日本脆弱性総合ポータル

エディオン：ECサイトのログ領域への不正アクセスと決済処理への不正プログラム組み込み

重要度
業務やサービスの停止・最大13,685名（合計値。重複があるため実際の対象人数はこれを下回る）
公表日
2026.11.06
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. ECサイトの決済画面に不正プログラムが組み込まれ、カード情報が漏えいのおそれ
  2. システムの脆弱性を突かれ、ログ内の個人情報が流出した可能性がある
  3. PCで新規に決済入力した人は明細を確認し、対象1,141名はパスワードを変える

2026年11月5日（木）18時30分頃にECサイトのサーバーへの不正アクセスを確認し、第1報では個人情報の一部が漏えいしたおそれを伝えた。第2報で、決済画面への不正プログラム組み込みが判明し、クレジットカード情報とログインパスワードの一部が含まれていたと訂正された。11月8日からECサイトなどを緊急停止している。

確認された経路・公表元の推定

  1. 2026年11月4日（水）19時過ぎから、PC向けの決済情報入力処理に組み込まれた不正プログラムが稼働していた
  2. 2026年11月5日（木）18時30分頃、ECサイトを設置するサーバーへの不正アクセスを確認した。ログファイルが格納された領域の一部でシステムの脆弱性を突いた不正アクセスが行われた
  3. 第1報後の監視と詳細な調査で、新たな不正アクセスの痕跡が確認された
  4. 詳細解析で、クレジットカード情報とログインパスワードの一部も対象に含まれていたと判明した
  5. 11月8日（日）朝、ECサイトと関連サービスを緊急停止した

根拠の要点

公表元は第1報で、ログファイルが格納されたサーバー領域の一部がシステムの脆弱性を突いた外部からの不正アクセスを受けたと説明している。第2報では、新たな不正アクセスの痕跡と、PC向けの決済情報入力処理への不正プログラム組み込みを説明している。脆弱性の名称、製品、侵入経路は書かれていない。

資料の基準時点：2026年11月9日（第2報）時点の調査

当時、対策できたのか

判定保留

侵入に使われた脆弱性の名称や製品、攻撃時点の対策状況は資料に書かれていない。決済処理への不正プログラム組み込みの経路も書かれていない。そのため対策の欠落は確認できず、判定を保留する。

公表された対策

  • 11月8日（日）より、ECサイトおよびエディオン公式アプリ、エディオンスマートアプリを緊急停止した
  • 連携するサーバー環境やファイル群を総点検し、不正なプログラム等の影響が及んでいないことを確認した
  • 11月8日（日）21時10分から、デジタル会員証機能とクーポン表示機能等に限定して再開した
  • 当該機能への不正な通信を遮断し、サーバーへのアクセス制御の強化など同様の手口を防ぐ技術的対策を完了したとしている
  • 外部のセキュリティ専門機関から、現在の運営継続において安全性が保たれているとの評価を得た
  • 提携するクレジットカード会社に、対象カードの不正利用モニタリングの強化を依頼した
  • 対象の1,141名にパスワード変更を案内するメールを順次送信する
  • 利用者にカード利用明細の確認と、当社を装った不審な連絡への注意を呼びかけた
  • 個人情報保護委員会に報告し、所轄警察署への追加報告に向けた準備を進めている
  • 再発防止策として、外部の専門機関とともにシステムへのアクセス管理の厳格化と監視体制の強化に取り組む

この事例を理解するための動画

まだ分からないこと

  • 最初の侵入口と、不正アクセスの具体的な手口
  • 侵入に使われたシステムの脆弱性の名称、対象の製品、CVE番号
  • 不正アクセスの開始時期（資料には不正プログラムの稼働開始日のみ記載）
  • 決済処理への不正プログラム組み込みの侵入経路
  • 影響範囲の全体像（調査中で、今後報告予定）
  • 一部の情報項目の件数（現在精査中）
  • 漏えいした情報が悪用されたかどうか（資料に記載なし）
  • ECサイトの再開時期（再開未定）
  • エディオンギフトカードの今後の取り扱い（検討中）

関連する事例

同じ原因分類の事例

事例の一覧に戻る