カート事業者が情報漏えいしたとき店舗がやること｜お客様への案内・パスワード変更・確認の手順
※本記事は2026年10月29日時点で確認できた、個人情報保護委員会のガイドライン（通則編）・Q&A、フィッシング対策協議会のガイドライン、各カート事業者の公表資料に基づきます。法令の運用や各社の対応は変わることがあるため、最新は公式の情報と専門家でご確認ください。
2026年は、カート・ECプラットフォームの運営会社側で不正アクセスが起き、利用する店舗のお客さまの情報が漏えいしたと公表される例が続きました。システムの管理は運営会社に任せていても、お客さまからの問い合わせを受けるのは店舗です。この記事では、カート事業者で漏えいが公表されたとき、店舗が確かめること・やることを順番にまとめます。
⏱ 忙しい人向け 3行まとめ
- カート事業者で漏えいが起きたときも、お客さまにとっての窓口は店舗です。まずは公式のお知らせで、自店が対象かどうかと、漏えいした情報の種類を確かめます。
- 個人情報保護委員会への報告は、契約の形にかかわらず店舗にも義務がかかるのが原則です。速報は知った時点から概ね3日から5日以内が目安なので、カート事業者と分担を早めに確認します。
- お客さまへの案内、管理画面のパスワード変更、偽メールへの注意の呼びかけを並行して進め、平時から担当者と案内文を決めておくと落ち着いて動けます。
カート事業者で漏えいが起きても、店舗は「お客さまの窓口」になる
カート事業者側の事故でも、お客さまから見ると「買い物をしたお店」の問題であり、問い合わせや不安の声は店舗に届きます。2026年に公表された事案では、カート事業者が店舗に個別に連絡し、店舗と連携してお客さまへの案内や窓口の準備を進めたと説明されています。
2026年10月時点で公表されている主な事案は、次のとおりです（いずれも各社の公表資料より）。
| 公表 | サービス | 店舗側への影響（公表内容） |
|---|---|---|
| 2026年10月16日（最終報） | ショップサーブ | 利用店舗7,858店。購入者の情報に加え、店舗の管理画面のログインIDとパスワードも漏えいの対象で、認証情報はリセット済み |
| 2026年10月23日 | Commerble | 運営会社側の管理用の認証情報が不正に取得され、利用する店舗の購入者情報と支払入力画面に影響 |
| 2026年10月23日（第一報） | futureshop | 1店舗の会員情報 3,147,469件。カード情報は含まれず、ほかの店舗のデータへの痕跡は確認されていない |
このように、購入者の情報だけでなく、店舗の管理画面の認証情報まで対象になる場合もあります。公表された事案の詳細はEC情報漏えいの公表事例台帳にまとめています。どの事案も、カート事業者や利用店舗を責めるためではなく、同じ立場になったときの動き方を考える材料として見ていただくのがよいと考えています。
最初に確かめること｜お知らせで見る5つの点
最初にやることは、カート事業者の公式のお知らせで「自店が対象か」と「何が漏れたか」を確かめることです。SNSや報道だけで判断せず、お知らせページ・稼働状況のページ・登録メールアドレスに届く個別の連絡を見ます。
- 自店が対象かどうか……対象の店舗には個別に連絡するとしている例が多いため、管理画面のお知らせと登録メールアドレスの受信箱（迷惑メールのフォルダも）を確認します。
- 漏えいした情報の種類……氏名・住所・メールアドレス・電話番号・購入履歴・ログインパスワード・カード情報の一部など、どこまで含まれるかを書き出します。
- 店舗側の情報が含まれるか……管理画面のログインIDやパスワード、店舗の担当者の連絡先が含まれる場合は、後で触れるパスワード変更を急ぎます。
- 期間と件数……不正アクセスがあった期間と、自店の対象件数を確認します。お客さまへの案内で「いつ頃の注文が対象か」を伝えるときに使います。
- カート事業者の対応と今後の予定……個別通知を誰が行うか、問い合わせ窓口を設けるか、次の報告がいつ頃出るかを確認します。
お知らせに書かれていないことは、推測で判断せず、カート事業者のサポート窓口に問い合わせて確かめます。「被害は確認されていない」は「安全が確定した」という意味ではないため、調査中であることを前提に動くのが現実的です。
