日本脆弱性総合ポータル

ボンフォーム：決済ページの改ざんで、カード情報が漏えいした可能性

重要度
業務やサービスの停止・クレジットカード情報の対象件数3,463件
公表日
2026.04.27
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. 決済画面のプログラムを書き換えられ、カード情報が漏えいした可能性
  2. 第三者がサイトの弱点を突いて入り込んだことが原因
  3. 利用明細を確認し、身に覚えのない請求はカード会社へ連絡を

ボンフォームオンラインストアへの第三者による不正アクセスについて、2026年4月27日に調査結果が公表された。システムの一部の脆弱性を突かれ、決済ページ用JavaScriptが改ざんされた。2021年3月25日～2024年11月8日にカード決済したお客様3,268名のカード情報が漏えいした可能性があり、2026年2月19日の調査で漏えいが確認された。会員情報でログインして決済した735名は、メールアドレス、パスワード、電話番号が漏えいした可能性がある。

確認された経路・公表元の推定

  1. 2021年3月25日～2024年11月8日の期間に、第三者がシステムの一部の脆弱性を突いて不正アクセスした
  2. 不正アクセスにより、決済ページ用JavaScriptが改ざんされた
  3. 改ざんされた決済ページで、同期間にカード決済したお客様のカード名義人名、カード番号、有効期限、セキュリティコードが漏えいした可能性がある
  4. 会員情報でログインしてカード決済した735名は、メールアドレス、パスワード、電話番号が漏えいした可能性がある
  5. 2026年1月14日、一部のカード会社から漏えい懸念の連絡を受けた
  6. 2026年1月16日、サイトの稼働を停止し、第三者調査機関による調査を開始した。所轄警察署には被害申告した
  7. 2026年1月19日、監督官庁の個人情報保護委員会へ報告した
  8. 2026年2月19日、調査機関が調査を完了し、カード情報の漏えいを確認した
  9. 2026年4月27日、公表し、対象のお客様へ書状で個別に連絡を開始した

根拠の要点

公表元は、システムの一部の脆弱性を突いた第三者の不正アクセスにより決済ページ用JavaScriptが改ざんされたことを原因と説明している。調査機関は2026年2月19日に調査を完了し、カード情報の漏えいを確認したとしている。脆弱性の具体的な内容は示されていない。

資料の基準時点：2026年4月27日の続報時点

当時、対策できたのか

判定保留

資料は、侵入に使われた脆弱性の内容、修正時期、攻撃時点の防御条件を示していない。再発防止は、調査結果を踏まえたシステムのセキュリティ対策と監視体制の強化として書かれており、対策の欠落は明示されていない。

公表された対策

  • 情報漏えいの起因となったシステムの利用は既に終了し、現行システムで漏えいがないことを確認
  • 調査結果を踏まえ、システムのセキュリティ対策と監視体制を強化する
  • 漏えいした可能性のあるカード取引をカード会社と連携して監視し、不正利用を防ぐ
  • カード再発行の手数料は、お客様の負担にならないようカード会社と調整する

この事例を理解するための動画

まだ分からないこと

  • 侵入の日時と、侵入口となった脆弱性の具体的な内容
  • 決済ページのJavaScriptが改ざんされた経緯と、侵入後の攻撃者の動き
  • 漏えい情報が実際に不正利用された件数（不正利用の可能性が示されている）
  • カード情報を入力したが購入に至らなかったお客様のカード番号（対象は特定できていない）
  • オンラインストアの再開日

関連する事例

同じ原因分類の事例

事例の一覧に戻る