ECサイト
このタグの記事 11 件
EC の物流（倉庫・発送）を受託する事業者への不正アクセスで、複数のネットショップの配送先情報が流出した可能性：氏名・住所・電話番号など、購入者がやること
EC の物流（倉庫・発送）を受託する事業者は2026年11月11日、同社のシステムが11月8日から9日にかけて外部の第三者から不正アクセスを受け、出荷データの一部が外部に持ち出されたと発表した。対象は2026年4月8日から11月8日までに依頼された出荷データで、お届け先の氏名・住所・電話番号、メールアドレス（登録がある場合）、商品情報（漏えいした可能性のある情報）。クレジットカード番号は同社が保有しておらず対象外としている。件数は調査中で、悪用や二次被害は11月11日時点で確認されていない。この事業者に物流を委託しているネットショップが、各社の公式サイトで自社の顧客への影響を公表している（本記事では、公式の発表を読めた6社を一覧にした。件数は各社の発表どおりで、合計は出していない）。当サイトの結論：購入者は、配送業者や購入したショップ、商品名を装った連絡が本物らしく見える前提で、連絡先と購入内容を知っている相手からの請求・確認の連絡に応じない。
Fandangoの決済ページでのカード情報漏えい（2026年10月）：決済ページでアクセスできた状態があり、カード番号・CVV・有効期限・請求先の郵便番号・メールアドレスが影響を受けた可能性。利用者がやること
米国の映画チケット販売Fandango Mediaは、2026年11月13日にカリフォルニア州司法長官に通知を届け出た。通知によれば、同社はチケット購入の決済ページの問題に気づき、外部のセキュリティの専門家と調べて解決した。調査で、10月8日から11日の間、決済ページの一部の取引に関するカード情報に権限のない者がアクセスできた証拠が見つかり、10月30日に、通知を受ける人の情報が影響を受けた可能性があると判断した。影響を受けた可能性のある情報は、カード番号、CVV、有効期限、請求先の郵便番号、メールアドレス。氏名、政府発行IDの情報、社会保障番号、そのほかのアカウント情報は関わっていないと書いている。同社は、情報が不正に使われたことは現時点で把握していないとし、信用情報の監視（24か月）、ダークウェブの監視、なりすまし被害の回復費用の補償保険（上限100万ドル、約款の条件あり）、被害の回復支援を、監視サービスの事業者を通じて無料で提供する（見本では登録の期限は2027年2月13日）。人数は書かれておらず、通知とは別の同社の発表は見つけられなかった。当サイトの見解：その時期にFandangoの決済ページでチケットを買った人は、カードの明細を確かめ、見覚えのない請求はカード会社に伝え、カードを替えるべきかカード会社に聞く。
エディオンのECサイトに不正アクセス（最大9,554名分の注文情報ほか）：カード情報・ギフトカードのPIN・ログイン情報が漏れた可能性と、利用者がやること
株式会社エディオンは2026年11月6日、ECサイトのサーバーへの外部からの不正アクセスで個人情報の一部が漏れた可能性があると公表し、11月9日の第2報で内容を訂正・追加した。第1報は、ログファイルに記録されていた氏名・メールアドレス・電話番号・生年月日・住所・お客様番号など最大4,131名分と、注文情報（氏名・注文番号・注文金額・クレジットカードの有効期限・ギフトカード番号など）最大9,554名分を挙げ、クレジットカード番号とログインパスワードは含まれないとしていた。第2報はこれを訂正し、注文時のエラーログに記録されたクレジットカード情報（番号・有効期限・名義人・セキュリティコード）最大5件、エディオンギフトカード5,360枚分（番号・PIN・利用履歴）、ログインIDとログインパスワード最大1,141名分が含まれていたと発表した。あわせて、決済関連の処理に外部の第三者による不正なプログラムが組み込まれていたことが判明し、11月4日19時過ぎから稼働していたという。パソコンから決済情報入力画面に新規にカード情報を入力した最大556回分は、第三者に直接漏れた可能性を否定できないとしている（スマートフォンは対象外）。同社はECサイトなどを11月7日22:00から緊急停止しており、ECサイトは再開未定。当サイトの結論：11月4日19時以降にパソコンでエディオンのECサイトに新しくカード情報を入力した人は、カード会社に番号の変更を相談し、明細を確認する。
ニトリの不正アクセスによる個人情報漏えいの可能性（最大3,762万件）：氏名・住所・電話番号・生年月日などの対象と、個人会員・法人会員がやること
