要点
発表された事実
- ソフト99コーポレーションは2026年11月10日、ソフト99公式オンラインショップへの不正アクセスで、顧客の個人データが外部に漏えいした可能性があると発表した（ソフト99）。
- 11月5日、委託先から不審な動きの連絡を受けた。調査で、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、それを足がかりに外部から命令を送り込めるファイルを置かれ、サイトのプログラムの権限でサーバー内の調査や設定ファイルの読み取りをされたことがわかった（同）。
- 対象は11月5日までに会員登録・購入した顧客で最大136,968人。項目は氏名、住所、メールアドレス、電話番号、生年月日、性別、購買情報、お届け先情報、カード情報（番号の下4桁、有効期限、名義人）等。対象会員と件数の詳細は確認中（同）。
- オンラインショップを停止してアクセス経路を遮断し、アクセス制限を強化した。11月9日に個人情報保護委員会へ報告した。二次被害は確認されていない（同）。
わかっていないこと
- 実際に漏えいした対象者と確定件数。
- 画像添付機能がプログラムファイルを受け付けた原因（使っていたソフトウェアや脆弱性）。
- 読み取られた設定ファイルの中身と、データベースへのアクセスの有無。
- オンラインショップの再開時期。
関係しそうな既知の手口
- （考察）外部から命令を受け付けるファイルを置く手口は、一般にWebシェルと呼ばれる。ファイルアップロード機能が入口になった国内事例にはスマートシェア「OWNLY」がある。同じソフトウェアが使われたことを示す情報はない。
概要
- 発表は不正ファイルの名前や、悪用された脆弱性の番号を示していない（ソフト99）。
- 同社は外部のセキュリティ専門家に調査を依頼し、再発防止策を講じるとしている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-05 | 委託先から不審な動きの連絡、調査開始 | ソフト99 |
| 2026-11-09 | 個人情報保護委員会へ報告 | 同 |
| 2026-11-10 | 公表、オンラインショップは停止中 | 同 |
発表内容の整理
事実（ソフト99の11月10日の発表による）
| 項目 | 内容 |
|---|---|
| 対象 | ソフト99公式オンラインショップ（運営は委託先） |
| 入口 | 問い合わせフォームの画像添付機能からプログラムファイルをアップロード |
| その後 | 外部から命令を送れるファイルの設置、サーバー内の調査、設定ファイルの読み取り |
| 件数 | 最大136,968人（詳細は確認中） |
| 項目 | 氏名、住所、メールアドレス、電話番号、生年月日、性別、購買情報、お届け先情報、カード番号下4桁・有効期限・名義人等 |
| 対応 | ショップ停止、アクセス制限強化、個人情報保護委員会へ報告 |
出典：ソフト99「ソフト９９公式オンラインショップへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026-11-10）
考察
- 「画像」の添付欄がプログラムファイルを受け付け、しかもそれがサーバー上で実行できる場所に置かれた、という二つの問題が重なったと読める。拡張子や中身の確認と、アップロード先で実行させない設定のどちらかが効いていれば止まった可能性がある。
- 設定ファイルの読み取りは、データベースの接続情報などを得る目的で行われることが多い。カード番号の下4桁・有効期限・名義が対象に含まれるのも、データベースに保存されていた項目と考えられる。
利用者・運用者がいまできること
- 利用者：ソフト99や配送業者、カード会社を装うメール・SMS・電話、偽サイトや偽SNSアカウントに注意し、ID・パスワードやカード情報を入力しない。カード明細も確認する。
- 運用者：問い合わせフォームなどのファイル添付機能で、受け付けるファイルの種類を中身で確認しているか、保存先でスクリプトが実行されない設定になっているかを確かめる。