要点
発表された事実
- TSUKU TSUKU株式会社は2026年10月26日、ECモール「ツクツク!!!」への不正アクセスで、クレジットカード情報1万9115件が漏えいした可能性が極めて高いと公表した（ツクツク!!!）。
- 原因は同社が管理するシステムの一部の脆弱性で、通販・ウェブチケットサイトの一部ページに不正なプログラムが埋め込まれ、入力されたカード情報が外部に転送された痕跡があった（同）。
- 対象は2025年5月10日〜9月9日にカードを新規登録した利用者で、名義人・カード番号・有効期限・セキュリティコードが含まれる（同）。
- 氏名・住所・ログインID・ログインパスワードなどの個人情報36万2750件も漏えいの可能性を「完全には否定できない」が、外部に転送された痕跡は確認されていない（同）。
- 2025年9月4日にカード会社が不正利用の懸念を検知し、同社は9月9日に認知してカード決済を止めた。公表まで約1年1か月かかった（同）。
わかっていないこと
- 悪用された脆弱性の種類（ソフトウェアの名前やバージョン）
- 漏えいしたカードでの不正利用の件数・金額
- 停止中のJCB・American Express・Diners Clubの決済再開時期
関係しそうな既知の手口
- 決済画面に不正なスクリプトを仕込み、入力中のカード情報を外部へ送らせる「Webスキミング」の典型例。カード情報を自社サーバーに保存しない構成でも防げない。
概要
- 手作り品や体験チケットなどを扱うECモールで、システムの脆弱性を突かれ、カード入力画面にカード情報を盗むプログラムを仕込まれた。
- 約4か月間に新しくカードを登録した1万9115件は、セキュリティコードを含めて漏えいした可能性が極めて高い。
- 発覚は2025年9月で、詳しい公表は2026年10月。利用者は当時までさかのぼって明細を確認する必要がある。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2025-05-10 | 漏えいの可能性がある期間の始まり（ツクツク!!!） |
| 2025-09-04 | カード会社が「ツクツク!!!」で使われたカードの不正利用の懸念を検知（同） |
| 2025-09-05 | 決済代行会社から運営会社に連絡（同） |
| 2025-09-09 | 運営会社が認知し、カード決済を一時停止。漏えいの可能性がある期間の終わり（同） |
| 2025-09-11 | 個人情報保護委員会に報告（同） |
| 2025-09-12 | 所轄警察署に相談（同） |
| 2026-10-26 | フォレンジック調査の結果を公表。対象者にメールで個別連絡（同） |
| 10-26〜27 | ライフカード、楽天カードなどカード会社が利用者向けのお知らせを掲載（ライフカード、楽天カード） |
発表内容の整理
事実（TSUKU TSUKU）
| 項目 | 内容 |
|---|---|
| 対象サイト | 「ツクツク!!!」の通販サイト・ウェブチケットサイト |
| 原因 | 同社が管理するシステムの一部の脆弱性を悪用した不正アクセス。一部ページに不正なプログラムが埋め込まれ、入力したカード情報が外部に転送された |
| カード情報 | 1万9115件（漏えいの可能性が極めて高い）。2025年5月10日〜9月9日にカードを新規登録した人。名義人、カード番号、有効期限、セキュリティコード |
| 個人情報 | 36万2750件（漏えいの可能性を完全には否定できない）。氏名、生年月日、住所、電話番号、性別、メールアドレス、ログインID、ログインパスワード、配送先情報、職業、既婚/未婚。外部転送の痕跡はなし |
| 対応 | 脆弱性の修正、不正プログラムの除去、外部専門機関による調査、監視体制の強化、対象者への個別連絡 |
| 決済の状況 | Visa・Mastercardは再開。JCB・American Express・Diners Clubは停止中で再開は未定 |
- 通常はカード情報を自社サーバーに保存せず、入力されたカード情報は自社サーバーを経由せず直接決済代行会社に送る仕組みだったが、入力画面が改ざんされた（ツクツク!!! FAQ）。
- 個人情報36万2750件にはカード情報は含まれない。2種類の通知メール（カード情報／個人情報）は対象を分けて送っており、送信元は info@tsuku2.jp（同）。
- カードの差し替えを希望する人の再発行手数料は負担させないようカード会社に依頼している。ただしカード会社が対象カードと確認できない場合は請求されることがあり、その際は同社に連絡するよう求めている（同）。
- 公表が遅れた理由として、調査結果の精査に加え、カード会社・決済代行会社との情報連携、通知方法、再発行への対応などの調整に時間がかかったと説明している（同）。
考察
カード会社の不正検知（2025年9月4日）が発覚のきっかけで、運営会社が自ら改ざんに気づいたわけではない。漏えいの可能性がある期間が約4か月あることから、改ざんされた入力画面が長く気づかれずに動いていたとみられる（考察）。
個人情報36万2750件には「ログインパスワード」が含まれる。外部送信の痕跡はないとしているが、パスワードの保存形式（ハッシュ化の有無）は公表されていない。同じパスワードを他で使っている人は、変えておくのが安全だ（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 決済画面に不正なプログラムを仕込み、入力されたカード情報を盗み出す攻撃は「Webスキミング」と呼ばれる。決済代行会社の画面にカード情報を直接送る構成（「非保持化」）でも、カード入力画面そのものが改ざんされれば盗まれる（ツクツク!!! FAQの説明もこの構図）。
考察
日本の国内EC事件では、ECサイト構築パッケージやWebアプリの脆弱性からファイルを書き換えられ、カード入力欄にスクリプトを差し込まれる例が繰り返されてきた。今回の脆弱性の種類は公表されていないが、カード情報を「保存しない」だけでは十分でなく、決済画面で読み込まれるスクリプトやファイルの改ざん検知が必要だという教訓は同じだ（考察）。
利用者・運用者がいまできること
- 2025年5月〜9月に「ツクツク!!!」でカードを登録した人は、2025年当時から今までの明細をさかのぼって確認し、身に覚えのない請求があればカード会社に連絡する。カードの差し替えも検討する。
- 「ツクツク!!!」のログインパスワードを変え、同じパスワードを使っている他のサービスも変える。
- 通知を装ったメールでカード番号の全桁・セキュリティコード・パスワードを入力させる手口に注意する。案内の確認は公式サイトから行う。
- EC事業者は、カード入力画面で読み込まれるスクリプトや外部送信先の変更を監視し、サイトのファイル改ざんを検知できるようにする。