株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの第三者による不正アクセスを11月6日に確認し、サーバー上に保有する個人情報が最大3,762万件外部に流出した可能性があると公表した。対象は、ニトリグループの個人会員・商品の購入者（会員番号、氏名、フリガナ、メールアドレス、住所、電話番号、生年月日、性別）、法人会員（会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号）、ニトリネットとECモールのニトリ公式ショップの注文データ。ログインパスワードとクレジットカード情報は含まれないとしている。10月中旬から下旬にも第三者によるアクセスの可能性があり、経路は調査中で、件数は今後変わる可能性がある。対象の顧客には、メールまたは郵送で順次連絡するとしている。2026年11月10日時点で、続報は確認できていない。当サイトの結論：住所・電話番号・氏名がそろっているため、ニトリや配送事業者を名乗る電話・SMS・メールは、相手が正しい住所や注文内容を言っても本物とは限らない。
ユーグレナ「akyrise（あきゅらいず）」ECサイトに不正アクセス（最大約90万件）：氏名・住所・電話番号などが漏えいした可能性、購入者がやること
株式会社ユーグレナは2026年11月5日、化粧品ブランド「akyrise（あきゅらいず）」のECサイトが11月4日に第三者の不正アクセスを受け、会員情報が外部に漏えいしたと公表した。同日にサイトを閉鎖し、個人情報保護委員会へ速報を提出した。漏えいした可能性のある情報は2種類で、ログインアカウントに関する情報（顧客ID、メールアドレス、ハッシュ化して保管されていたログインパスワード）が最大約49万件、登録・購入等に関する情報（名前、住所、電話番号、生年月日、性別、メールアドレス、購入・配送に関する情報等）が最大約90万件。いずれも現在精査中で、同社は2つの重なりを示していないため、2つの数字は足し合わせられない。クレジットカード番号は同社のサーバーで保有しておらず、対象に含まれない。同じ発表で、メール配信サービス事業者と配送会社の側での別の不正アクセスにも触れており、同社は各々独立した事象としている。2026年11月9日時点で、続報は確認できていない。当サイトの結論：akyrise を名乗るメールやSMS、電話は、名前や住所を知っていても本物とは限らない。リンクは開かず、akyrise のパスワードを他のサービスでも使っていれば、そちらを先に変える。
グッドスマイルカンパニー公式ショップの不正アクセス（カード全情報の漏えいの可能性2,800名・カード一部402,466枚・注文情報は最大202件が閲覧の可能性）：カード情報と注文情報の対象者がやること
株式会社グッドスマイルカンパニーは2026年10月23日、同社の公式ショップ（support.goodsmile.com で案内）に第三者による不正アクセスがあったと公表し、10月30日の第4報までに対象を3つのグループに整理した。グループB（2,800名）は、決済ページに設置された不正なプログラムにより、2026年10月21日13時55分〜23日7時に入力されたカード名義人名・カード番号・有効期限・セキュリティコードが漏えいした可能性がある。グループA（過去にカードを登録した人。カード402,466枚、人数は確認中）はカード番号の下4桁と有効期限のみで、同社は不正利用の可能性は極めて低いと認識している。グループC（5,356名）は、出荷前の注文情報（氏名・住所・電話番号・メールアドレス・注文内容など）のうち最大202名分が閲覧された可能性がある。同社は、原因は近時報告されたPHPの脆弱性ではないと説明している。当サイトの結論：グループBのメールを受けた人は、カード会社に連絡して番号の変更（再発行）を相談する。メールが来ない人も、過去にこのサイトへカードを登録していれば対象なので、明細を確認する。同社を名乗る不審な連絡のリンクは開かない。
Revolveの顧客アカウント情報漏えい：保存カード番号・有効期限にアクセス（インディアナ州司法長官の一覧で151万5,073人）｜利用者が今日やること
米国のファッション通販Revolveは2026年10月29日、米証券取引委員会（SEC）への届出（The Recordの報道）で、無許可の第三者が自動化した手段で顧客アカウントのデータにアクセスしたと開示した。氏名、連絡先、保存された決済カードの番号と有効期限が含まれるとされる。当初はテキサス州の12万7,200人などの州別の数字しかなかったが、インディアナ州司法長官の侵害通知一覧（2026年11月版）には、Revolve Group, Inc.について、通知日10月29日、侵害発生日9月11日、同州の10,534人、総数151万5,073人と載っている。他の5州（アイオワ・マサチューセッツ・サウスカロライナ・テキサス・バーモント）の届出の合計は約19.7万人にとどまっていた（SecurityWeekの報道）。カードのセキュリティコード（CVV）が含まれるかは、読めた資料に記載がない。当サイトの見解：Revolveのアカウントにカードを保存していた人は、明細の少額の不審請求を確認し、カード会社に再発行の要否を相談し、注文履歴を含むメッセージは自分で確かめるまで疑う。
Drupal Commerce Coreの脆弱性 CVE-2026-118539：ログインなしでアクセス制御を回避、悪用あり（8.x-2.41・3.3.13へ更新）
