セキュリティ・データ
ECサイトの情報漏えい・不正アクセス事例
ネットショップ、ECカート、決済・後払い、EC向けの物流サービスで公表された、不正アクセスや情報漏えいの事例をまとめています。1件ずつ、何が起きたか・どこから入られたか・影響と、ほかの店舗が学べることを整理しました。出典は各社の公表文です。
どこから入られたか・何が起きたか
どこから入られたか（原因）
何が起きたか（事象）
原因は各社の公表文の書き方をもとに、編集部が大まかな区分にまとめています。
事例の一覧
何が起きたか
どこから入られたか
31件を表示
-
2026年10月19日公表
株式会社ジグザグWorldShopping（越境ECサービス）
- 原因（公表文の記載）
- システムの一部への第三者による不正アクセス（メール配信システムおよび入力フォームの不備を修正と公表）
- 影響
- 海外のお客様 301名（2026年10月19日時点。メールアドレス・氏名・住所・電話番号・注文に関する情報。カード情報・パスワードは含まず。WorldShopping BIZ導入EC事業者から預かる情報は現時点で対象外と公表）
- 対象の期間
- 2026年10月15日〜16日
店舗が学べること越境ECなど外部連携サービスを使う場合も、連携先の公表を確認し自社の購入者への案内を準備しておく
-
2026年10月19日公表
エイチ・ツー・オー リテイリング株式会社／株式会社阪急阪神百貨店阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Order
- 原因（公表文の記載）
- 予約サイト経由の顧客管理システムへの不正アクセス（オンラインストアでも不正アクセスを確認。原因は調査中）
- 影響
- H2O ID 約126万件の個人情報の一部（E-STORES・Remo Order経由の漏えい可能性は調査中。カード番号全桁・セキュリティコードは非保持と公表）
- 対象の期間
- 2026年10月16日（予約サイト）、10月17日（E-STORES・Remo Order）に不正アクセスを確認
店舗が学べること共通ID（会員基盤）を複数サイトで使う場合は、入口ごとの防御と緊急停止の手順を用意する
-
2026年10月19日公表（2026年10月20日更新）
株式会社トラストバンクふるさとチョイス
- 原因（公表文の記載）
- 第三者による不正アクセス（関連して検知した脆弱性を調査中と公表）
- 影響
- 4,454,097件（現時点の確認件数。氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額）
- 対象の期間
- 2026年10月17日に不正アクセス、10月19日に検知・サービス停止
店舗が学べることアクセス傾向の異常を検知したら即座にサービスを止められる判断基準を決めておく
-
2026年10月16日公表（2026年10月20日更新）
ワサビ株式会社WASABI SWITCH（EC一元管理システム）
- 原因（公表文の記載）
- 第三者による不正アクセスと不正なプログラム（マルウェア）の設置（10月14日・16日の2件。経路は特定し遮断と公表）
- 影響
- 公表なし（店舗の注文情報などの流出。実際の注文内容を含む不審メールが購入者に送られた。全アカウントの一時非稼働・パスワード強制変更を実施）
- 対象の期間
- 2026年10月14日、10月16日
店舗が学べること受注・在庫の一元管理ツールにも2段階認証を設定し、ツールに登録したモール・メールの認証情報を定期的に変更する
-
2026年10月16日公表
株式会社ファンケル／株式会社アテニアファンケル・アテニアのECサイト
- 原因（公表文の記載）
- ECサイトへの外部からの不正アクセス（原因となった機能を特定し停止。攻撃の詳細は開示を控えると公表）
- 影響
- ファンケル会員情報 393,785件（368,184名）／アテニア会員情報 441,162件（417,312名）。クレジットカードなどの決済情報・メインのパスワードは含まない
- 対象の期間
- 2026年10月3日〜2026年10月10日
店舗が学べること会員向けの機能を追加・変更したときは、外部から想定外の使われ方をしないかを公開前後に点検する
-
2026年10月15日公表
株式会社ビューティガレージビューティガレージ・アイラッシュガレージ（ECシステム）
- 原因（公表文の記載）
- ECサイトのサーバーへの不正侵入（経路は特定し遮断済みと公表）
- 影響
- 顧客情報 775,725件（会社名・サロン名・氏名・電話番号・メールアドレス・パスワードのハッシュ値等。住所・購入履歴・カード情報を含む決済情報の漏えいは確認されていないと公表）
