ECプラットフォーム「Commerble」に不正アクセス｜GALLERY・2の購入者情報 最大約12.8万件に漏えいの可能性——EC運営者にとっての意味と今やるべきこと

ゼビオホールディングス株式会社（以下、ゼビオHD）は2026年10月23日、連結子会社の株式会社GALLERY・2（以下、GALLERY・2）が利用するECプラットフォーム「Commerble（コマーブル）」で第三者による不正アクセスがあり、お客さまの個人情報が外部に漏えいした可能性があると公表しました。プラットフォームの運営会社側の管理用の認証情報が不正に取得されたことが発端と説明されています。

発表の事実

公表された内容は、プラットフォーム運営会社の親会社から受け取った報告書をもとにした、2026年10月23日時点の情報です。ゼビオHDの適時開示資料に書かれている事実を整理します。

各区分には重複があり、件数を足しても漏えい人数にはならないと注記されています。顧客情報を表示する操作が行われたことは確認された一方で、公表時点では外部へ持ち出された事実や、不正利用などの二次被害は確認されていないとしています。

運営会社側では、管理用機能の外部公開の停止、認証情報・接続情報の変更、アクセス制限の是正、権限の見直しなどを行ったと報告されています。GALLERY・2は対象のお客さまへの個別通知の準備を進めており、ECサイトは安全性を確認したうえで段階的な再開を検討するとしています。

EC運営者にとっての意味

今回の件は、店舗自身ではなく、店舗が使っているECプラットフォームの運営会社側の管理用の入り口が発端になったと説明されている点が特徴だとみられます。8月に公表されたショップサーブの事案も、カート事業者側のアプリケーションが狙われたものでした。

外部のカートやプラットフォームを使うと、サーバーやシステムの管理は運営会社に任せられます。ただ、運営会社側で事故が起きたときに、お客さまからの問い合わせを受けるのは店舗です。個人情報保護委員会の通則編でも、委託先で漏えいが起きた場合は委託元と委託先の双方が報告の義務を負うのが原則とされています。どのタイミングで運営会社から連絡が来るのか、店舗側で何を案内するのかを、平時に確かめておく意味は大きそうです。

また、今回は支払入力画面の改ざんも確認されています。カード番号は含まれないと公表されていますが、決済画面の改ざんは、カード情報を自社で持たない「非保持化」の店舗でも起こりうる手口として、業界のガイドラインでも注意が呼びかけられています。今回のGALLERY・2のように、見慣れない画面の変化に気づいたら止める判断ができる体制があるかどうかも、見直したい点です。

なお、この発表では、同じプラットフォームを使うほかの店舗への影響には触れられていません。Commerbleを利用している店舗は、運営会社からの案内を確認してください。

今やるべきこと

• 運営会社のお知らせの確認先を決める……使っているカート・プラットフォームのお知らせページ、障害情報、登録メールアドレスに届く連絡を、誰が見るかを決めておきます。
• 管理画面の認証設定を見直す……2段階認証が使えるなら有効にし、共有のIDや、退職者・契約が終わった外部委託先のアカウントが残っていないかを確かめます。
• 支払画面をときどき自分で確かめる……テスト注文などで、購入の流れの画面に見慣れない入力欄や遷移先がないかを見ておくと、異変に気づくきっかけになります。
• お客さま向けの案内文を用意する……「店からパスワードやカード情報をメールで尋ねることはない」ことを、すぐお知らせできるよう準備しておきます。

事故が起きたときの手順は不正アクセスされたときの対応、日ごろの対策の全体像はECサイトのセキュリティ対策ガイドで整理しています。各社が公表した事例はEC情報漏えいの公表事例台帳にもまとめています。個人情報の報告の義務などは、最新は個人情報保護委員会などの公式情報や専門家で確認してください。

出典

• ゼビオホールディングス株式会社「第三者が運営する EC プラットフォームで発生した不正アクセスによる当社連結子会社の個人情報漏えいの可能性に関するお知らせ」（2026年10月23日・日本取引所グループの適時開示）

※本記事は2026年10月28日時点の公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。