- 重要度
- 重要度：5段階中5 業務やサービスの停止
- 公表日
- 2026.10.22
- 原因の分類
- サプライチェーン、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 外部アプリの不正アクセスで、購入時に偽サイトへ誘導された可能性がある
- カード番号を偽サイトに入力した可能性があるが、店の保存情報は流出していない
- 該当期間に購入手続きをした人は、身に覚えのない請求がないか確認する
外部アプリ「Swym Wishlist Plus」の開発元で第三者による不正アクセスが発生し、2026年10月14日19時06分から10月15日1時32分ごろの間、同アプリを使う一部ショップで購入手続きが偽サイトへ誘導された可能性がある。店舗のデータベースからの流出はないとされ、当店のお客様への影響は調査中である。
確認された経路・公表元の推定
- 2026年10月14日19:06から10月15日1:32頃（日本時間）、一部ショップで、購入手続きボタンを押すと偽サイトへ誘導する不正なプログラムが読み込まれた可能性がある
- 誘導された偽サイトで、クレジットカード番号を入力した可能性がある
- 2026年10月19日6:17頃以降、同アプリの権限を使って一部ショップへ不正なプログラムを追加しようとする活動が確認された
- 開発元が予防措置として、全ショップで同アプリの機能を一時停止した
根拠の要点
店舗の公表は開発元の公式発表を根拠にしている。開発元の不正アクセスは発表で確認済みとされる一方、カード番号の入力は「可能性」にとどまり、当店のお客様への影響は正式に調査中である。
資料の基準時点：2026年10月22日付のお知らせ（開発元の公式発表は2026年10月20日時点）
当時、対策できたのか
判定保留
攻撃時点の防御状態や侵入口は資料に書かれていないため、対策の欠落は確認できず、判定を保留する。
公表された対策
- 開発元の予防措置として、全ショップで同アプリの機能が一時停止されている
- お客様に、該当期間のクレジットカード利用状況の確認を呼びかけている
- 身に覚えのない請求があれば、カード会社と店舗の問い合わせ窓口へ連絡するよう案内している
- 開発元の最終調査結果を受け次第、改めて公表するとしている
この事例を理解するための動画
二段階認証したのに乗っ取られる？ フィッシング詐欺の仕組み
二段階認証 vs フィッシング詐欺｜攻撃者の巧妙な手口を公開まだ分からないこと
- 一部ショップで偽サイトへの誘導が実際に起きたか
- 当店のお客様への影響の有無（開発元が正式に調査中）
- 開発元のシステムへの侵入経路と侵入方法
- 開発元の最終調査結果と、流出の有無
- お気に入り機能の再開時期