- 対象の期間
- 2026年10月10日〜12日
店舗が学べることパスワードは必ずハッシュ化して保存し、漏えい時に他サービスでの使い回し変更を案内できる準備を
-
2026年10月9日公表（2026年10月13日更新）
東海旅客鉄道株式会社JR東海MARKET・いいもの探訪
- 原因（公表文の記載）
- メール配信サービスが利用する株式会社IDCフロンティアのクラウドへの不正アクセス
- 影響
- 約15,000件（両サイト合計。メールアドレスのほか、配信メールに含まれた氏名・住所・電話番号・注文内容等の可能性。カード情報・ログインパスワードは漏えいの可能性なしと公表）
- 対象の期間
- 公表なし（2026年10月7日時点で保存されていたデータが対象）
店舗が学べることメール配信など外部サービスに渡すデータの範囲を把握し、メール本文に載せる個人情報を必要最小限にする
-
2026年10月8日公表（2026年10月17日更新）
株式会社アズマhitmart（ヒットマート）
- 原因（公表文の記載）
- 同じサーバー上の別サイトの自動更新時に悪意あるコード（バックドア）が混入（サプライチェーン攻撃）。使用後に削除されていなかった別サイトが直接の原因と公表
- 影響
- 公表なし（2026年9月29日までに会員登録または注文した顧客の個人情報が閲覧されたおそれ。カード情報は含まず、購入・決済画面の改ざんはなかったと公表）
- 対象の期間
- 2026年4月7日に悪意あるコードが混入、9月28日に発見（ログ保存期間を超えるため閲覧有無は特定できず）
店舗が学べること同じサーバーに置いた使っていない旧サイト・テスト環境は削除し、自動更新される部品も監視対象に入れる
-
2026年10月7日公表（2026年10月18日更新）
株式会社IDCフロンティアIDCFクラウド（東日本リージョン1の一部）
- 原因（公表文の記載）
- 第三者による不正アクセス（ランサムウェア攻撃）。侵入経路は調査中
- 影響
- IDCFクラウドを契約する495の企業・自治体に影響（仮想サーバーの停止・再起動不可）。第5報で仮想サーバー内データの外部流出はなかったと判断、スナップショット機能を利用していた194社はバックアップの取り出しが可能。ポータルで48社の登録情報に不正な照会
- 対象の期間
- 2026年10月7日午前3時40分頃から障害
店舗が学べることクラウドやSaaSが止まっても在庫・受注データを戻せるよう、自社側でも別の場所にバックアップを持つ
-
2026年10月6日公表（2026年10月19日更新）
爬虫類ショップ Wild Monster爬虫類ショップ Wild Monster（ECサイト）
- 原因（公表文の記載）
- 不明・調査中（第三者による不正アクセス。カード会社からの不正利用懸念の連絡で判明）
- 影響
- 公表なし（調査中。クレジットカード情報を含む個人情報が漏えいした可能性。同日カード決済を停止）
- 対象の期間
- 公表なし
店舗が学べることカード会社から連絡を受けたときの決済停止・告知・問い合わせ窓口の手順を事前に決めておく
-
2026年10月6日公表
株式会社ミスターマックス・ホールディングスミスターマックスアプリ・オンラインストア
- 原因（公表文の記載）
- ソフトウェアの機能の不正利用によるサーバーへの侵入
- 影響
- 会員情報 最大1,735,154人（会員ID・氏名・メールアドレス・電話番号。カード情報・住所・パスワード・購入履歴は流出なしと公表）
- 対象の期間
- 2026年10月3日に不審なアクセスを検知（2026年10月3日時点の登録会員が対象）
店舗が学べることサイトを構成するソフトウェアの機能・設定を定期的に棚卸しし、不要な機能は止めておく
-
2026年10月6日公表
株式会社アクティブアクティブ 通販サイト（業務用冷凍食品）
- 原因（公表文の記載）
- 特定ページへのSQLインジェクション攻撃、不正な管理者アカウントによる顧客・注文データのエクスポート
- 影響
- 最大54,916件（店舗名・住所・電話番号・メールアドレス・注文情報。カード情報・口座情報・ログインパスワードは含まないと公表）
- 対象の期間
- 2026年10月2日に攻撃、10月3日に検知
店舗が学べること入力欄のSQLインジェクション対策と、管理者アカウントの一覧・作成ログの定期確認を
-
2026年9月30日公表（2026年10月9日更新）
佐川急便株式会社お荷物問い合わせサービス（インターネット貨物システム）
- 原因（公表文の記載）
- 第三者による不正アクセス（原因は調査中）
- 影響
