要点
発表された事実
- エディオンは2026年11月5日18時30分ごろ、自社ECサイトのサーバーへの外部からの不正アクセスで、顧客の個人情報の一部が漏洩した可能性を確認した（エディオン 2026-11-06）。
- 対象は、ECサイトの稼働状況や通信処理を一時的に記録する「ログファイル」を格納したサーバー領域の一部で、システムの脆弱性を突かれた。顧客データベース本体への不正アクセスと漏洩は確認されていない（同）。
- 氏名・メールアドレス・電話番号・生年月日・性別・住所・お客様番号が紐づいたログは最大4,131名分（同）。
- 注文情報（氏名・お客様番号・注文番号・注文金額）のログは最大9,554名分。注文日時などで別のログと照合できた場合、メールアドレス・電話番号・郵便番号・住所コード（市区町村まで）・クレジットカードの有効期限・エディオンのギフトカード（プリペイドカード）番号と結びつく可能性がある（同）。
- 両方に該当する人がいるため、対象人数は合計の13,685名を下回る。氏名などと紐づかない形で記録されていた情報の件数は精査中（同）。
- クレジットカード番号とログインパスワードは含まれない（同）。
- 不正な通信は遮断済みで、アクセス制御の強化などの技術的対策を完了し、外部専門機関から運営継続の安全性について評価を得たとして、ECサイトは通常どおり利用できる。個人情報保護委員会に報告した（同）。
わかったこと
- 【2026-11-10追記】エディオンは11月9日の第2報で、監視と調査の過程で新たな不正アクセスの痕跡を確認し、ECサイトの決済関連の処理に第三者が不正なプログラムを組み込む改ざんがあったと公表した。不正プログラムは11月4日19時過ぎから稼働しており、パソコンから決済画面にカード情報を新規入力した最大556回分のカード番号・有効期限・名義・セキュリティコードが漏洩した可能性がある。スマートフォンからの操作は対象外。カード会社に不正利用の監視強化を依頼した（エディオン 第2報（PDF））。
- 【2026-11-10追記】第1報の事象でも、注文時のエラーログに一時記録されていたカード情報最大5件、エディオンギフトカード5,360枚の番号・PIN・利用履歴、ログインIDとパスワード最大1,141名分が含まれていたと判明した。第1報ではカード情報とログインパスワードの漏洩は確認されていないとしており、これを訂正した。ギフトカードを番号とPINだけで使えるのはECサイトに限られ、サイト停止中は不正利用できないとしている。1,141名にはパスワード変更を個別に案内する（同）。
- 【2026-11-10追記】11月7日22時からECサイトとエディオン公式アプリ・エディオンスマートアプリを緊急停止した（11月10日に停止日時の記載を「11月8日」から訂正）。アプリは11月8日21時10分からデジタル会員証とクーポン表示などに限って再開し、ECサイトは停止中で再開は未定。個人情報保護委員会と警察への追加報告を準備している（同）。
わかっていないこと
- 突かれた脆弱性の内容（製品・設定・自社開発部分のどれか）と、いつから不正アクセスされていたか（【2026-11-10追記】第2報で決済処理の改ざんが判明したが、侵入経路と脆弱性はなお公表されていない）。
- 氏名と紐づかずに記録されていた情報の件数。
- ギフトカード番号が残高の不正利用につながる状態だったか、番号の停止・再発行をするか（【2026-11-10追記】第2報で5,360枚の番号・PINの漏洩が判明。ECサイト停止中は不正利用できないとし、扱いは検討中）。
- 漏洩した情報の悪用の有無。
関係しそうな既知の手口
- （考察）デバッグ用やアクセス記録のログに、リクエスト内容として個人情報や決済関連の値がそのまま書き込まれ、そのログの置き場が外部から読めると、DB本体を守っていても情報が漏れる。
概要
- エディオンは家電量販店を運営し、自社ECサイトを持つ。今回はDBではなくログが対象で、ログ同士を照合した場合に結びつく「最大」の情報として件数を示している（エディオン）。
- 再発防止策として、外部専門機関とともにアクセス管理の厳格化と監視体制の強化を挙げた（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-05 18:30ごろ | ECサイトのサーバーへの不正アクセスと漏洩の可能性を確認 | エディオン |
| 2026-11-06 | 適時開示で公表 | 同 |
| 2026-11-04 19時過ぎ | PC向けの決済情報入力処理に組み込まれた不正プログラムが稼働を始める（第2報で判明） | エディオン 第2報 |
| 2026-11-07 22:00 | ECサイトと公式アプリなどを緊急停止（11月10日に日時の記載を訂正） | 同 |
| 2026-11-08 21:10 | 公式アプリのデジタル会員証・クーポン表示などに限って再開 | 同 |
| 2026-11-09 | 第2報で、決済処理の改ざんとカード情報最大556回分の漏洩の可能性、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩を公表 | 同 |
発表内容の整理
事実（エディオンの発表による）
| 区分 | 記録されていた情報 | 対象 |
|---|---|---|
| 紐づいたログ | 氏名（漢字・カナ）、メールアドレス、電話番号、生年月日、性別、住所、お客様番号 | 最大4,131名 |
| 注文ログ | 氏名、お客様番号、注文番号、注文金額（照合でメール・電話・郵便番号・住所コード・カード有効期限・ギフトカード番号と結びつく可能性） | 最大9,554名 |
| 紐づかないログ | メールアドレス、電話番号、カード有効期限、郵便番号、住所コード、ギフトカード番号 | 精査中 |
| 含まれない | クレジットカード番号、ログインパスワード | ― |
出典：エディオン「当社ECサイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ」（2026-11-06）
考察
- 「ログ同士を照合すれば結びつく」という説明は、攻撃者が同じ照合をすれば同じ結果になることを意味する。最大値で示した判断は妥当である。
- ギフトカード（プリペイドカード）番号は、仕組みによっては番号だけで使えることがある。カード番号の扱いと残高保護の方針が続報で示されるかが注目点。
関係しそうな既知の手口
事実
- 脆弱性の内容は公表されていない（エディオン）。
考察
- ログ出力は開発・障害対応の都合で項目が増えやすく、個人情報のマスキングが漏れやすい。ログの置き場所（Webの公開領域の下、外部から読めるストレージなど）とあわせて、出力内容そのものの点検が要る。
利用者・運用者がいまできること
- 利用者：エディオンを装うメール・SMS・電話に注意し、リンク先でカード情報やパスワードを入力しない。ギフトカードの残高や利用履歴を確認する。
- 運用者：アプリケーションログとアクセスログに個人情報・決済関連の値が出ていないか、ログの保存先が外部から到達できないかを確認する。