日本脆弱性総合ポータル

ELESTYLE：ELESTYLEの管理システムに不正アクセス、加盟店の登録情報が取得された可能性

重要度
7,162件
公表日
2026.10.29
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. 管理システムに不正アクセスがあり、加盟店の登録情報が取得された可能性がある
  2. アクセス制御の不備を悪用され、不備は10月27日に修正された
  3. 加盟店は不審メールに注意し、未使用のアカウントは削除する

2026年10月25日9時半頃から16時頃まで、管理システムの一部機能でアクセス制御の不備を悪用した不正アクセスがあった。加盟店の登録情報の7,162件について、ユーザー名、メールアドレス、システム内部識別子が外部に取得された可能性がある。同日中に外部からのアクセスは遮断され、不備は10月27日に修正された。決済処理や注文受付への影響は確認されていない。

確認された経路・公表元の推定

  1. 2026年10月25日9時半頃から16時頃まで、管理システムの一部機能でアクセス制御の不備を悪用した不正アクセスがあった
  2. 同日中に外部からのアクセスを遮断した
  3. 10月27日に不備を修正した
  4. 加盟店の登録情報の一部が外部に取得された可能性があると判明した

根拠の要点

公表元は、2026年10月25日の不正アクセスを確認し、原因を管理システムのアクセス制御の不備と説明している。一方で、管理画面への不正ログインやサーバーへの侵入は確認されていないとしている。

資料の基準時点：2026年10月29日公表時点（現時点の調査）

当時、対策できたのか

判定保留

資料は、アクセス制御の不備が侵入口であり、2026年10月27日に修正したと述べている。ただし、不備がなぜ存在したか、攻撃時点で既知だったか、防御条件は書かれていない。

公表された対策

  • アクセス制御の不備を2026年10月27日に修正した
  • 同日中に外部からのアクセスを遮断した
  • 個人情報保護委員会へ報告した
  • 関連機能の点検と監視体制の強化を進めている
  • 対象の加盟店へ、当社または提携先が個別に連絡する
  • 加盟店に、当社を装う不審メールへの注意と、現在使っていないアカウントの削除を依頼した

この事例を理解するための動画

まだ分からないこと

  • 不正アクセスを行った主体と目的は書かれていない
  • 不備の具体的な内容と、いつ頃から存在したかは書かれていない
  • 取得された情報が実際に外部へ流出したか、悪用されたかは確認されていない

関連する事例

同じ原因分類の事例

事例の一覧に戻る