の修正を発表。約89万アカウントの個人データが露出したとする。スイス連邦データ保護・情報コミッショナー（FDPIC）に届け出済み。10月31日時点
SMGのメディアリリース一覧に、本件の続報は見つかっていません。
露出（約89万アカウント）
氏名、郵便の住所、電話番号。法人ユーザーは会社名も
影響なし（同社）
メールアドレスとパスワード。決済情報は記載なし
露出したのは電話と郵便の連絡先なので、電話・SMS・メッセージアプリ・郵便を特に警戒する。詐欺メールも一般には起こりうる。
- 起きたこと
- Ricardoのプラットフォームで、注文にひも付く個人データへの不正アクセス
- 露出したデータ
- 氏名、郵便の住所、電話番号。法人ユーザーは会社名も。同社は、露出したのはこれらに限られるとしている
- 影響なし（同社）
- メールアドレスとパスワード
- 規模
- 約89万のユーザーアカウント
- 原因
- アクセスを許したセキュリティ上の脆弱性。完全に修正済みとしている。内容は公表されていない
- 利用者への連絡
- 対象の利用者に、事件の内容、影響、取れる予防策を直接伝える
- 届出
- FDPICに届け出済み。警察への刑事告訴と、国家サイバーセキュリティセンター（NCSC）への報告を予定
分かっていること・分かっていないこと
2026年10月31日時点の状態です。続報が出たら状態欄を更新します。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 氏名・郵便の住所・電話番号 | 約89万アカウント分が露出 | 漏えいを確認（同社） |
| 会社名（法人ユーザー） | 露出 | 漏えいを確認（同社） |
| メールアドレス | 影響を受けていない | 含まれない（同社） |
| パスワード | 影響を受けていない | 含まれない（同社） |
| 決済情報（カード・口座） | 発表に記載がない | 記載なし |
| 規模 | 約89万のユーザーアカウント（人数ではない） | 確定（同社） |
| 検知の日 | 2026年10月7日 | 確定（同社） |
| 脆弱性の修正 | 完全に修正済み | 確定（同社） |
| 脆弱性の内容・アクセスの期間 | 記載なし | 調査中 |
| データの公開・悪用 | 発表に記載がない。SRFによれば、SMGの広報は通信社AWPに対し、データは一度も自由にアクセスできる状態ではなく、恐喝や身代金の要求もこれまでないと述べた | 記載なし |
| 当局への届出 | FDPICに届け出済み。警察とNCSCへは予定 | 確定（同社） |
読み方：「記載なし」は「なかった」ではない
決済情報やデータの悪用は、発表に書かれていないだけです。住所と電話番号はすでに露出しているので、後から詐欺の連絡に使われうる、と考えて行動してください。
氏名・住所・電話番号で何が起きうるか
一般に、次の組み合わせは次のように悪用されます。今回それが起きたという意味ではありません。
- 氏名＋電話番号：Ricardoのサポートや取引相手を名乗る電話・SMSで、「支払いの受け取り」や「アカウントの確認」を口実に、カード情報やログイン情報を聞き出す
- 氏名＋郵便の住所：請求書や返金の通知を装った郵便で、偽のサイトや電話番号へ誘導する
- 会社名＋電話番号（法人ユーザー）：取引先や取引の担当を装った電話で、支払い先の変更などを持ちかける
過去の例では、連絡先と契約の番号が漏れたENGIEの顧客情報漏えいで、事業者を名乗る電話への注意が中心になりました。今回も同じ形になるとは限りません。
運営者が見直すこと：取引にひも付く連絡先の持ち方
原因の脆弱性は公表されていません。この節は、Ricardoの対応を評価するものではなく、漏れた項目から言える一般的な点検です。
- 取引にひも付く住所・電話番号を、いつまで持つか決める。 発表によれば、露出したのは注文にひも付く個人データでした。配送や連絡が終わった取引の住所・電話番号をいつ消すか、または表示を減らすかを決めておくと、侵害が起きたときに露出する量が減ります。
- 利用者への注意文に、何を求めないかを書く。 「カード情報やログイン情報を電話やメッセージで求めない」と明記した注意を、個別の連絡と同時に出すと、利用者が偽の連絡を見分けやすくなります。
出典（公開情報）
本記事の事実は次の公開情報にもとづきます。公表されていない侵入経路や手口は推測しません。
- SMG Swiss Marketplace Group「Ricardo fixes security vulnerability affecting user data」（2026年10月9日、英語。ドイツ語・フランス語版あり）— swissmarketplace.group
- 同、メディアリリース（PDF、2026年10月9日）— swissmarketplace.group
- SRF「«Keine Erpressung» – Ricardo meldet Datenleck bei 890'000 Konten」（2026年10月9日、ドイツ語）。SMG広報の注意の呼びかけと、恐喝・身代金の要求がないとの説明の出典 — srf.ch
更新履歴
2026-10-31：初版。SMG Swiss Marketplace Groupの10月9日の発表と、SRFの報道にもとづく。10月31日の時点で、同社のメディアリリース一覧に本件の続報はない。続報が出たら本記事を更新します。
次に読む
- 同じ型の事件：ENGIEの顧客情報漏えい
- 漏えい後に来る偽の連絡：フィッシングとは
- 2026年のほかの事件：2026年の情報漏えい・サイバー攻撃