個人情報保護委員会への報告｜店舗にも義務がかかるのが原則
カート事業者側の漏えいでも、個人情報保護委員会への報告は、店舗にも義務がかかるのが原則です。個人情報保護委員会のガイドライン（通則編）とQ&Aでは、カートの契約の形によって次のように整理されています。
| カートとの関係 | 報告の義務 |
|---|---|
| カート事業者が個人データの取り扱いを任されている（委託） | 店舗と事業者の双方が負うのが原則。連名での報告もできる。事業者が店舗に通知した場合、事業者の報告は免除されるが店舗の義務は残る |
| 契約で事業者が個人データを取り扱わないことになっている（クラウドサービスの扱い） | 店舗が負う。報告をカート事業者に代行させることはできる |
どちらに当たるかは、契約の条項や実際のアクセスの管理で判断されるとされています。いずれの場合も店舗側に義務が残るため、「カート事業者が報告するから店舗は何もしなくてよい」とは限らないと考えておくのが安全です。2026年に公表された事案でも、カート事業者が店舗との連名で報告したと説明している例があります。
報告が必要になるのは、たとえば次のような場合で、いずれも「漏えいのおそれ」の段階から対象になります。
- 不正アクセスなど、不正の目的による漏えい（件数に関係なく対象）
- クレジットカード番号を含む情報など、財産的な被害が生じるおそれがある漏えい
- 本人の数が1,000人を超える漏えい
期限の目安は、知った時点から速報が概ね3日から5日以内、確報が30日以内（不正の目的によるものは60日以内）です。確報の日数には土日祝日も含まれます。報告の分担は、カート事業者からの連絡を受けた時点で「誰が・いつ・どの形で報告するか」を確認しておくと、期限に間に合わせやすくなります。
2026年の法改正について
2026年7月に成立した改正個人情報保護法では、本人への通知や速報の扱いを見直す内容が盛り込まれていますが、施行は公布から2年以内とされ、2026年10月時点では上の現行ルールが適用されます。自店のケースが報告の対象になるかは、個人情報保護委員会の窓口や専門家に確認してください。
お客さまへの案内｜通知・公表・問い合わせ窓口
お客さまへの案内は、カート事業者と内容とタイミングをそろえて、事実だけを落ち着いた言葉で伝えるのが基本です。ガイドラインでは、報告の対象になる漏えいは本人に速やかに通知することとされ、連絡がつかない場合は、事案の公表と問い合わせ窓口の設置・公表が代わりの措置として挙げられています。
-
STEP1：案内する内容をカート事業者とそろえる
対象の期間・漏えいした情報の種類・カート事業者の対応・問い合わせ先を、公表資料と食い違わないように確認します。店舗が独自に推測を書き足すと、後で訂正が必要になることがあります。
-
STEP2：お客さまに個別に知らせる
対象のお客さまに、メールなどで事実とお詫び、お願いしたいこと、問い合わせ先を伝えます。カート事業者が通知を代わりに送る場合も、店舗のサイトとSNSで同じ内容を案内しておくと、問い合わせが落ち着きやすくなります。
-
STEP3：問い合わせの受け方を決める
窓口の連絡先と受付時間、よくある質問への答え方をまとめた想定問答を用意します。答えられない質問は「確認してご連絡します」と受け、カート事業者に確かめてから回答します。
-
STEP4：続報に合わせて案内を更新する
調査の結果が出たら、案内のページを更新し、更新日を書き添えます。最初の案内から内容が変わった場合は、どこが変わったかがわかるようにしておきます。
漏えいの公表のあとは、その事案に便乗した偽メールが届くことがあります。案内文には、「当店からメールや電話でパスワードやカード番号をお尋ねすることはありません」と入れておくと、お客さまが判断しやすくなります。フィッシング対策協議会のガイドラインでは、注意を呼びかける文面に偽のURLをそのまま載せないこと、「URLや送信元を確認してください」という呼びかけは送信元が偽装できるため勧めないことが示されています。メールだけでなく、サイト・SNSなど複数の経路で知らせるのが目安です。
カード情報の一部が含まれる場合は、お客さまに「身に覚えのない請求がないか、カードの利用明細を確認し、気になる点はカード会社に相談してほしい」と伝えます。決済代行会社やカード会社への連絡が必要かどうかも、カート事業者の案内に沿って確認します。
