- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.10.16
- 原因の分類
- 自社実装の脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- ショップサーブが不正アクセスされ、約2335万人分の個人情報が漏れた
- アプリの弱点を悪用され、データベースの情報が外部へ送られた
- 不審な連絡に注意し、会社はカード情報の再入力を頼まないと案内
2026年5月21日から8月1日までの間、外部の第三者が当社サーバー上のアプリケーションの脆弱性を悪用し、データベースの情報を外部へ送信していた。会社は8月1日に攻撃元からの通信を遮断した。漏えい対象者は約2335万人、対象店舗は7858店である。公表時点で二次被害の報告やダークウェブ上の流出は確認されていない。
確認された経路・公表元の推定
- 2026年5月21日から、外部の第三者が当社サーバー上で稼働するアプリケーションの脆弱性を悪用し、不正なプログラムを実行
- 不正なプログラムがデータベースの情報を外部へ送信していた
- 2026年8月1日に会社が本件を認知し、攻撃元からの通信を遮断。以降は攻撃が成立していないことを確認
根拠の要点
フォレンジック調査で確定した侵入経路は、サーバー上で稼働するアプリケーションの脆弱性である。攻撃者はこれを悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していた。確定した経路以外の侵害やバックドアは認められていない。
資料の基準時点：2026年10月16日公表の最終報
当時、対策できたのか
判定保留
資料は侵入経路をアプリケーションの脆弱性と確認しているが、その種類、攻撃時点で既知だったか、修正版の公開時期を示していない。対策の欠落や発覚時の未発見を判断する材料が足りないため、判定を保留とした。
公表された対策
- 悪用された脆弱性の修正と攻撃経路の遮断
- 残存脅威の調査
- アプリケーションおよびサーバーの脆弱性診断の実施と検出事項の是正
- 管理画面等の認証の追加強化（二要素認証または二段階認証を含む）
- 影響範囲の点検と認証情報のリセット等の是正対応
まだ分からないこと
- 悪用されたアプリケーションの名称と脆弱性の種類（CVE番号など）が書かれていない
- 脆弱性の修正版が公開された時期と、攻撃時点で既知だったかどうか
- 攻撃者の身元と攻撃元の所在
- 実際に外部へ送信された件数（資料は漏えい対象者数の概数のみ示している）