何が起きたか
この事故で流出した、または流出したおそれがある情報は、購入者の氏名・住所・電話番号・メールアドレス、会員IDと暗号化されたパスワード、カード名義・番号の先頭6桁と下4桁・有効期限、店舗の管理画面・メール・FTPのID・パスワード、振込先口座情報。延べ8,853,839件です。その後の対応と影響は、攻撃元からの通信を遮断した。利用者にパスワード変更を、店舗に管理画面のパスワード変更と二段階認証の設定を求めた。利用店舗のうち電機メーカー子会社の直販サイトは、注文データ最大169,355件が対象と公表したです。
原因になったのは「ECサイト構築サービスのサーバーで不正なプログラムが実行された」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
サービスのサーバーに外部から不正アクセスがあり、第三者が不正なプログラムを実行して購入者情報を外部に送信した。侵入経路は公表されていない。
- 1つ外側 流出した情報確定
購入者の氏名・住所・電話番号・メールアドレス、会員IDと暗号化されたパスワード、カード名義・番号の先頭6桁と下4桁・有効期限、店舗の管理画面・メール・FTPのID・パスワード、振込先口座情報。延べ8,853,839件。
- いちばん外側 その後の対応と影響確定
攻撃元からの通信を遮断した。利用者にパスワード変更を、店舗に管理画面のパスワード変更と二段階認証の設定を求めた。利用店舗のうち電機メーカー子会社の直販サイトは、注文データ最大169,355件が対象と公表した。
なぜ起きたか
公表文によると、外部の第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部に送信した。侵入の経路と脆弱性の内容は公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年5月21日〜8月1日不正なプログラムの実行と購入者情報の外部送信が続く
- 8月1日第1報を公表し、攻撃元からの通信を遮断
- 8月2日第2報で会員情報・カード情報・店舗情報を対象に追加
- 8月6日購入者向けマイページの認証を強化
- 9月18日利用店舗の電機メーカー子会社が最大169,355件の注文データを対象と公表
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）決済画面や注文処理を動かすサーバーで、ファイルの改ざんや外部への不審な通信を検知する仕組みがあれば、送信が続いた期間を短くできた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 自社のECサイトが使う外部のサービスと、そのサービスに預けている顧客情報の範囲を一覧にする
- サイトのプログラムが改ざんされていないかを定期的に比べる手順があるか確認する
- 管理画面やFTPのパスワードを変更し、二段階認証を設定する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- 不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて2026.08.01
- 不正アクセスによる個人情報漏えいに関するお知らせ（第2報）2026.08.02
- PFUダイレクト本店への不正アクセスについて（利用店舗の公表）2026.09.18
- Eストアーのショップサーブへの不正アクセスについてまとめてみた（piyolog）2026.08.12
