相次ぐECの情報漏洩――決済や販促まで含めて見直す顧客データ管理
ECや小売の顧客情報を巡る発表が続いています。10月16日にはファンケルとアテニアが会員情報の漏洩を公表。19日には阪急阪神百貨店の予約サイトなどへの不正アクセスが明らかになり、共通会員ID「H2O ID」約126万件の個人情報の一部が漏洩したと発表されました。
今回の一連の公表で確認したいのは、被害件数の大きさだけではありません。ECサイトの会員情報に加え、後払い決済の商品明細や、メール配信サービスに預けた情報も対象になっています。顧客データをどこに渡し、誰が管理し、いつまで残しているのか。通販サイトと連携する業務を含めて、管理範囲を見直す必要があります。
本記事では、10月20日時点で確認できた各社の発表をもとに、直近の新規事案と続報を整理します。個別事案の原因や対象範囲は異なり、同じ攻撃によるものと断定することはできません。
直近の公表で何が明らかになったのか
10月15日から19日の主な発表は次のとおりです。日付は発生日ではなく、参照した発表・続報の公表日を示しています。
企業・サービス | 公表日・状況 | 公表された対象範囲 |
|---|---|---|
ソースネクスト | 10月15日 | 流出の可能性がある対象は2,251万9,960件。メールアドレス、パスワード、氏名、住所など。全件・全項目の流出が確認されたという意味ではない。 |
Eストアー | 10月16日 | 漏洩対象者は約2,335万6,000人、対象店舗は過去の利用店を含む7,858店。人数は重複を完全には除けない概数。 |
ファンケル・アテニア | 10月16日 | ファンケル39万3,785件・36万8,184人、アテニア44万1,162件・41万7,312人。氏名、住所、メールアドレスなどの会員情報。 |
クロネコ代金後払いサービス | 10月16日 | 顧客情報約526万件、お届け先情報約５万件、加盟店情報約4,100件。顧客情報には商品名・数量・単価なども含む。 |
阪急阪神百貨店 | 10月19日 | 予約サイト経由で、ほぼ全H2O ID会員に当たる約126万件の個人情報の一部が漏洩。ECサイトなどを経由した漏洩の可能性は調査中。 |
ユミルリンク | 10月19日 | 専用ASPプランの5システム。メールアドレスを含む情報が延べ約900万件出力されたと試算。詳細は調査中。 |
SONICWIRE・D2R | 10月19日 | SONICWIRE会員情報は最大約42万件。D2Rでは登録店舗の氏名、店舗名、ログインID、ハッシュ化されたパスワードなどが対象となる可能性。 |
サービス名と対象範囲も丁寧に読む必要があります。BASEが公表したのは、子会社Eストアーの「ショップサーブ」で発生した事案です。BASEは、同社などが提供する別のサービスは異なるシステム環境で運用されており、本件による情報漏洩は発生していないと説明しています。ECサービス「BASE」自体の漏洩ではありません。
阪急阪神百貨店の発表でも、予約サイト経由の会員情報漏洩と、「HANKYU HANSHIN E-STORES」「Remo Order」を経由した漏洩の可能性は区別されています。後者について公表された商品注文履歴やカード情報の一部は、サービスが保有する情報の説明であり、それらすべての漏洩が確認されたわけではありません。
決済や販促の委託先に何を預けているか
EC事業者にとって、今回の公表を自社の点検につなげやすいのが、外部サービスに渡しているデータです。
クロネコ代金後払いサービスでは、カード情報やパスワードは持ち出された情報に含まれていません。一方、氏名や連絡先に加え、商品名、数量、単価などの商品明細が対象となりました。購入内容と個人を結びつけられる情報が、決済を担うサービスにも保管されていたことがわかります。
この事例からは、決済会社に何を渡しているかを、データ項目まで確認する必要性が読み取れます。住所や連絡先だけでなく、商品名、備考欄、注文番号なども含めて把握しておけば、委託先で問題が発生した際、自社のどの顧客に何を説明すべきかを判断しやすくなります。
販促で利用するメール配信も確認対象です。メール配信ツールのCuenote FCでは、プログラムの脆弱性を通じてサポート・品質管理担当者の認証情報が取得され、不正プログラムによるデータ出力や、その認証情報を使った他システムへの認証の試行が確認されました。影響対象は専用ASPプランの５システムとされており、サービス全体の全利用企業が対象という発表ではありません。
外部サービスの点検では、自社担当者のアカウント設定に加え、提供会社の保守担当者がどのデータを扱えるか、作業履歴を追えるか、異常時に誰へ連絡するかも確認事項になります。
使わなくなったサービスやサイトにも情報は残る
管理対象には、現在契約しているサービスだけでなく、過去に利用していた環境も含まれます。
ショップサーブの最終報では、対象店舗に過去の利用店も含まれています。PFUは９月18日、過去の「PFUダイレクト本店」利用者の情報漏洩を公表しました。本店では2025年10月からショップサーブを利用していないものの、Eストアーが保管していた過去の顧客情報が対象になったと説明しています。なお、別途、一部販売に利用していた同サービスも2026年９月15日に利用を終了しています。
