Qoo10 ― 不正アクセスで会員の個人情報が閲覧された
ECモール「Qoo10」は11月12日、11月6日に外部の第三者がシステムに不正アクセスし、一部の個人情報が閲覧されたと発表した。氏名・連絡先・住所に加え、住所の地理座標や任意入力の身体的特徴なども含まれる可能性がある。認証トークンを無効化し強制ログアウトを実施した。件数は公表していない。
← タグ一覧へ
タグ / 対象技術
ECサイト
すべての面から27件。公開日の新しい順。（Magento・Adobe Commerce・EC-CUBE のタグが付いた記事を含みます）キーワードと組み合わせて探す →
オープンロジ ― 不正アクセスで出荷データのお届け先情報が持ち出された
物流サービスのオープンロジのシステムに11月8〜9日、不正アクセスがあり、4月8日〜11月8日の出荷データに含まれるお届け先の氏名・住所・電話番号・メールアドレス・商品情報が持ち出された。件数は調査中で、HUMAN MADE、SKIYAKI（Bitfan）、マイネット、アデリアなど荷主が相次いで公表した。11月12日にはビームス（Setinn・BEAMS公式TikTok Shop）やユナイテッドアローズ（海外向けEC）も公表した。
靖國神社 ― 授与品の通販サイトに不正アクセス、会員情報が漏えい
靖國神社のオンライン授与品・頒布品サイトが10月28日に不正アクセスを受け、登録者約14,500件の氏名・メールアドレス・パスワードのハッシュ値と生成用の補助情報などが漏えいした。カード情報、住所、電話番号、購入履歴の漏えいは確認されていない。
ソフト99 ― 問い合わせフォームから不正ファイルを置かれ情報漏えいの可能性
ソフト99公式オンラインショップで、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、外部から命令を送れるファイルを置かれてサーバー内の調査や設定ファイルの読み取りをされた。会員・購入者最大136,968人の氏名・住所・購買情報やカード番号下4桁・有効期限・名義が流出した可能性がある。
ニトリ ― 管理システムへの不正アクセスで個人情報流出の可能性
ニトリホールディングスが管理するシステムに不正アクセスがあり、個人会員・購入者・法人会員の情報とニトリネットやECモール公式ショップの注文データなど最大3,762万件が流出した可能性がある。11月6日に判明し、10月中旬〜下旬にもアクセスされた可能性がある。カード情報とログインパスワードは対象外。
エディオン ― ECサイトのログファイルに不正アクセス
エディオンは2026年11月6日、ECサイトのログファイルを置くサーバー領域が脆弱性を突かれて不正アクセスを受け、氏名・連絡先などが紐づいたログ最大4,131名分と、照合すると住所コードやカード有効期限・ギフトカード番号と結びつく注文ログ最大9,554名分が漏えいした可能性があると発表した。カード番号とログインパスワードは含まない。11月9日の第2報で、決済処理の改ざんによりPCで入力されたカード情報最大556回分が漏洩した可能性と、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩が新たに判明した。
Getchu.com ― 会員管理システムに不正アクセス、会員情報が流出
通販サイト「Getchu.com」を運営するゲインズは2026年11月4日、会員管理システムへの不正アクセスで、10月28日17時30分までに登録した会員の会員ID・メールアドレス・パスワード・氏名・住所・電話番号などが流出したと公表した。クレジットカード情報は含まれず、パスワードは強制的にリセットされた。件数と原因は公表されていない。
アイリスプラザ ― 外部クラウドへの不正アクセスで顧客情報漏えいの可能性
アイリスプラザは2026年11月5日の第2報で、利用する外部クラウドサービスへの不正アクセスにより、会員約580万人・非会員約190万人の計約770万人分の個人情報が閲覧または取得された可能性があると公表した。会員データには暗号化されたパスワードなども含まれる。クレジットカード情報は当該クラウドに保存されておらず影響なし。
ユニコレ ― プログラムの不備を突かれ会員情報が漏えい