管理画面のパスワード変更と、関連サービスの確認
店舗側でまず手を動かせるのは、管理画面と、同じパスワードを使っているサービスの見直しです。2026年10月には、カート事業者がお知らせの中で「管理画面と同じパスワードをほかのサービスでも使っている場合は、そちらも変更してほしい」と呼びかけた例もあります。
- 管理画面のパスワード……カート事業者がリセットした場合も含め、案内に沿って新しいパスワードを設定します。2段階認証が使えるなら有効にします。
- 同じパスワードを使っているサービス……決済代行会社、モール、メール配信、物流、SNSの管理画面などで使い回していないかを確認し、あれば変更します。
- アカウントの棚卸し……退職者や契約が終わった外部委託先のアカウント、共有のIDが残っていないかを確かめ、不要なものは削除します。
- 連携しているアプリや外部サービス……カートに連携しているアプリやAPIのキーについて、カート事業者から再発行などの案内が出ていないかを確認します。
- 不審な操作がないか……管理画面のログイン履歴や操作の記録が見られる場合は、身に覚えのない操作がないかを確認し、気になる点はカート事業者に報告します。
管理画面の乗っ取り対策の考え方は、モールの例ですがモール出店者のアカウント乗っ取り対策でも整理しています。
平時に決めておくこと｜担当者・案内文・止まったときの連絡手段
カート事業者側の事故は、店舗が予防できる部分が限られる一方で、起きたときの動きは平時の準備で大きく変わります。次の3つを決めておくのが目安です。
お知らせを見る担当者
カート事業者のお知らせページ・稼働状況・登録メールアドレスを見る担当者と、休みのときの代わりの人を決めます。登録メールアドレスが退職者の個人アドレスになっていないかも確認します。
案内文のひな形
事実・お詫び・お願い・問い合わせ先の順に書くひな形と、「パスワードやカード番号を尋ねない」旨の一文を用意しておきます。想定問答も数問あると落ち着いて対応できます。
サイトが止まったときの連絡手段
カート側の緊急対応で、サイトが長時間止まることもあります。SNSやメルマガなど、カートが止まっても使える連絡手段と、案内を出す担当者を決めておきます。
あわせて、カート事業者との契約や利用規約で、事故のときの連絡のタイミングと、個人情報保護委員会への報告の分担がどう書かれているかを一度読んでおくと安心です。わからない点は、サポート窓口に平時のうちに問い合わせておきます。
自店のサイトそのものが不正アクセスを受けた場合の手順は不正アクセスされたときの対応、カートやプラグインに脆弱性が見つかったときの対応は脆弱性が出たときに店舗がやること、全体の対策はECサイトのセキュリティ対策ガイドで整理しています。
よくある質問
Q. カート事業者が個人情報保護委員会に報告していれば、店舗は報告しなくてよいですか？
A. 個人情報保護委員会のガイドラインでは、委託先で漏えいが起きた場合は委託元（店舗）と委託先の双方が報告の義務を負うのが原則で、連名での報告もできるとされています。カート事業者が個人データを取り扱わない契約の場合は、店舗が報告の義務を負い、報告をカート事業者に代行させることができるとされています。自店の報告が済んでいるかどうかを、カート事業者に確かめておくのが目安です。
Q. 漏えいした情報にカード番号が含まれない場合も、お客さまに知らせる必要がありますか？
A. 不正アクセスによる漏えいや、本人の数が1,000人を超える漏えいなどは、カード番号が含まれなくても報告の対象になり、本人への通知も求められます。連絡がつかない場合は、事案の公表と問い合わせ窓口の設置が代わりの措置とされています。通知の内容とタイミングは、カート事業者と相談してそろえるのが現実的です。
Q. カートを乗り換えたほうがよいですか？
A. 事故の公表だけで乗り換えを決めるより、カート事業者の原因の説明と再発防止策、店舗への連絡の早さ、自店の運営への影響を見て判断するのが現実的です。乗り換えにも費用と手間、移行中のリスクがあります。判断に迷う場合は、契約内容と移行の負担を整理したうえで、専門家に相談することもできます。