ゼビオ子会社の通販サイトにEC基盤経由で不正アクセス 最大12.8万件

ゼビオホールディングスは2026年10月23日、子会社GALLERY・2のオンラインショップが使っているEC基盤「Commerble(コマーブル)」が不正アクセスを受けたと公表しました。購入者の情報が外部に漏えいした可能性があります。基盤を運営するCommerbleと、GALLERY・2も、同じ日にお知らせを出しています。

基盤の運営会社の管理用の認証情報が取られ、そこから子会社の顧客のデータベースが表示されました。支払いの入力画面の書き換えも見つかり、GALLERY・2は10月18日からサイトを止めています。

公表で分かっていること

ゼビオHDは、Commerbleの親会社シグマコンサルティングから受けた報告書をもとに、次のように説明しています。

原因について、ゼビオHDは「システムのアクセス制限の設定の不備など」が悪用されたと報告を受けたとしています。Commerbleは、システムの一部で、アクセスの制御と認証情報の管理に不備があったとしています。具体的な侵入の原因と、流出の範囲は調べている途中です。

漏えいした可能性のある情報

Commerbleによると、対象は2019年4月2日から2026年10月18日までに、GALLERY・2のオンラインショップを使った人の情報です。

どれもシステムの上のデータから数えた最大の件数で、実際に外へ出た件数が決まったものではないとしています。区分には重なりがあり、足した数が人数になるわけではありません。ゼビオHDは、データベースの情報を表示する操作は確かめられた一方、外へ持ち出された事実は今のところ確かめられていないとしています。

支払いの入力画面の書き換えと、カード番号

ゼビオHDとCommerbleは、不正に見られたデータベースに、カード番号とログインのパスワードは無いとしています。Commerbleは、調査の結果、カード番号の漏えいは無かったとしています。

一方で、ゼビオHDは、10月18日に支払いの入力画面の書き換えが見つかったとしています。書き換えがいつからか、どんな中身だったか、そのあいだに入力された情報がどうなったかは、公表に書かれていません。この記事も推測しません。

公表に書かれていないこと

• 管理用の認証情報が、どうやって取られたか。
• 支払いの入力画面の書き換えの中身と、続いていた期間。
• 外へ持ち出された件数(公表の件数は最大の数)。
• 対象の人への個別の知らせの時期(準備中としている)。
• サイトの再開の時期(安全を確かめてから段階的に考えるとしている)。

影響する人・会社、しない人・会社

• 影響する: 2019年4月2日から2026年10月18日までに、GALLERY・2のオンラインショップで買い物をした人です。氏名、メールアドレス、住所、電話番号、注文確認のメールの中身が対象になりえます。
• 影響する: 会社の備品などを、このオンラインショップで社用のメールアドレスを使って買った会社です。社員あての偽のメールに気をつけます(当社の見立て)。
• 影響する: Commerbleなど外部のEC基盤で、自社のネットのお店を動かしている会社です。基盤の運営会社の管理用の入口が狙われると、自社の顧客のデータまで届く、という形は自社にも当てはまります。
• 影響しない(公表の範囲では): Commerbleのほかの利用者です。Commerbleは、調べた範囲でほかの環境に同じ跡は見つかっていないとしています。

会社・情シスが今日やること

1. 外部のEC基盤や制作の会社の一覧を確かめます。 自社のネットのお店や会員のサイトを、どの基盤や会社に任せているかを書き出します。Commerbleを使っていれば、運営会社からの知らせを確かめます。
2. 運営会社の管理用の入口の守り方を聞きます。 管理の画面や管理用のクラウドが外から届くか、多要素認証やアクセスできる場所の制限があるか、だれが管理用の認証情報を持つかを、運営会社に確かめます。今回、運営会社は管理用の機能の外部への公開を止めたとしています。
3. 事故のときの知らせ方を契約で確かめます。 運営会社で事故が起きたとき、何時間以内に、だれに知らせるかが契約に書かれているかを見ます。個人情報保護委員会への報告は、お店を持つ自社がする場合があります。
4. ログをだれが見られるかを決めます。 顧客のデータベースへのアクセスの記録を、自社でも見られるか、どれだけの期間残るかを確かめます。
5. 支払いの画面の書き換えに気づく仕組みを確かめます。 自社のお店の支払いの画面が書き換えられたときに気づけるか(画面の中身の変化の見張りなど)を、運営会社と確かめます(当社の見立て)。
6. このお店で買い物をした社員には、偽のメールに気をつけるよう伝えます。 支払いの画面に、10月18日のころカードの情報を入れた人は、念のためカードの利用の明細を見ておくと安心です(当社の見立て)。