飲食店向けユニフォーム通販「ユニコレ」を運営するティーエッチエスは2026年11月5日、10月18日にサイトのプログラムの不備を突いた不正アクセスで、会員最大19,468名の氏名・メールアドレス・住所・勤務先名などが漏えいしたと公表した。パスワードとクレジットカード情報は漏えいしていない。10月22日に遮断し、11月5日にサイトを再開した。
ノジマ ― ECサイトの会員管理システムから会員情報が漏えい
ノジマは2026年11月2日、ECサイト「ノジマオンライン」の会員管理システムへの不正アクセスで、同サイトと中古スマホ買取サイトの会員情報約700万件が漏えいしたと発表した。氏名・住所・生年月日・電話番号・メールアドレスに加え、ログインIDと暗号化されたパスワードを含む。カード情報は保持していない。2サイトは休止中。
テレビ東京ダイレクト ― 不正アクセスで通販サイト「テレ東マート」を閉鎖
テレビ東京グループは2026年11月2日、テレビ東京ダイレクトが運営する通販サイト「テレ東マート」で第三者による不正アクセスを確認し、同日午前3時53分にサイトを緊急停止したと発表した。個人情報とカード情報の漏えいは現時点で確認されておらず、侵入経路と影響範囲を調査中。電話注文は受け付けている。
Drupal Commerce ― 認可の欠陥が悪用され修正版を公開
Drupalは2026年10月28日（米国時間）、EC機能を提供するCommerce Coreモジュールで一部のルートとエンティティのフィールドの保護が不十分なアクセス制御の欠陥（CVE-2026-118539、Drupalの評価で25点中21点の「Highly critical」）を修正し、悪用が確認されているとした。影響は8.x-2.41未満と3.0.0〜3.3.13未満で、注文の不整合の確認も求めている。
DHC ― オンラインショップで会員情報が書き換えられた
DHCは2026年10月30日、オンラインショップへの不正アクセスで5,096アカウントの会員情報が書き換えられたと公表した。書き換えられたお届け先は最大5,520件で、氏名・住所・電話番号・購入履歴・カード番号の下4桁が閲覧された可能性がある。不審な注文27件と不正な新規登録71件も見つかった。
花キューピット ― 管理システムへの不正アクセスで会員情報が漏えい
花キューピットは2026年10月28日、「インターネット花キューピット」「ビジネス花キューピット」の管理システムに10月14〜15日に不正アクセスがあり、公式ECサイトでメールアドレスを登録した会員423万8242件のユーザーID、ハッシュ化パスワード、PC用・携帯用メールアドレスが漏えいしたと公表した。氏名・住所・電話番号・カード情報・お届け先は含まれない。
Convertr ― 分析スクリプト改ざんで決済画面にスキマー
ブラジルのECプラットフォーム Convertr が自前で運用する Plausible 分析サーバーのトラッカーにスキマーが追記され、10月24日から全加盟店の決済画面でカード番号・有効期限・CVV・名義・CPF（納税者番号）が 1x0.is に送られていた（Sansec）。侵入口は Plausible CE 3.0〜3.2.0 の未認証 RCE（CVE-2026-8467）とみられるが未確認で、Convertr は27日にスキマーを削除し Plausible を更新した。
ツクツク!!! ― 決済画面の改ざんでカード情報漏えいの可能性
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
Magento ― CMSブロックにローダーを埋め込む攻撃
Sansec によると、2025年7月から953の EC サイト（ほとんどが Magento）の CMS ブロックに、攻撃者のサーバーへ「次に何をするか」を問い合わせるローダーが埋め込まれた。10月6日登録の最新ドメイン deepveindrilling.com は83店舗に入り、うち60店舗は以前からの被害店舗だった。10月の版は受け取ったコードをブラウザーの localStorage に保存して毎回実行し、23日以降の版は指紋を送って自動ブラウザーを見分ける。最終的なコードはまだ取れていない。PolyShell（CVE-2026-48356）や SessionReaper（CVE-2025-54236）で入られた店舗が多いが、パッチ済みの店舗も不正な管理者アカウントで書き換えられた。Magento CMSブロックのローダー。953店舗に15か月で5つのドメインを渡り歩き、スキャナーには何も返さず、一度受け取った買い物客のブラウザーでは再実行され続ける。
