アイリスプラザに不正アクセス｜約770万人分に漏えいの可能性——EC運営者にとっての意味と今やるべきこと
- 対象
- 顧客データを扱うすべての店
- 期限
- 期限の案内はなし
- 対応
- データの置き場所と認証の設定を見直す
顧客データのコピーを、外部のクラウドに置いたままにしていないでしょうか。株式会社アイリスプラザ（以下、アイリスプラザ社）は2026年11月5日、外部クラウドサービスへの不正アクセスで約770万人分の個人情報が漏えいした可能性があると公表し、運営する公式通販サイトは停止が続いています。
カード情報は対象外でも、自社サイトの停止が続いている例です
発表の事実
アイリスプラザ社の第2報（2026年11月5日）で公表された内容は次のとおりです。数字は2026年11月5日時点のものです。
| 項目 | 公表された内容 |
|---|---|
| 経緯 | 10月28日に外部クラウドサービスで不審なファイルを発見 サイトと関連システムを停止 10月29日に第1報、警察と個人情報保護委員会へ報告 |
| 会員データ | 約580万人分（退会済みを含む） 氏名・住所・電話番号・メールアドレス・性別・パスワード・生年月日等 退会者はパスワードを除く |
| 非会員データ | 約190万人分（会員登録なしの購入者、キャンペーン応募者を含む） 氏名・住所・電話番号・メールアドレス |
| 暗号化 | パスワードを含む一部の項目は暗号化 |
| 対象外 | クレジットカード情報は当該クラウドに保存しておらず、影響なしと確認 |
| 被害の報告 | 本件に起因する不正利用や金銭被害等の報告は確認されていない |
| サイトの状況 | アイリスプラザは再開時期未定 SIMPLE STYLEなども10月28日から停止（不正アクセスは未確認） |
約770万人分は、保存されていた個人情報の総データ数です。実際の漏えい件数と影響を受ける人数は調査が続いています。アイリスプラザ以外の外部ECモールにある同社の店舗では、現時点で不正アクセスと情報漏えいは確認されていないとしています。原因の特定と再発防止策を講じたうえで、再開時期を知らせるとしています。
EC運営者にとっての意味
今回の公表は、受注やサイトの本体だけでなく、外部のクラウドに置いたデータも守る範囲に入ることを示した例だとみられます。原因は調査中のため、ここからは一般的な備えの話として整理します。
退会者・非会員のデータ
今回は退会済みの会員や、会員登録なしの購入者の情報も対象とされました。法令上の保管が必要なものを除き、いつまで残すかを決めておくと、万一のときの範囲を狭めやすくなります。
モールと自社サイトの分散
自社サイトは停止しましたが、外部モールの店舗では不正アクセスは確認されていないとされています。販路が複数あると、一つの販路が止まったときの受け皿になる可能性があります。
パスワードの再利用への案内
公表文では、他のサービスで同じパスワードを使っている場合の変更を呼びかけています。店舗側でも、会員パスワードの保存方法を把握しておくと、案内を組み立てやすくなります。
年末商戦の時期にサイトが止まると、注文への対応や問い合わせの負担も重なりやすくなります。万一のときの動き方は不正アクセスされたときの対応にまとめています。同じ時期には、委託先のメール配信システムが対象になったビックカメラグループの事案も公表されています。
今やるべきこと
- 顧客データの置き場所を書き出す……カート、外部クラウド、表計算のファイルなど、顧客データのコピーがある場所を一覧にします。
- 使わなくなったデータを整理する……退会者や過去のキャンペーン応募者のデータについて、保管の要否を確かめ、不要なものの削除を検討します。法令上の扱いは専門家や公式情報で確認してください。
- 管理画面とクラウドの認証を見直す……2段階認証を有効にし、退職者や取引が終わった会社のアカウントが残っていないかを確かめます。
- 連絡先を控える……カートの公式のお知らせを確認し、カード決済を使っている店舗は決済代行会社やカード会社の相談窓口も控えておきます。
日ごろの対策の全体像はECサイトのセキュリティ対策ガイド、各社の公表内容はEC情報漏えいの公表事例台帳にまとめています。
出典・確認日
1件
- 株式会社アイリスプラザ「（第2報）株式会社アイリスプラザECサイト一時停止のお知らせ」（2026年11月5日）
※本記事は2026年11月9日時点で確認した公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。