- 件数は調査中で公表なし（送り主・お届け先、運賃契約者、スマートクラブ登録者の氏名・住所・電話番号等が流出の可能性。クレジットカード情報・パスワードは含まない）。お荷物問い合わせAPI・受取先変更など一部Webサービスを停止
- 対象の期間
- 2026年9月30日から遡り約100日間（2026年6月下旬以降）にお預かりした荷物
店舗が学べること配送会社のAPIや追跡サービスが止まったときに、購入者へ配送状況を案内する代わりの方法を決めておく
-
2026年9月29日公表（2026年10月16日更新）
ヤマト運輸株式会社クロネコ代金後払いサービス
- 原因（公表文の記載）
- 第三者による不正アクセス（侵入経路は第4報時点で記載なし）
- 影響
- 購入者の情報 約526万件（うちメールアドレスを含む 約49万件）／お届け先 約5万件／加盟店情報 約4,100件が持ち出し。クレジットカード情報・パスワードは含まない。2026年10月9日にサービス再開（第3報）
- 対象の期間
- 購入者・加盟店情報：2018年10月1日〜2026年9月28日／お届け先：2021年2月5日〜2026年9月28日
店舗が学べること後払いなど外部決済の停止に備え、代わりの決済手段と購入者への案内文を用意しておく
-
2026年9月25日公表
株式会社スマレジスマレジEC・リピート／スマレジEC・B2B
- 原因（公表文の記載）
- お客さま管理画面のログイン機能に存在した脆弱性の悪用（2026年9月18日に修正済み）
- 影響
- 影響の可能性がある環境 4社。顧客情報・受注情報・管理者情報・WordPress情報が閲覧または取得された可能性（件数は公表なし）。カード情報は対象外
- 対象の期間
- 公表なし
店舗が学べることカート提供元から個別連絡がなくても、公表があれば管理者パスワードや連携プラグインの鍵の変更を検討したい
-
2026年8月30日公表（2026年9月4日更新）
株式会社まんだらけまんだらけ通販サイト
- 原因（公表文の記載）
- サーバーへの不正アクセス（配送情報を保有するサーバーへの侵入）
- 影響
- 件数は公表なし（2026年8月28日6時までの注文者の氏名・住所・電話番号・メールアドレスが漏えいの可能性）。中間報告では閲覧・持ち出しの記録は現時点で確認されていない。カード情報は非保持。通販サイトを一時停止
- 対象の期間
- 2026年8月28日6時までの注文
店舗が学べること配送用データを置くサーバーも外部通信を必要最小限に絞り、権限を見直しておきたい
-
2026年8月28日公表（2026年10月13日更新）
株式会社トレジャー・ファクトリー（連結子会社 株式会社カインドオル）カインドオルのECサイト
- 原因（公表文の記載）
- フィッシングメールによるECプラットフォームのスタッフアカウント認証情報の窃取（二段階認証は未設定）、顧客情報の一括エクスポート
- 影響
- 136,464名（うち住所情報を含むもの 109,311名）で確定。カード情報・ECサイトのログインパスワードは含まない
- 対象の期間
- 公表なし（第三報に記載なし）
店舗が学べることECプラットフォームの管理アカウントは二段階認証（できればパスキー）を必須にし、顧客データの一括エクスポート権限を絞っておきたい
-
2026年8月21日公表（2026年10月15日更新）
株式会社いまでやIMADEYA ONLINE STORE
- 原因（公表文の記載）
- 自社開発のShopify連携アプリ（注文履歴管理用）のAdmin APIアクセストークンが第三者に取得され、海外IPから不正利用された（取得経路は第2報時点で記載なし）
- 影響
- 件数は公表なし（Shopify上の注文情報・顧客情報が不正取得）。カード情報の漏えいはないことを確認。オンラインストアは販売停止、12月上旬に再開予定（第2報時点）
- 対象の期間
- 公表なし
店舗が学べることカート本体だけでなく、連携アプリやAPIトークンの権限・保管場所も棚卸しの対象に含めたい
-
2026年8月13日公表（2026年10月7日更新）
株式会社チャームチャーム本店1号店・チャーム本店2号店
- 原因（公表文の記載）
- 第三者による不正アクセス・不正ログイン（不正ログインに使われたメールアドレス・パスワードの入手経路は特定に至っていない）
- 影響
- 漏えい確認 約37万件・漏えいのおそれ 約2万件（計約39万件）、別途退会済み顧客 約2.5万件。不正ログイン確認 239名。カード情報は含まない
- 対象の期間
- 不正ログインの確認期間：2026年7月1日〜2026年8月12日