グッドスマイルカンパニー ― 公式ショップに不正アクセス、サイト閉鎖
フィギュアなどを手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で、10月19日15時過ぎ頃から22日22時頃にかけて管理情報への複数回の不正アクセスによる閲覧があったと発表した。会員の氏名・住所・電話番号・メールアドレス、注文情報、カードのブランド・下4桁・有効期限が閲覧された可能性がある。原因は脆弱性による不正アクセスと認識しており、サイトは閉鎖中で再開時期は未定。件数は公表していない。グッドスマイルカンパニー公式ショップ。脆弱性を突いた不正アクセスで約3日半にわたり管理情報が閲覧され、会員の氏名・住所・注文履歴・カード下4桁と有効期限に流出の可能性、サイトは閉鎖。
アンドエスティHD ― サーバーに侵入され顧客情報漏えいのおそれ
アンドエスティHDは2026年10月23日、10月22日朝に複数のサーバーへ順にログイン試行・侵入・データの持ち出しが行われる不正アクセスがあり、顧客約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）、取引先約1万件、従業員情報が漏えいしたおそれがあると発表した。決済情報と利用者が設定したパスワードは含まれない。社内業務システムを止めたため、店舗・Webストアで会員ポイントが使えない。
KOMOJU ― 非本番環境の脆弱性から加盟店のAPI認証情報が漏洩
決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、10月13日夕方以降に非本番環境の脆弱性を悪用され、社内管理画面と一部のシステムに不正ログインされたと発表した。決済システムからメールアドレスを含む個人データ約4100件が漏洩し、一部加盟店のAPI認証情報も漏洩した。業務用CRMへの不正アクセスも確認し、範囲を調査中。クレジットカード情報を保管するシステムは分離されており、カード情報の漏洩や不正決済は確認されていない。認証情報の更新作業で、Shopify連携の一部決済手段やセブン-イレブン払いに障害が出た。
クリプトン ― 音源販売サイトに不正アクセス、会員情報流出の可能性
「初音ミク」の開発元として知られるクリプトン・フューチャー・メディアは10月19日、音源販売サイト「SONICWIRE」とシリアル管理サービス「D2R」への不正アクセスで、会員（ニュースレター購読者を含む）最大約42万件の氏名・メールアドレス・ハッシュ化されたパスワードなどが閲覧・取得された可能性があると公表した。10月17日20時頃に可能性を確認し、侵害アカウントの無効化や社内ドメインのIP制限を行ったうえ、23時39分頃にサーバーを停止した。全会員のパスワードを無効化し、復旧後の再設定を求めている。検知後の状況把握にはAIモデル「Mythos」を活用したという。
WASABI SWITCH ― EC一元管理サービスに複数経路から不正アクセス
複数のECモールの受注・在庫をまとめて管理する「WASABI SWITCH」で、10月14日の脆弱性を突いた侵入で利用店舗の注文情報などが流出し、購入者に実際の注文内容を書いた返金詐欺メールが届いた。16〜17日には流出した管理者パスワードで店舗の管理画面に入られ、注文データと店舗のメールアカウント情報が抜かれて、店舗の正規アドレスから不審メールが送られた。テンプレート機能のPHPが悪用されたことも判明し、提供元はPHPを使えなくし、全アカウントのパスワードを強制変更した。10月20日の第六報で、会社設定・モール設定・メールアカウント・外部連携の出力先の認証情報をデータベース上で暗号化する対応が同日5時頃に完了したと公表した。流出の範囲は調査中。EC一元管理サービスに4日で3つの経路から不正アクセス、注文情報の流出、盗まれた管理者パスワードでの再侵入、テンプレートのPHP機能の悪用。
ファンケル・アテニア ― ECサイトに不正アクセス、会員情報流出
