エディオンのECサイトに不正アクセス｜決済処理の改ざんで最大556回分のカード情報に漏えいの可能性——EC運営者にとっての意味と今やるべきこと
- 対象
- カード決済を使うすべての店
- 期限
- 期限の案内はなし
- 対応
- 決済画面の改ざん対策を確認
カード情報をサーバーに残さない「非保持化」に対応していても、入力画面そのものが書き換えられると情報が抜き取られるおそれがあります。株式会社エディオン（以下、エディオン）は2026年11月9日、ECサイトの決済関連の処理に外部の第三者が不正なプログラムを組み込む改ざんが判明したと公表し、ECサイトを停止しています。
非保持化のお店でも、決済の入力画面が狙われた例です
発表の事実
エディオンは11月6日に第1報、11月9日に第2報（11月10日に一部訂正）を公表しました。数字は第2報の時点のものです。
| 項目 | 公表された内容 |
|---|---|
| 第1報（11月6日） | 11月5日18時30分頃、ログファイルを置いたサーバー領域への不正アクセスを確認 顧客データベース本体への不正アクセスは確認されていない |
| 新たな判明（第2報） | 決済関連の処理に不正なプログラムが組み込まれる改ざん 11月4日19時過ぎから稼働していたと確認 |
| 決済画面の対象 | PCで新規にカード情報を入力した場合、最大556回 カード番号・有効期限・名義・セキュリティコード スマートフォンからの操作は対象外と確認 |
| エラーログ | 注文時のエラーで例外的にログへ記録されたカード情報が最大5件 |
| その他の情報 | ログインIDとパスワードが最大1,141名分 エディオンギフトカードの番号・PINなどが5,360枚 |
| サービスの状況 | 11月7日22時からECサイトを緊急停止し、再開は未定 公式アプリは一部機能を11月8日に再開 |
第1報では、ログファイルに記録されていた氏名や連絡先などについて、最大4,131名と最大9,554名（重複あり）が対象になり得るとしていました。第2報では、第1報で「クレジットカード情報およびログインパスワードの漏洩は確認されていない」としていた点を訂正しています。
公表文によると、同社のカード決済は非保持化に対応し、サーバーに情報を残さない仕組みでした。今回はPC向けの入力処理に組み込まれたプログラムにより、入力された情報が「直接第三者に漏洩した可能性を否定できない」と説明されています。
対応として、カード会社に不正利用のモニタリング強化を依頼し、対象のお客様にはパスワード変更の案内をメールで送るとしています。ログインには新規ログイン時の2段階認証が必要なため、直ちに不正利用される状況ではないと説明しています。個人情報保護委員会と警察への追加報告も準備中とされています。
EC運営者にとっての意味
今回の公表は、カード情報を保存していなくても、入力画面を通る情報は守る範囲に入ることを示した例だとみられます。改ざんの経路は公表されていないため、ここからは一般的な備えとして整理します。
非保持化だけでは足りない
クレジットカード・セキュリティガイドラインは、非保持化に加えてWebサイトの脆弱性対策を講じることを求めています。主な漏えいは、非保持化を実現した加盟店でWebサイトの脆弱性などを原因に起きているとも説明しています。
調査で範囲が変わる
今回は第1報のあとに範囲が広がりました。自社で何かあったときも、最初の案内は「現時点で判明していること」と分けて伝えると、訂正の負担を抑えやすくなります。
ログに残る情報
エラー時の入力内容がログに記録されていたことも判明しました。システムのログに何が書かれているかは、外部の会社に任せている場合でも確かめておきたい点です。
年末商戦の前にサイトが止まると、注文や問い合わせの対応が重なりやすくなります。ガイドラインの中身はクレジットカード・セキュリティガイドライン6.1版の要約、万一のときの動き方は不正アクセスされたときの対応にまとめています。
今やるべきこと
- 決済の方式を確かめる……決済代行会社の画面へ移る方式か、自社のページで入力する方式かを確認します。わからない場合は決済代行会社やカートの窓口に聞けます。
- カートとプラグインを最新にする……カートの公式のお知らせを確認し、自社構築や拡張機能を使うお店はセキュリティの更新が当たっているかを確かめます。
- 管理画面の入口を絞る……管理画面のパスワードを見直し、2段階認証やアクセスできる場所の制限を設定します。使っていないアカウントは止めます。
- 相談先を控える……不審な点に気づいたときの連絡先として、決済代行会社・カード会社の窓口を控えておきます。
日ごろの対策の全体像はECサイトのセキュリティ対策ガイド、各社の公表内容はEC情報漏えいの公表事例台帳にまとめています。
出典・確認日
3件
- 株式会社エディオン「当社ECサイトにおける新たに判明した事象と個人情報漏洩の可能性、およびサービス停止に関するお詫びとお知らせ（第２報）」（2026年11月9日、11月10日訂正）
- 株式会社エディオン「当社ECサイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ」（2026年11月6日）
- クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン」（6.1版・2026年3月）
※本記事は2026年11月10日時点で確認した公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。