店舗が学べること退会者や過去のお届け先の情報も対象になりうるため、保存期間を過ぎた個人情報を削除する運用を決めておきたい
-
2026年8月10日公表（2026年9月18日更新）
RIZAP株式会社APORITOオンラインストア
- 原因（公表文の記載）
- 第三者による不正スクリプトの設置（システム内に不審な外部送信プログラム）
- 影響
- 件数は公表なし（個人情報：氏名・住所・電話番号・メールアドレス、カード情報：カード番号・有効期限・セキュリティコードが流出の可能性）。2026年8月5日からサイトを一時閉鎖、再開は2027年1月下旬予定（第3報時点）
- 対象の期間
- 2026年5月1日〜2026年8月5日
店舗が学べることサイトに外部送信するスクリプトが紛れ込んでいないか、決済まわりのファイルを定期的に点検する仕組みを持ちたい
-
2026年8月10日公表（2026年10月9日更新）
REXT Holdings株式会社REXT株式会社の社内ネットワーク（WonderGOO・新星堂・WonderREX 等の店舗、EC・オンラインサービス）
- 原因（公表文の記載）
- ネットワーク機器を経由した侵入の可能性が高い（外部専門機関の見解）
- 影響
- 公開を確認したファイル 310件（約54MB）／漏えいのおそれ 1,044,906件（カード情報は含まない）。第1報時点でEC・オンラインサービスは商品の発送遅延と一部サービスの受付停止
- 対象の期間
- 公表なし（暗号化被害は2026年8月9日未明〜朝）
店舗が学べること店舗と同じ社内ネットワークで受注・出荷を回している場合は、VPN等のネットワーク機器の更新と、止まったときの出荷代替手段を確認したい
-
2026年8月1日公表（2026年10月16日更新）
株式会社Eストアーショップサーブ（ECサイト構築サービス）
- 原因（公表文の記載）
- サーバー上のアプリケーションの脆弱性を悪用した不正プログラムの実行（他の侵入経路・バックドアは確認されなかったと公表）
- 影響
- 約23,356,000人・7,858店舗（最終報。うちクレジットカード情報の一部〔名義・番号の上6桁と下4桁・有効期限〕を含む 約2,096,900人）。店舗の管理画面ログインID・パスワード等も対象。FTP情報・振込先口座情報は対象外と確認（第1報時点の公表は最大で延べ8,853,839件）
- 対象の期間
- 2026年5月21日〜2026年8月1日
店舗が学べることカートの提供元が公表したら、管理画面パスワードの変更と購入者への注意喚起をすぐ出せる手順を用意しておく
-
2026年7月29日公表
株式会社シー・コネクトインク革命
- 原因（公表文の記載）
- 決済画面の改ざん（システムの一部の脆弱性を突いた不正アクセスによるペイメントアプリケーションの改ざん）
- 影響
- 個人情報 24,166件、クレジットカード情報 24,166件（24,166名）
- 対象の期間
- 2025年4月8日〜2025年12月10日
店舗が学べることカード会社から懸念の連絡を受けた時点で決済を止めて調査に入れるよう、連絡窓口と判断手順を決めておきたい
-
2026年7月8日公表（2026年8月18日更新）
株式会社ヴェレダ・ジャパンヴェレダ公式オンラインショップ
- 原因（公表文の記載）
- 第三者による不正アクセス（システム侵害）。詳細は調査中
- 影響
- 公表なし（個人情報の一部流出が懸念され調査中）。カード決済を一時停止のうえ、2026年8月19日10時以降の新規注文受付と定期購入の発送を停止、再開時期は未定
- 対象の期間
- 公表なし
店舗が学べること定期購入を扱うECは、サイト停止時の定期便・ポイント・解約対応の手順を事前に決めておくと案内が早くなる
-
2026年6月15日公表
株式会社佐嘉平川屋佐嘉平川屋オンラインショップ
- 原因（公表文の記載）
- 決済画面の改ざん（システムの一部の脆弱性を突いた不正アクセスによるペイメントアプリケーションの改ざん）
- 影響
- クレジットカード情報 6,303件（5,783名）／個人情報 73,213件（30,170名）
- 対象の期間
- カード情報：2025年3月21日〜2026年3月10日／個人情報：2021年4月6日〜2026年3月10日
店舗が学べることカード情報を保持しない構成でも決済画面そのものが改ざんされうるため、改ざん検知とシステムの脆弱性更新を続けたい
-
2026年3月26日公表（2026年10月15日更新）
株式会社ムーンスター楽天市場・Yahoo!ショッピング・au PAYマーケットの公式ショップ、MOONSTAR ONLINE STORE ほか計8店舗
- 原因（公表文の記載）