Drupalのセキュリティチームは2026年10月28日、Commerce Coreモジュールの脆弱性（CVE-2026-118539）をSA-CONTRIB-2026-254として公表した。モジュールが一部のルートとエンティティのフィールドを十分に守っておらず、アクセス制御を回避でき、店側に金銭的な影響が出るおそれがある。Drupalは、認証不要の「Highly critical」（21/25）と評価し、実際に悪用されていると明記している。対象は8.x-2.41より前と、3.0.0から3.3.13より前。修正版は8.x-2.41と3.3.13。NVDの記録には、米CISAのADPが追記した低いCVSS v3.1の6.5があり、NVD自身の分析は終わっていない。10月31日時点で、米CISAのKEVには載っていない。当サイトの結論：Drupal Commerceでオンラインショップを運営しているなら、今すぐ更新し、最近の注文と決済に不整合がないかを点検する。
Adobe Commerce・Magentoの脆弱性 CVE-2026-48356｜米CISAが悪用を確認（KEV）・7月の修正と侵入の確かめ方
米CISAは2026年10月27日、Adobe Commerce・Magento Open Sourceのファイルアップロードの脆弱性CVE-2026-48356を、悪用が確認された脆弱性の一覧（KEV）に加えた。米国の連邦政府機関の対応期限は11月10日。Adobeは2026年7月14日のセキュリティ情報APSB26-73でこの脆弱性を含む14件を直しており、Adobe Commerce 2.4.4〜2.4.9、Magento Open Source 2.4.6〜2.4.9、Adobe Commerce B2B、Adobe Commerce Eventsが対象。修正は各系列の「2026-jul」のセキュリティ修正（Eventsは1.21.0）。深刻度はAdobeのセキュリティ情報の表でCVSS 9.6、AdobeのCVE登録とNVDでは9.3で、違いは可用性への影響の評価だけ。Adobeのセキュリティ情報（8月11日更新）は、悪用を把握していないとしたままになっている。あるECセキュリティ企業は10月24日、この脆弱性（同社の呼び名はPolyShell）や別の脆弱性で置かれたWebシェルを足がかりに、店舗のページにJavaScriptを差し込む攻撃が、2025年7月以降、おもにMagentoの計953店に及んだと報告し、修正済みの店舗でも差し込みが見つかったとしている。日本の公的機関の注意喚起と国内の被害の公表は、10月28日時点で見当たらない。当サイトの結論：Adobe Commerce・Magentoの店舗は、7月の修正が当たっているかを今日確かめ、当たっていても、アップロード用のフォルダー、CMSブロック、管理者アカウントに侵入の跡がないかを調べる。
PhotoGoods（大興印刷）の決済画面に不正プログラム：カード番号・セキュリティコードが漏れたおそれと、8月6日〜9月11日に利用した人がやること
大興印刷株式会社は2026年9月16日、同社が運営する「PhotoGoods（photo-goods.com）」で第三者による不正アクセスがあり、決済画面等に入力されたクレジットカード情報などを不正に取得するプログラムが設置されていたと発表した。プログラムが設置されていたのは8月6日から、不正プログラムを除去した9月11日まで。この期間に決済画面へカードを入力した人（購入を完了しなかった人を含む）のカード番号・有効期限・セキュリティコードと、氏名・住所・電話番号・メールアドレス、変換して保存された会員パスワードの情報が漏れた可能性がある。同社は、システム上の脆弱性とファイルアップロード機能の悪用による不正アクセスを確認したとしている。対象者の数と実際の漏えい範囲は調査中で、10月7日時点で続報は出ていない。当サイトの結論：期間中にカードを入力した人は、明細の確認に加えてカード会社に番号の変更を相談し、PhotoGoodsと同じパスワードを使っている他のサービスはパスワードを変える。お詫びや返金を名目にした連絡のリンクは開かない。
APORITOオンラインストア（RIZAP）のカード情報流出のおそれ：利用者とEC事業者がやること
RIZAP株式会社の発表によれば、同社が運営する「APORITOオンラインストア」に第三者が悪意ある不正スクリプトを設置し、2026年5月1日〜8月5日に注文または情報を入力した人の氏名・住所・電話番号・メールアドレスと、クレジットカード番号・有効期限・セキュリティコードが外部へ流出した可能性がある。同社は8月5日に不審な外部送信プログラムを発見して同日サイトを閉鎖し、8月18日時点でも閉鎖と調査を継続している。不正利用や実際の漏えいは確認されていないとしている。当サイトの結論：流出した可能性がある項目にセキュリティコードまで含まれる以上、明細を確認するだけでなく、カード会社に相談してカードを再発行し、番号を変えるのが確実。EC事業者にとっての教訓は、カード情報を自社のサーバーに保存しない「非保持化」だけでは、入力画面に不正なプログラムを仕込まれる被害は防げないこと。日本のクレジットカード・セキュリティガイドラインが求める脆弱性対策5項目に加えて、決済ページの変更を検知する仕組みを持つことを勧める。