- 重要度
- 重要度：5段階中5 業務やサービスの停止・最大で約15,000名様
- 公表日
- 2026.10.24
- 原因の分類
- 侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 連携システムへの不正アクセスで、お客様の最大約15,000名分の個人情報が流出した可能性
- 侵入経路は未公表で、原因は公表されていない
- 不審なメールのURLや添付は開かず、誘導先でパスワードを入力しない
オンラインショップと連携する一部システムへの不正アクセスにより、登録されたお客様の氏名、メールアドレス、ポイント情報、商品レビュー関連情報が第三者に不正取得された可能性がある。対象は最大で約15,000名とされる。クレジットカード情報とパスワードは保有しておらず、流出のおそれはないとしている。
確認された経路・公表元の推定
- 2026年10月22日：連携システムへの不正アクセスを公表
- その後の調査で、一部のお客様の個人情報が第三者に不正取得されたと判明
- 2026年10月24日19時頃：安全対策を実施し、オンラインショップを再開。ログインを6桁の認証コード方式に変更
- 個人情報保護委員会へ報告し、所轄警察署へ相談
根拠の要点
資料は侵入経路を示していない。一方で、弊社内ネットワークやショッピングカートシステム自体の脆弱性に起因する不正アクセスは確認されていないとし、関連システムと連携するオンラインショップの顧客情報が不正取得されたと説明している。
資料の基準時点：2026年10月24日付のお知らせ
当時、対策できたのか
判定保留
侵入口と欠けていた対策は、資料に書かれていない。弊社内ネットワークやショッピングカートシステム自体の脆弱性に起因する不正アクセスは確認されていないと説明されているが、攻撃時点の防御条件や修正の状況は示されていないため、判定を保留する。
公表された対策
- 連携システムを停止し安全対策を実施したうえで、2026年10月24日19時頃にオンラインショップを再開
- ログイン方式を、登録メールアドレスに届く6桁の認証コードによるものに変更
- 関係者を装った連絡や不審なサイトへの誘導に注意するよう呼びかけ
- ポイントの未付与分や失効分への対応を検討
- 情報管理体制とセキュリティ対策の強化
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 侵入経路と侵害の起点
- 不正アクセスの発生時期
- 対象となるお客様の特定結果（順次個別に連絡する予定）
- ポイントサービスや商品レビューなど停止中の機能の再開時期（未定）
- 不正取得された情報の悪用の有無