イオングループ ― 各社のWebサイトで不正アクセスを検知

要点

発表された事実

イオンは2026年10月21日、グループ各社の一部のWebサイトで第三者による不正アクセスを検知し、安全確認を実施していると公表した。個人情報の流出についても調査中で、結果がわかり次第同社サイトで知らせるとしている（イオン）。
朝日新聞によると、対象はイオンリテール、イオンビッグ、マックスバリュ北陸などグループ13社の計42サイト。20日にシステムの不具合が見つかり、調べたところ不正アクセスを確認した。対象サイトはアクセスできないようにしており、安全を確認した後に再開する見通し（朝日新聞）。
共同通信によると、営業に関するシステムや電子商取引（EC）サイトには影響はない（共同通信）。
【2026-11-10追記】イオンは11月10日、調査の結果、個人情報が流出した事案が判明したと公表した。流出した情報の内容など個別の内容はグループ各社が知らせるとし、11月10日時点でお知らせを載せている企業はイオンスマートテクノロジー1社。各社は個人情報保護委員会に報告した。不正利用や二次被害は確認されていない（イオン 11月10日発表（PDF））。
【2026-11-10追記】イオンスマートテクノロジーによると、10月20日に一部Webサイトで不正アクセスを検知し、不正アクセスを受けたシステム内に保存されていたファイルのうち、一部の顧客の個人情報を含むファイルが流出した。流出したのは「ギフト承りシステム」の2024年度「イオンの夏ギフト」承り分414件（氏名・住所・電話番号）で、対象店舗はイオンスタイル津田沼 North、イオン東札幌店、マックスバリュ篠原橋東店、ダイエー浦安駅前店の4店舗。クレジットカード情報やメールアドレスは含まれない。対象者は特定済みで順次案内し、専用窓口（0120-323-075）を設けた（イオンスマートテクノロジー 11月10日発表）。

わかっていないこと

42サイトの一覧と、それらに共通する基盤（CMS、ホスティング、制作・保守の委託先など）があるか
「システムの不具合」とはどんな現象だったのか（改ざん、表示の異常、負荷など）
不正アクセスの時期と手口（【2026-11-10追記】検知は10月20日と公表されたが、侵入の時期と手口はなお公表されていない）
他のグループ各社のサイトからも個人情報が流出したか（【2026-11-10追記】イオンは流出の事案が判明したとし、11月10日時点で個別に公表したのはイオンスマートテクノロジーのギフト承りシステム414件のみ）
再開の時期

関係しそうな既知の手口

（考察）13社のサイトがまとめて対象になったことから、各社が個別に作ったサイトではなく、共通の基盤や同じ委託先が管理する仕組みの上に載っていた可能性がある。10月には、ノーコード制作基盤「Studio」やメール配信基盤など、多くの組織が共有するサービスへの侵入で利用組織が一斉に影響を受ける例が続いている。

概要

イオンのグループ13社が運営する計42のWebサイトで、第三者による不正アクセスが見つかった（社数・サイト数は報道による）。
前日に見つかったシステムの不具合を調べて判明した。対象サイトは閲覧できない状態にして安全確認中。
営業システムとECサイトには影響はないとしているが、原因と個人情報流出の有無は調査中。
【2026-11-10追記】11月10日、イオンスマートテクノロジーのギフト承りシステムから、2024年度「イオンの夏ギフト」の承り分414件（4店舗）の氏名・住所・電話番号が流出したと公表された。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-20（火）	システムの不具合が見つかり、調査で不正アクセスを確認（朝日新聞）
2026-10-21（水）	イオンが公表。グループ各社の一部Webサイトを閲覧できない状態にして安全確認と原因調査（イオン、朝日新聞、共同通信）
2026-11-10（火）	イオンが個人情報の流出判明を公表。イオンスマートテクノロジーがギフト承りシステムから414件（2024年度夏ギフト、4店舗）の氏名・住所・電話番号の流出を公表（イオン 11月10日発表（PDF）、イオンスマートテクノロジー 11月10日発表）

発表内容の整理

事実（イオンの発表と報道）

項目	内容
対象	グループ各社の一部のWebサイト（イオン）。報道ではグループ13社の計42サイト、イオンリテール、イオンビッグ、マックスバリュ北陸など（朝日新聞）
発覚の経緯	20日にシステムの不具合が見つかり、調査で不正アクセスを確認（朝日新聞）
現在の状態	対象サイトは閲覧できない状態。安全確認後に再開する見通し（朝日新聞、共同通信）
影響がないとされる範囲	営業に関するシステム、ECサイト（共同通信）
個人情報	【2026-11-10追記】流出の事案が判明（イオン）。イオンスマートテクノロジーのギフト承りシステムで414件（氏名・住所・電話番号、カード情報・メールアドレスは含まれない）（イオンスマートテクノロジー）
原因・時期	調査中（朝日新聞）

考察

【2026-11-10追記】最初に個別公表されたのは、店頭のギフト受付を扱うシステムに保存されていたファイルだった。2024年度の夏ギフトの承り分が2026年10月時点でもシステム内に残っていたことになり、受付が終わったデータの保存期間が論点になる（考察）。42サイトのうち他社分の結果はまだ出ていない。

イオンの発表文は短く、対象のサイト名も社数も書かれていない。社数とサイト数は報道によるもので、利用者が「自分が使ったサイトが対象か」を確かめる手段はまだない。対象になったのはスーパーなどの企業サイトとみられ、ECサイトは影響外とされているので、買い物の会員情報が直接の対象になった可能性は今のところ低い。ただ、企業サイトにもチラシの会員登録、問い合わせフォーム、採用応募などで個人情報が入ることがあり、そこは調査結果を待つ必要がある（考察）。

発覚のきっかけが「システムの不具合」だった点は、他の多くの事例が外部からの通報や脅迫で発覚しているのに比べると、自社で異常に気づけたケースだと言える。どんな不具合だったのかが公表されれば、改ざんか、情報の持ち出しか、攻撃の性質を推し量る手がかりになる（考察）。

関係しそうな既知の手口

事実（既知の知見・同種事例）

ノーコードWeb制作基盤「Studio」のクラウド環境への不正アクセスでは、全利用者のアカウントとフォーム送信内容などが流出の可能性があり、利用する自治体や企業が相次いで影響を公表した（当サイトのStudioの記事）。
JPCERT/CCは、国内で相次ぐ不正アクセスの攻撃元サーバーの調査で、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていたと報告している（JPCERT/CC Eyes）。

考察

複数のグループ会社のサイトが一度に被害を受ける形は、共通のCMSやサーバー、制作会社の管理画面が狙われたときに起きやすい。今回もその型かどうかは、サイト一覧と原因の公表を待つ必要がある（考察）。

利用者・運用者がいまできること

イオングループ各社のサイトで会員登録や問い合わせをしたことがある人は、イオンの公式サイトでの続報を確認する。
本件に便乗した「個人情報流出のお詫び」「補償」をうたうメールやSMSに注意し、リンクから個人情報やカード情報を入力しない。
グループ会社のサイトを共通基盤や共通の委託先で運営している組織は、管理画面の公開範囲、CMSとプラグインの更新状況、委託先のアカウント管理を点検する。

参考リンク

原文をGitHubで読む ↗