WASABI SWITCHEC一元管理サービスに複数経路から不正アクセス

概要

• 楽天市場など複数のECモールの受注・在庫をまとめて扱う「WASABI SWITCH」で、10月14日の侵入から注文情報が流出し、購入者に実際の注文内容を書いた返金詐欺メールが届いた。
• 脆弱性を直した後も、流出した管理者パスワードで店舗の管理画面に入られ、注文データと店舗のメールアカウント情報を抜かれた。店舗の正規アドレスから不審メールが送られている。
• 提供元はテンプレートのPHP機能の停止、全アカウントのパスワード強制変更と2段階認証、保管している取引情報の一時削除、登録情報の暗号化を進めている。
• 【2026-10-20追記】登録情報の暗号化は10月20日5時頃に完了した（第六報）。流出の範囲は公表されていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

発表内容の整理

事実（提供元の発表）

事実（提供元が実施・予定している対策）

• 全アカウントの一時非稼働と、再稼働時のパスワード変更（第二報）。
• 店舗が登録したメールアカウントのSMTP認証パスワード・POPパスワードの変更を要請。暗号化が終わるまで、新しいパスワードをWASABI SWITCHに登録しないよう求めた（第三報）。
• 保管している受注情報・買取情報・顧客情報を、安全が確認できるまで削除（削除前に保存し、後で店舗に戻す）（第四報）。
• 各モールの認証情報、外部連携用のFTPアカウント情報、メールアカウント情報、会社設定の各認証情報、WASABI SWITCH API情報を暗号化して保管（11月のバージョンアップ予定を前倒し）（第一報・第四報）。
• コンテンツテンプレートでのPHPの利用停止、全アカウントのパスワード強制変更、メールでの2段階認証（第五報）。
• 【2026-10-20追記】暗号化は10月20日5:00頃に完了。対応箇所は会社設定の認証情報、モール設定の認証情報、メール設定 > アカウント設定の認証情報、外部連携の「出力先」情報。電子政府推奨暗号リスト（CRYPTREC）掲載の方式と独自の仕組みを組み合わせ、復号の鍵は店舗ごとに管理する（第六報）。第四報で暗号化の対象に挙げていた「WASABI SWITCH API情報」は、第六報の対応箇所には挙がっていない。

事実（報道）

• セキュリティ対策Lab（ロケットボーイズ）は、楽天市場とのAPI連携も一時停止になったと伝えた（セキュリティ対策Lab）。

考察

公表を並べると、攻撃者は「脆弱性で入る」→「そこで得た管理者パスワードで正面から入り直す」→「管理画面の機能（テンプレートのPHP）でプログラムを置く」と、塞がれるたびに別の入口に移っているように見える（考察）。脆弱性を直しても、すでに盗まれた認証情報が生きていれば再侵入は防げない。第二報の時点で全アカウントを止めたのに、17日にも不正ログインが起きているのは、パスワードを変える前の管理者アカウントが再稼働したか、変更後のパスワードも何らかの形で知られたか、のどちらかと考えられる（考察。どちらかは公表されていない）。

被害が「注文情報の流出」から「店舗のメールアカウントの乗っ取り」に広がった点は大きい。WASABI SWITCHは店舗の代わりにメールを送るため、SMTPのパスワードをそのまま預かっていた。暗号化して保管する対応を急いでいるのは、預かった認証情報がそのまま読める状態だったことを示している（考察）。

【2026-10-20追記】第六報の暗号化は、データベースだけが持ち出された場合への備えになる。ただ、WASABI SWITCHはメール送信やモール連携のために、預かった認証情報を自分で復号して使う必要がある。今回のように管理画面の機能でサーバー上にプログラムを置かれる形の侵入では、アプリが復号できる以上、暗号化だけで読み取りを防ぐことはできない（考察）。鍵をどこに置き、どの処理から使えるようにしているかは公表されていない。

関係しそうな既知の手口

事実（既知の知見・同種事例）

• 提供元は、コンテンツテンプレートで使えるPHPの機能が今回の不正アクセスで悪用されたと明言し、機能自体を止めた（第五報）。
• ECの注文情報を使ったなりすましメールでは、ムーンスターが、顧客宛のなりすましメールに過去の注文情報が書かれていたと公表している（Security NEXT）。
• 委託先・外部サービスが持つ認証情報が狙われた例として、コミューンでは全コミュニティ共通のログイン用署名鍵が奪われた（コミューンの記事）。

