- 重要度
- 重要度：5段階中4 7人
- 公表日
- 2026.11.02
- 原因の分類
- 製品・サーバーの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- ECサイトに不正侵入され、カード情報7人分が流出した可能性がある。
- Amazon Payプラグインの脆弱性を突かれ、入力内容を読み取れるファイルが置かれた。
- 利用者にはカード取引履歴の確認が呼びかけられた。
島根県の通信販売サイト運営業務を委託されている一般財団法人島根県物産協会のECサイトで、Amazon Payプラグインの脆弱性を突かれた不正侵入があった。2026年8月13日15時30分頃から15日10時50分頃までに決済されたカード情報のうち7人分が外部流出した可能性がある。流出を示す通信記録は把握できる範囲で確認されていない。11月1日時点で、購入に至った6人のカードの不正利用は確認されていない。
確認された経路・公表元の推定
- 2026年8月13日15時30分頃、Amazon Payプラグインの脆弱性から第三者が不正侵入し、不正な管理者アカウントを作成した。
- 同時に、決済画面の入力内容を読み取れるファイルを設置し、既存の正常なファイルを改変した。
- 8月14日12時30分頃、プラットフォーム提供事業者からサイト制作・保守業者に脆弱性の連絡があった。13時15分頃に不正な管理者アカウントが判明した。
- 8月14日14時30分頃、不正な管理者アカウントを削除し、正規の管理者アカウントのパスワードを変更し、Amazon Payプラグインを無効化した。
- 8月15日10時50分頃、不正なファイルを正常なものに差し替え、不正な処理を除去した。
- 10月14日、プラットフォーム提供事業者がAmazon Payプラグインの脆弱性についてプレスリリースを出した。
- 10月23日、物産協会が該当の利用者へ電子メールで詫び、クレジットカード取引履歴の確認を依頼した。
根拠の要点
資料は、Amazon Payプラグインの脆弱性を侵入口として記載している。8月14日にプラットフォーム提供事業者から脆弱性の連絡があった。流出は「可能性」としており、流出を示す通信記録は把握できる範囲で確認されていない。
資料の基準時点：2026年11月1日現在
当時、対策できたのか
判定保留
攻撃時点で修正版が提供されていたか、利用者側で適用されていたかは資料に書かれていない。資料にあるのは、8月14日に脆弱性の連絡があったこと、10月14日に提供事業者がプレスリリースを出したことのみであり、対策の欠落や発覚時の未発見は明示されていない。
公表された対策
- 物産協会が問題発生時には県へ早急に報告することを徹底するよう指示（県）
- プラットフォーム提供事業者によるEC-CUBE本体の情報漏洩リスク低減策の実施に合わせた対応（物産協会）
- ECサイトにウェブアプリケーションファイアウォールを導入（物産協会）
- 8月14日に不正な管理者アカウントを削除し、正規の管理者アカウントのパスワードを変更し、Amazon Payプラグインを無効化
- 8月15日に不正なファイルを正常なものに差し替え、不正な処理を除去
- 10月23日に該当の利用者へ電子メールで詫び、クレジットカード取引履歴の確認を依頼
まだ分からないこと
- 侵入に使われた脆弱性の識別情報（CVE番号など）と影響を受けるバージョン
- Amazon Payプラグインの修正版の提供時期と、攻撃時点で修正が適用されていたかどうか
- 攻撃者の身元と目的
- 不正なファイルが入力内容を読み取った件数と、流出の実態
- 流出の有無の最終的な確認結果（資料は「可能性」としている）