日本脆弱性総合ポータル

Commerble / Gallery・2オンラインショップ：ECプラットフォーム上のオンラインショップで購入者情報が漏えいした可能性

重要度
最大157,581件
公表日
2026.10.23
原因の分類
認証情報・シークレット、認証・アクセス設定
対策可能性
対策の欠落を確認

この記事の3行まとめ

  1. Gallery・2オンラインショップに不正アクセスがあり、購入者情報が漏えいした可能性がある。
  2. Commerbleのシステムでアクセス制御と認証情報の管理に不備があり、悪用された。
  3. 被害の範囲と経路の調査は続いており、購入者は不審なメールやSMSに注意が必要。

ECプラットフォーム「Commerble」を利用する「Gallery・2オンラインショップ」に外部からの不正アクセスがあり、2019年4月2日から2026年10月18日に利用した顧客の購入者情報などが漏えいした可能性がある。最大で購入者情報128,311件などが対象とされ、実際の流出件数は確定していない。

確認された経路・公表元の推定

  1. 2026年10月18日、Commerbleのシステムへの外部からの不正アクセスを検知した。
  2. システムの一部でアクセス制御と認証情報の管理の不備が悪用された。
  3. 不正アクセスにより、Gallery・2オンラインショップの購入者情報が不正に参照され、外部への漏えいの可能性が確認された。

根拠の要点

公表元は、Commerbleのシステムの一部でアクセス制御と認証情報の管理に不備があり、これらが悪用されたと説明している。侵入経路は遮断済みで、外部専門会社による調査が続いている。

資料の基準時点：2026年10月20日現在（二次被害の確認状況）

当時、対策できたのか

対策の欠落を確認

資料は、システムの一部でアクセス制御と認証情報の管理に不備があったと説明している。具体的な不備の内容や、攻撃時点の防御条件は書かれていない。

公表された対策

  • 判明した不正アクセス経路を遮断し、影響を受けた環境を隔離した。
  • 関連する認証情報を無効化した。
  • 他のテナント環境でも、認証情報の更新とアクセス制限の見直しなど予防的な対策を進めている。
  • 開発・運用環境のアクセス制御などセキュリティ対策と管理方法を見直している。
  • 外部専門会社による第三者調査を進めている。
  • 不審なメール、SMS、電話などに注意するよう利用者に呼びかけている。

この事例を理解するための動画

まだ分からないこと

  • 侵入の時期と、具体的な侵入経路の詳細
  • 被害範囲と原因（外部専門会社の調査中）
  • 実際に外部へ流出した件数（資料の件数は最大値で、重複もある）
  • 他のテナント環境への影響（現時点で同様の痕跡は確認されていない）
  • 今後の二次被害の有無（2026年10月20日現在、報告は確認されていない）

関連する事例

同じ原因分類の事例

事例の一覧に戻る