考察

• テンプレートでコードが動く機能：テンプレートの中でPHPを動かせる仕組みは、管理画面にログインできる人なら、サーバー上でコードを実行できる入口にもなる。盗まれた管理者パスワードと組み合わさると、正規の機能だけで「不正なプログラムの設置」ができてしまう。
• 一元管理サービスは「鍵束」になる：複数モールの認証情報、FTP、メール、APIの情報を1か所に預けるため、ここが破られると店舗のあらゆる外部サービスに手が届く。フューチャーショップがAPIキーを一斉に止めたのは、連携先から見て当然の判断だろう。
• ドメイン名と同じメンバーID：第五報が挙げた「メンバーIDがご利用ドメインと同じ文字列」のアカウントは、IDを推測しやすい。弱いパスワードと組み合わさると、総当たりや使い回しのパスワードで入られやすい。

利用者・運用者がいまできること

事実（発表に基づく）

• 店舗は、WASABI SWITCHに登録していたメールアカウントのSMTP認証パスワードとPOPパスワードを、メールサービス側で変更する（同じパスワードにしない）（第三報）。
• メールの送信履歴に身に覚えのない送信がないか、自動転送の設定が追加・変更されていないかを確認する（第三報・第四報）。
• 変更後のパスワードは、暗号化完了の案内があるまでWASABI SWITCHに登録しない（第三報）。【2026-10-20追記】第六報で暗号化の完了が案内され、変更後のメールアカウントのパスワード（メール > アカウント管理）と外部連携のFTPパスワードを登録できるようになった。提供元が発行したFTPサーバーのパスワードは、対応方針が決まり次第案内するとしている（第六報）。
• 提供元から新しいパスワードがメールで送られることはない。パスワード変更を装うメールのリンクからはログインしない（第五報）。
• コンテンツテンプレートでPHPを使っていた場合、その部分は動かなくなる（第五報）。

考察（店舗向け）

• WASABI SWITCHに登録していた各モールの認証情報、FTPアカウント、APIキーも、提供元の案内に沿って順に作り直す。どれが抜かれたかは公表されていないため、預けていたものは全部漏れた前提で考えた方が安全。
• 自店の正規アドレスから不審メールが出ていた場合、取引先や購入者に「そのメールのリンクは開かないで」と別の経路で知らせる。

考察（購入者向け）

• 注文内容が正しく書かれていても、返金を口実にLINEの追加やカード番号・口座番号の入力を求めるメールには応じず、購入したモールの注文履歴や店舗の正規の窓口で確認する。

参考リンク

1. 【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告（2026-10-16）
2. 【重要・第二報】WASABI SWITCH全アカウントの一時非稼働とパスワード変更のお願い（2026-10-16）
3. 【緊急・第三報】メールアカウントのパスワード変更のお願い（2026-10-17、10-18更新）
4. 【重要・第四報】取引情報データの一時削除とセキュリティ対策強化について（2026-10-18）
5. 【重要・第五報】パスワードの強制変更・2段階認証の設定と、コンテンツテンプレートの仕様変更について（2026-10-18）
6. 【重要】不審なメールに関する注意喚起（2026-10-15）
7. 【重要】フューチャーショップとの連携停止について（2026-10-16）
8. 【重要】SpeedPAKおよびLuxclusifとの連携停止について（2026-10-17）
9. WASABI SWITCH(ワサビスイッチ)に不正アクセスによるサイバー攻撃、個人情報漏洩の恐れ楽天市場・フューチャーショップとのAPI連携停止、全アカウントを一時非稼働（セキュリティ対策Lab、2026-10-16）
10. 個人情報が流出、顧客宛のなりすましメールに過去の注文情報 - ムーンスター（Security NEXT）
11. 【重要・第六報】登録情報の暗号化対応完了のお知らせ（2026-10-20）
12. パスワード・APIキー変更のご案内（ワサビ、2026-10-22）
13. WASABI SWITCH 不正アクセスに関するご案内サイト（ワサビ、2026-10-29確認）
14. 個人情報保護委員会への報告に関する状況（ワサビ、2026-10-28更新）
15. 【お知らせ】不審なメールに関するご報告の状況について（ワサビ、2026-10-28）
16. 当社グループ会社が利用する外部システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（トレジャー・ファクトリー、2026-10-29）
17. 【重要】Yahoo!ショッピング+併売ヤフオク・競りナビ・ヤフオク個人の連携再開に向けて（ワサビ、2026-10-30）