- 重要度
- 重要度：5段階中5 業務やサービスの停止・最大約15.8万件
- 公表日
- 2026.10.23
- 原因の分類
- 認証情報・シークレット、認証・アクセス設定、サプライチェーン
- 対策可能性
- 判定保留
この記事の3行まとめ
- ECプラットフォームに不正アクセスがあり、顧客情報を表示する操作が行われた
- 管理用の認証情報が不正に取られ、設定の不備も悪用されたとされる
- ECサイトは停止し、流出の範囲と侵入原因は調査が続いている
当社が利用するECプラットフォームCommerbleで、運営会社のシステム管理用認証情報が不正に取得され、2026年10月17日に管理用クラウド環境を経由して顧客データベースへ不正アクセスされた。顧客情報を表示する操作が行われ、10月18日には支払い入力画面の改ざんも確認されたため、同日ECサイトを停止した。漏えいした可能性のある購入者情報、住所情報、メール送信履歴は、それぞれ最大で約12.8万件、約12.2万件、約15.8万件とされ、区分ごとの件数には重複がある。外部への持ち出しは確認されておらず、クレジットカード番号とログインパスワードは漏えいしていないとしている。
確認された経路・公表元の推定
- 2026年10月16日、Commerble側のシステム管理用認証情報が不正に取得された
- 2026年10月17日、管理用クラウド環境を経由して顧客データベースへ不正アクセスされ、顧客情報を表示する操作が実行された
- 2026年10月18日、ECサイトの支払い入力画面が改ざんされ、同日ECサイトが停止された
根拠の要点
親会社シグマコンサルティング株式会社から受領した報告書に基づき、Commerble側の管理用認証情報の不正取得と、管理用クラウド環境を経由した顧客データベースへのアクセスが確認されたとしている。侵入原因は調査中で、アクセス制限の設定不備が悪用されたとの報告がある。
資料の基準時点：2026年10月23日付のお知らせ（取得日2026-10-24）
当時、対策できたのか
判定保留
報告書ではアクセス制限の設定不備等が悪用されたとされているが、具体的な侵入原因は調査中で、攻撃時点の防御条件も資料にないため判定を保留する。
公表された対策
- 運営会社が管理用機能の外部公開を停止した
- 運営会社が認証情報・接続情報を変更した
- アクセス制限を是正し、権限を見直した
- 当社はECサイトを停止した（2026年10月18日）
- 外部専門機関の調査結果を踏まえ、追加的な対策の必要性を検証する
- 外部クラウドサービスの管理・監督体制を点検し、再発防止に取り組む
まだ分からないこと
- Commerble側への具体的な侵入原因と、管理用認証情報の取得経路
- 情報が外部へ持ち出されたかどうかと、流出の範囲
- 漏えいした可能性のある人数（各区分の件数は重複を含むため、人数は示されていない）
- 支払い入力画面の改ざんの具体的な内容、期間、影響を受けた注文
- ECサイトの再開時期と、対象となるお客様への個別通知の時期・内容