日本脆弱性総合ポータル

コメ兵ホールディングス：委託先のEC一元管理システムへの不正アクセスで顧客473件の注文情報が流出

重要度
業務やサービスの停止・二次被害を確認・473件
公表日
2026.10.23
原因の分類
サプライチェーン、侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 委託先のEC一元管理システムに不正アクセスがあり、顧客473件の注文情報が流出した
  2. 侵入経路や原因はまだ公表されず、調査が続いている
  3. 返金をうたうメールや偽サイトに注意し、身に覚えのないURLは開かない

コメ兵グループが利用する委託先ワサビ社のEC一元管理システム「WASABI SWITCH」に第三者が不正アクセスし、2026年10月3日〜16日にグループのECサイトで注文した顧客の氏名、住所、電話番号、メールアドレス、注文内容などが流出した。473件の顧客情報が流出したとされ、クレジットカード情報は決済代行会社等で管理されており対象外とされる。流出した注文情報を悪用したとされる不審メールも確認されている。

確認された経路・公表元の推定

  1. 2026年10月14日、委託先ワサビ社のサーバーに第三者が不正アクセスした
  2. 10月16日、ワサビ社から顧客情報が漏えいした可能性について初期報告を受け、グループはデータ連携とアクセスを遮断した
  3. 10月16日19時、K-ブランドオフと名流國際名品股份有限公司が直営ECサイトと各種ECモールの運用を全面停止した
  4. 10月23日、外部専門機関によるフォレンジック調査の結果、10月3日〜16日の注文情報の一部が漏えいしたと判明した

根拠の要点

ワサビ社の外部専門機関による調査報告（10月23日受領）で、10月3日〜16日の注文情報の一部が漏えいしたと判明したとされる。侵入経路や利用された弱点は資料に書かれていない。

資料の基準時点：2026年10月23日22時時点

当時、対策できたのか

判定保留

資料は侵入経路の特定と遮断、脆弱性の修正を含む一次対応の完了を述べるが、攻撃に使われた弱点や攻撃時点の対策状況は書かれていない。そのため対策の欠落も発覚時の未発見も判断できず、判定を保留とした。

公表された対策

  • ワサビ社において侵入経路の遮断と脆弱性の修正を含む一次対応を完了
  • 当該システムアカウントを一時非稼働化し、システムとの接続を遮断・分離
  • 直営ECサイトおよび各種ECモールを一時停止
  • 個人情報保護委員会等の関係機関へ報告を進める
  • 委託先の管理・監査体制を強化するなど再発防止に取り組む
  • なりすまし・不審な連絡について問い合わせ窓口を設けて注意を呼びかける

この事例を理解するための動画

まだ分からないこと

  • 侵入経路や原因、攻撃に使われた手口は資料に書かれていない
  • 攻撃時点で利用されていた弱点や対策の状況
  • 不審メールの件数や、実際に被害が出たかどうか
  • 流出した情報の詳細と注意事項の個別案内（対象の特定作業中）

関連する事例

同じ原因分類の事例

事例の一覧に戻る