要点
発表された事実
- DHCは2026年10月30日、オンラインショップへの不正アクセスを10月28日に確認したと公表した（日本経済新聞、時事通信）。
- 5,096アカウントで会員情報が書き換えられ、書き換えられたお届け先は最大5,520件。会員番号、会員本人を含むお届け先の氏名・住所・電話番号、購入履歴、クレジットカード番号の下4桁が閲覧された可能性がある（朝日新聞）。
- 不審な注文27件（キャンセル済み）と、不正な新規会員登録71件（削除済み）も確認した。書き換えられた情報は元に戻した（同）。
- 不正アクセス元を遮断し、悪用された脆弱性に対処した。個人情報保護委員会に報告した。外部への流出や二次被害は確認されていない（同）。
わかっていないこと
- 悪用された脆弱性の内容
- 不正アクセスの期間
- 書き換えの目的と、不審な注文・不正登録との関係
- 書き換えられたアカウントがどう選ばれたか（ログイン情報が使われたのか）
- 外部への持ち出しの有無の最終的な調査結果
関係しそうな既知の手口
- （考察）お届け先の書き換えと不審な注文が同時に見つかっている点は、他人のアカウントで商品を別の住所へ送らせる不正注文と形が似ている。DHCは目的を説明していない。
概要
- 化粧品・健康食品のDHCのオンラインショップで、5,096アカウントの会員情報が外部から書き換えられた。
- 不審な注文や不正な会員登録も見つかり、注文はキャンセル、登録は削除された。
- 原因は脆弱性の悪用とされ、対処済みだが内容は明らかにされていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-28（水） | オンラインショップへの不正アクセスと会員情報の改ざんを確認（日本経済新聞、朝日新聞） |
| 10-30（金） | DHCが公表（同） |
| 11-04（水）9:00 | 専用窓口（0120-087-370）の受け付け開始予定（朝日新聞） |
発表内容の整理
事実（報道による）
| 項目 | 内容 |
|---|---|
| 書き換えられたアカウント | 5,096件 |
| 書き換えられたお届け先 | 最大5,520件 |
| 閲覧された可能性がある情報 | 会員番号、お届け先の氏名・住所・電話番号（会員本人を含む）、購入履歴、カード番号の下4桁 |
| カード番号 | 全桁は保持していない |
| 不審な注文 | 27件（キャンセル済み） |
| 不正な新規登録 | 71件（削除済み） |
| 対応 | アクセス元の遮断、脆弱性への対処、書き換えの復旧、個人情報保護委員会へ報告 |
| 連絡 | 対象の会員へ個別に連絡 |
DHC自身の告知文は今回確認できなかったため、数字は報道に基づく。
考察
漏えいの公表は多いが、会員情報の「書き換え」が中心の公表は珍しい。書き換えができたということは、攻撃者が閲覧だけでなく更新の操作もできたということで、アカウント乗っ取りか、他人のデータを更新できるサイト側の不備のどちらかが疑われる。DHCが「脆弱性」と説明している点からは後者の可能性があるが、確認はできない（考察）。
不正な新規登録71件は、攻撃者が自分で作った会員で機能を試した跡にも見える。これも推測にとどまる。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月の注意喚起で、API経由での不正な操作を国内の不正アクセスの類型の一つに挙げた（JPCERT/CC）。
考察
ECサイトで、ログイン中の会員が送るIDを書き換えるだけで他人の住所や注文を扱えてしまう不備は、よく知られた弱点だ。本件がこれに当たるかは公表されていない（考察）。
利用者・運用者がいまできること
- DHCオンラインショップの会員は、登録住所やお届け先、注文履歴に覚えのない変更がないか確認する。
- DHCを名乗る、購入履歴を知っている前提の連絡に注意する。専用窓口は11月4日9時から受け付ける。
- EC運営者は、住所変更や注文などの更新操作で、操作する会員と対象データの持ち主が一致しているかをサーバー側で確認しているか点検する。