要点
発表された事実
- ビックカメラは2026年11月10日、法人専用ビックカメラ・ドットコムの法人顧客向け問い合わせフォームの潜在的な設定不備を狙った外部からの不正アクセスで、法人顧客の情報が漏えいしたと発表した（セキュリティ対策Lab、ぴろりんテック。いずれも同社の発表PDFに基づく報道）。
- 不正アクセスは11月5〜6日。11月6日14時15分にフォームを閉鎖し、原因の設定を是正した。同じ経路から漏えいする状態は解消したとしている（同）。
- 漏えいは計133,039件で、企業名、部署名、担当者氏名、メールアドレスの全部またはいずれか。取引履歴、取引金額、口座情報などは含まれない（同）。
- 一般消費者向けの「ビックカメラ・ドットコム」への侵入や影響は確認されていない。該当する取引先には個別に通知する（同）。
わかっていないこと
- 「潜在的な設定不備」の具体的な内容と、いつから存在したか。
- 133,039件が何社・何年分の情報か。
- 11月5日より前のアクセスの有無。
- 取引先を装う連絡などの二次被害の有無。
関係しそうな既知の手口
- （考察）設定の不備で、送信用の公開フォームから保存済みの問い合わせデータが取り出せる状態になっていた可能性がある。ただし発表は具体的な設定や手法を示していない。
概要
- 同社グループが11月2日・6日に公表した、メール配信委託先アララへの不正アクセスによる漏えいとは別の事案（セキュリティ対策Lab）。
- 同社の発表PDFは本稿作成時に取得できなかったため、内容は同PDFを引いた報道から書いている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-05〜06 | 法人向け問い合わせフォームへの不正アクセス、情報が漏えい | セキュリティ対策Lab |
| 2026-11-06 14:15 | フォームを閉鎖し設定を是正 | 同 |
| 2026-11-10 | 公表 | 同 |
発表内容の整理
事実（報道が伝えるビックカメラの11月10日の発表による）
| 項目 | 内容 |
|---|---|
| 対象 | 法人専用ビックカメラ・ドットコムの法人顧客向け問い合わせフォーム |
| 原因 | フォームの潜在的な設定不備を狙った外部からの不正アクセス |
| 件数 | 計133,039件（社数・人数ではない） |
| 項目 | 企業名、部署名、担当者氏名、メールアドレスの全部またはいずれか |
| 含まれない | 取引履歴、取引金額、口座情報などの取引内容 |
| 一般向けEC | 侵入・影響は未確認 |
出典：セキュリティ対策Lab（2026-11-10）、ぴろりんテック（2026-11-10）
考察
- 漏えいは2日間で止まっているが、件数は13万件を超える。設定不備がある状態なら、短時間で保存データ全体を取り出せたと考えられる。
- 企業名・部署名・担当者名がそろうと、取引先を名乗る請求書の差し替えや口座変更依頼のメールが作りやすくなる。
利用者・運用者がいまできること
- 法人取引先：ビックカメラや同社の法人営業を名乗るメールの送信元を確認し、振込先の変更や見積書の添付ファイルは既知の連絡先で確かめる。
- 運用者：問い合わせフォームの保存データや添付ファイル、管理用APIが、公開URLや認証なしで参照できないかを確認する。