カートの移行が完了しても、旧環境のデータ管理は続く場合があります。移行時には、退会処理やドメイン切り替えに加え、旧サービスに残るデータ、保存理由、削除時期、削除の確認方法まで引き継ぐことが実務上の課題です。
自社管理のサーバーでも似た問題が起きています。雑貨通販のhitmartは、同一サーバーに残していた使用済みの別サイトを通じ、不正なプログラムが混入したと説明しました。さらに、不正アクセスの期間がログ保存期間を超えていたため、閲覧や持ち出しの有無を完全には解析できず、漏洩のおそれとして公表しています。
この事例が示すのは、不要なサイトを廃止する作業と、調査に必要な記録を残す設計の両方が必要だという点です。現行サイトの安全性だけを点検しても、同じサーバーに残る旧サイトや、調査できない期間が見落とされる可能性があります。
漏洩の確認状況とサービス停止は分けて捉える
直近には、不正アクセスを受けてサービスを止めた事業者もあります。ただし、停止の事実だけで個人情報が漏洩したと判断することはできません。
ゲオやセカンドストリートを展開するセカンドリテイリングは、10月19日の第２報で、調査の結果、個人情報や機密情報の外部漏洩は確認されなかったと公表しました。一方、同発表時点では、セキュリティ対策の強化のためアプリやオンラインサービスの停止を継続しています。
EC運営では、連携先の停止が自社の販売に影響する点にも注意が必要です。サウンドハウスは10月19日、SONICWIREとD2Rの停止に伴い、D2Rを利用する一部商品の販売を休止したと公表しました。新規注文の受付だけでなく、納品済みのコードのアクティベートもできない状態と説明する一方、同社への不正アクセスは確認されていないとしています。
この事例からは、顧客情報の保護と並行して、販売・納品をどう継続するかも検討しておく必要性が見えてきます。連携サービスが止まった場合に、どの商品を販売停止にするか、受注済み注文をどう扱うか、購入者へどの窓口から案内するか。委託先の復旧連絡を待つ間にも、自社で判断する業務があります。
EC事業者がいま整理しておきたいこと
各社の発表から、自社で優先して整理したいのは次の４点です。
1．顧客データの保管先と共有項目
カート、決済、配送、メール配信、越境ECなど、利用サービスごとに渡しているデータを一覧にする。現在の契約だけでなく、過去の委託先や旧サイトも対象に含める。
2．アクセスできる人と連携機能
社内担当者、委託先の保守担当者、システム間の連携機能について、アクセス可能なデータと権限を確認する。利用を終えたアカウントや連携が残っていないかも点検する。
3．保存期限と調査に使える記録
顧客データを残す理由と削除時期を決め、委託先にも確認する。ログは取得の有無だけでなく、保存期間、記録内容、問題が起きた際の提供方法まで確認しておく。
4．発生時の顧客案内と販売判断
漏洩の確認状況、対象データ、顧客に依頼する対応、サービスの稼働状況を分けて整理する。連携先が停止したときの販売停止、受注済み注文、納品や返金の判断担当も決めておく。
直近の発表を受けて、まず着手したいのは、自社の顧客データが置かれている場所を業務ごとに書き出すことです。その一覧に保管責任者、保存期限、緊急連絡先を加える。情報漏洩やサービス停止の知らせが届いたとき、影響の確認から顧客への説明までを進めるための土台になります。
参照
ファンケル・アテニア「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」
H2Oリテイリング・阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」
ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」
Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」
ヤマトホールディングス「【第4報】『クロネコ代金後払いサービス』への不正アクセスに関する調査結果と今後の対応について」
ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」
クリプトン・フューチャー・メディア「不正アクセスによるお客様情報漏えいの可能性に関するお知らせ」
BASE「当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」
PFU「外部サービスEストアー『ショップサーブ』への不正アクセスに伴う『PFUダイレクト本店』の個人情報漏えいに関するお詫びとお知らせ」
hitmart「不正アクセスによる個人情報漏えいのおそれに関するお詫びとお知らせ」
セカンドリテイリング「【第2報】社内システムへの不正アクセスに関する調査結果のご報告」
サウンドハウス「SONICWIRE・D2Rへの不正アクセスに伴う一部商品の販売休止について」
あわせて読みたい