ファンケルとアテニアは10月16日、両社のECサイトが10月3日から10日まで不正アクセスを受け、会員情報が外部に漏えいしたと公表した。対象はファンケル368,184人（393,785件）、アテニア417,312人（441,162件）。メールアドレス・氏名・住所・電話番号・生年月日・性別などに加え、一部の人が設定したサブメールアドレスと2次パスワードのハッシュも含む。メインのパスワードとクレジットカードなどの決済情報は対象外。原因となった機能は特定して停止したが、攻撃の詳細は開示していない。2社のECサイトに1週間の不正アクセス、会員計約78万5千人分の連絡先や「2次パスワード」のハッシュが流出、原因の機能は停止。
Eストアー「ショップサーブ」 ― アプリの脆弱性からDB情報が流出
BASE子会社のEストアーは10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスの最終報を公表した。2026年5月21日から8月1日まで、サーバー上のアプリケーションの脆弱性を悪用して不正なプログラムが実行され、データベースの情報が外部へ送信されていた。漏えい対象は購入者・店舗運営者・アフィリエイターの約2335万6000人（名寄せ後の概数）、うち約209万6900人はカード名義・番号の一部・有効期限を含む。対象店舗は現行・過去の7858店。8月の第1報の「最大延べ885万件」から大きく増え、店舗メール・FTP・振込先口座は対象外と訂正された。アプリの脆弱性から約2か月半にわたりDBの情報が外へ送られ、最終報で約2335万6000人・7858店と確定。
ビューティガレージ ― ECサイトから顧客情報とパスワードハッシュ流出
ビューティガレージは10月15日、「ビューティガレージ」「アイラッシュガレージ」のECサイトサーバーへの不正侵入により、10月10日23時55分時点で保存されていたお客様情報775,725件が外部に流出したと公表した。期間は10月10〜12日、検知と経路遮断は10月13日。会社名・サロン名・氏名・電話・メールに加え、パスワードのハッシュ値とパスワード再設定用の質問・回答のハッシュ値が含まれる。住所・配送先・購入履歴・決済情報の漏えいは現時点で未確認。2月に公表したクレジットカード情報漏洩懸念への対策中の再発としている。10月20日の第2報では、ECサイトは通常どおり利用できるとし、セキュリティ専門会社と連携した対策の強化と、個人情報保護委員会へ報告済みであることを示したが、原因や恒久対策の中身は示していない。
EC-CUBE AmazonPayプラグイン ― 管理者を登録される脆弱性が悪用
イーシーキューブは10月14日、EC-CUBE 4系向けの公式「AmazonPayプラグイン」に緊急度「高」の脆弱性（CVE-2026-103671）があると公表した。JVNは「不変と想定しているWebパラメータの外部制御」（CWE-472、CVSS v3.0 4.7）とし、注文手続き中に任意のサイトへリダイレクトされアカウント情報などを窃取される可能性があると説明する一方、イーシーキューブは危険度を「高」とした理由を「不正管理者アカウントが登録でき、管理画面にログインできるため」と書いている。開発者によると悪用はすでに確認されている。Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（バンドル版を含む）、同（4.0/4.1系）v1.1.12以前、CV1版のAmazon Payプラグイン（4.0系）v1.3.0以前が対象で、最新版への更新で修正される。CV1版のv1.2.9以前は最新版に上げられないため、CV2版への移行が強く推奨されている。EC-CUBE公式AmazonPayプラグイン CVE-2026-103671。JVNは「注文中のリダイレクト」、開発元は「不正な管理者アカウントの登録」、悪用確認済みの脆弱性。
アバハウス ― 不審な返金メール報告から発覚、会員・受注DBへの不正アクセス
アバハウスインターナショナルは、9月27日深夜〜28日の社内システム不正アクセスにより会員・受注情報が漏えいした可能性があると公表。顧客からの不審な返金メール報告が発覚のきっかけ。件数未公表で全顧客が対象になりうる。10月9日の続報で、不正アクセスの経路を遮断し、EC管理システムのアクセス制限と認証の強化などの追加対策を実施、所轄警察へ被害届を提出したと公表。取得された情報の範囲と原因は調査中。