futureshopに不正アクセス｜1店舗の会員情報 約314万件が漏えい——EC運営者にとっての意味と今やるべきこと
株式会社フューチャーショップ（以下、フューチャーショップ）は2026年10月23日、同社が提供するSaaS型ECプラットフォーム「futureshop」のサーバーへの外部からの不正アクセスにより、futureshopを利用する1店舗の会員情報が外部に漏えいしたと公表しました。対象件数は3,147,469件で、クレジットカード情報は含まれないとしています。
⏱ 忙しい人向け 3行まとめ
- 事実：2026年10月17日の深夜、futureshopのサーバーで使われていたソフトウェアの脆弱性が悪用され、1店舗の会員情報 3,147,469件が取得されたと公表されました。カード情報は含まれず、パスワードはハッシュ化済みとしています。
- 整理：同じ週には、10月21日に検知した別の不正アクセスと、PHPの脆弱性への対策のための長時間の停止もありました。同社は3件を別々の事象と説明しています。
- アクション：カートを使う店舗は、カート事業者のお知らせの確認先、お客さま向けの案内文、管理画面のパスワードの使い回しがないかを確かめておくと安心です。
発表の事実
フューチャーショップが2026年10月23日に公表した第一報の内容は、次のとおりです。対象の店舗名は公表されていません。
| 項目 | 公表された内容 |
|---|---|
| 経緯 | 10月17日 23時02分：サーバーへの不正アクセス 10月18日 0時16分：1店舗の会員情報を取得 10月19日 15時30分頃：システム監視の過程で判明 |
| 原因 | futureshopのサーバーで使用していたソフトウェアの脆弱性の悪用 |
| 対象 | futureshopを利用する店舗のうち1店舗の会員情報 3,147,469件 |
| 漏えいした情報 | 会員ID、氏名、メールアドレス、住所、生年月日、電話番号、性別、メルマガの受信設定、ログインパスワード（ハッシュ化済み）など |
| 含まれないもの | クレジットカード情報 |
| 報告 | 対象店舗との連名で個人情報保護委員会へ報告。所轄警察署へ相談中 |
同社は、パスワードはハッシュ化して保存しているため、取得された情報をそのまま使ってログインすることはできないと説明しています。カード情報は決済代行会社が直接処理する仕組みで、同社のサーバーを経由せず保存もしていないとしています。10月23日時点で二次被害の報告は確認されておらず、対象店舗以外のデータへの同様の手法での不正アクセスの痕跡も確認されていないとしています。悪用された脆弱性への対策はすべての管理画面サーバーで実施済みで、外部の専門機関による調査も行うとしています。
10月25日には、同じ週に起きた3つの事象を整理した説明も出ています。
- 10月21日〜22日の長時間メンテナンス：PHPの重大な脆弱性への対策のため、10月21日21時36分から22日23時35分までサービスを停止。futureshop本体はPHPを使っておらず、PHPが動くCMSサーバオプションの対応に時間がかかったと説明しています。
- 10月21日に検知した不正アクセス：関連サービスの脆弱性を突いたもので、4台のサーバーを緊急停止。現時点のログ調査では、この事象による個人情報の漏えいは確認されていないとしています。
- 10月23日に公表した会員情報の漏えい：上の2つとは別の事象で、10月19日に判明したもの。
EC運営者にとっての意味
今回の件は、店舗が使っているカートの運営会社側のサーバーが発端になったと説明されている点で、10月に最終報が出たショップサーブの事案や、Commerbleの事案と共通しています。カートを使うとシステムの管理は運営会社に任せられますが、漏えいが起きたとき、お客さまの問い合わせを受けるのは店舗になります。
個人情報保護委員会のガイドラインでは、委託先で漏えいが起きた場合は、委託元と委託先の双方に報告の義務があるのが原則とされています。今回、フューチャーショップが対象店舗との連名で報告したと公表しているのも、この考え方に沿ったものとみられます。カートの契約の形によって扱いが変わる場合もあるため、自店の場合を平時に確かめておく意味は大きそうです。
また、10月21日〜22日の停止のように、カート側の緊急対応でサイトが長時間止まることも起こりえます。特集ページなどを別のサーバーで動かしている店舗は、カート本体とは別の対応が必要になる場合があることも、今回の説明から読み取れます。
今やるべきこと
- カート事業者のお知らせを誰が見るか決める……お知らせページ、稼働状況のページ、登録メールアドレスに届く連絡を、担当者と代わりの人まで決めておきます。
- 管理画面のパスワードを使い回していないか確かめる……フューチャーショップも10月21日の第一報で、管理画面と同じパスワードをほかのサービスで使っている場合は変更するよう呼びかけています。2段階認証が使えるなら有効にします。
- お客さま向けの案内文を用意する……「店からパスワードやカード情報をメールや電話で尋ねることはない」ことを、すぐお知らせできるようにしておきます。
- サイトが止まったときの連絡手段を決める……SNSやメルマガなど、カートが止まっても使える連絡手段で、お客さまに状況を伝える手順を決めておきます。
カート事業者側で漏えいが起きたときの店舗の動き方はカート事業者が情報漏えいしたとき店舗がやること、脆弱性の発表があったときの対応は脆弱性が出たときに店舗がやることで整理しています。日ごろの対策の全体像はECサイトのセキュリティ対策ガイド、各社が公表した事例はEC情報漏えいの公表事例台帳にまとめています。
出典
- 株式会社フューチャーショップ「【重要】不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第一報）」（2026年10月23日）
- 株式会社フューチャーショップ「PHP脆弱性対策に伴う長時間メンテナンス、および不正アクセス事案に関するお詫びとご説明」（2026年10月25日）
- 株式会社フューチャーショップ「【重要】弊社サーバーへの不正アクセスに関するお詫びとお知らせ（第一報）」（2026年10月21日）
※本記事は2026年10月29日時点の公表情報をもとにしています。調査は続いているため、最新の情報はfutureshopの公式のお知らせでご確認ください。