- システムサーバーへの不正ログイン・情報取得（手法・対象システムは非公表）
- 影響
- 最大59万3千人（氏名・住所・電話番号・メールアドレス・過去の注文情報）。クレジットカード情報・ECサイトのログインパスワードは含まれない
- 対象の期間
- 2026年5月14日〜5月19日（漏えいの可能性が高い期間）
店舗が学べることモール店と自社ECの注文データを1台のサーバーに集める場合は、そのサーバーの接続制限とログ監視も出店先と同じ水準で見直したい
-
2026年2月6日公表（2026年8月19日更新）
株式会社ビューティガレージビューティガレージ ECサイト（オンラインショップ）
- 原因（公表文の記載）
- 不明・調査中（カード会社からカード情報漏えいの可能性について連絡）
- 影響
- 公表なし（第6報時点で事実関係の特定に至っていない）。2026年2月6日23時からECサイトのカード決済を停止中
- 対象の期間
- 公表なし（調査中）
店舗が学べることカード決済が長期間止まっても売上を保てるよう、後払い・代引きなど別の決済手段を用意しておく
-
2026年1月16日公表（2026年4月27日更新）
株式会社ボンフォームボンフォームオンラインストア
- 原因（公表文の記載）
- システムの一部の脆弱性をついた不正アクセスによる決済ページ用JavaScriptの改ざん
- 影響
- クレジットカード情報 3,463件（3,268名）／ログイン情報等（メールアドレス・パスワード・電話番号）735名。2026年1月16日にサイト停止
- 対象の期間
- 2021年3月25日〜2024年11月8日の購入
店舗が学べること決済ページのJavaScriptが書き換えられていないかを定期的に確認し、会員パスワードの使い回し注意も案内する
-
2025年10月19日公表（2026年7月30日更新）
アスクル株式会社ASKUL／ソロエルアリーナ／LOHACO（物流システム・社内システム）
- 原因（公表文の記載）
- 多要素認証を例外的に適用していなかった業務委託先向け管理者アカウントのID・パスワードの不正利用（第13報）
- 影響
- 流出確認：事業所向けサービスの顧客情報 約59万件／個人向けサービスの顧客情報 約13万2,000件／取引先 約1万5,000件／役員・社員等 約2,700件（第13報）。第19報で漏えいのおそれを否定できない個人情報 約60万件を追加特定。2025年10月19日に受注・出荷を停止。クレジットカード情報は保有していないとしている
- 対象の期間
- 第19報の追加分は2025年7月15日〜2025年10月19日に発送された注文の一部
店舗が学べること委託先に渡す管理者アカウントも例外なく多要素認証にし、バックアップを別の場所に分けて持つ
-
2025年9月1日公表（2025年10月31日更新）
株式会社オフィスバスターズビジフォン舗
- 原因（公表文の記載）
- システムの一部の脆弱性をついた不正アクセスによるカード決済プログラムの改ざん（警察からの情報提供で発覚）
- 影響
- クレジットカード情報 96名（名義人名・番号・有効期限。セキュリティコードの流出は認められず）／個人情報 1,703名。2025年8月12日からカード決済を停止
- 対象の期間
- カード情報：2025年2月16日〜2025年8月12日／個人情報：2020年7月27日〜2025年8月12日
店舗が学べること小規模な専門店でも決済プログラムは狙われるため、カード決済部分のファイル改ざん検知を入れておく
-
2025年8月8日公表（2025年12月4日更新）
駿河屋駿河屋.JP（suruga-ya.jp）
- 原因（公表文の記載）
- 監視ツールの脆弱性を突いた不正アクセスによる決済ページ用JavaScriptの改ざん
- 影響
- クレジットカード情報 30,431件／付随する顧客情報 29,932名。2025年8月8日からカード決済を一時停止
- 対象の期間
- 2025年7月23日12時50分〜2025年8月8日
店舗が学べること決済画面だけでなく、サイトに入れている監視・解析などの周辺ツールも脆弱性の更新対象に含める
自分の店で備えるには
事例の多くは、決済画面の改ざんや、システムの脆弱性、管理画面への不正ログインから起きています。カード情報を自社で持たない仕組みにすること、カートやプラグインを最新に保つこと、管理画面に2段階認証を入れることが、まず取り組みたい基本です。詳しくは セキュリティの記事一覧 にまとめています。
この一覧は、各社が自ら公表した内容をもとにしています。被害にあった会社を責める意図はありません。掲載内容に誤りや更新があれば、EC参謀についての運営元までお知らせください。