Amazonの運用代行に不正アクセス 63事業者の購入者情報 発覚の1年余り後に公表

Amazonの出品の運用代行(「アマブースト」)を手がけるZonExpert株式会社は2026年10月1日、委託元から付与されていたAmazonセラーセントラルのユーザーアカウントが第三者に不正に変えられ、委託元の管理画面にある購入者の情報が見られる状態になっていたと公表しました。期間は2025年8月8日から18日で、対象のストアは63の事業者のものです。

同社は、Amazonが管理するアクセスの記録を確かめられていないため、情報が実際に見られたり持ち出されたりしたかは確認できていないとしています。発覚は2025年8月18日で、公表までに1年余りかかりました。

発表で分かっていること

同社は、同社やAmazon、出品のストアを装った覚えのない電話・メール・SMSに注意するよう呼びかけています。問い合わせは、同社の特設の窓口(メール)で受け付けています。

起きた順番

1つの委託先から、63のストアへ

今回の入口は、委託元の各社が運用代行のために付与したユーザーアカウントでした。運用代行の会社は、多くの出品者の管理画面に入れます。その会社のアカウントが1つ乗っ取られると、影響は1社の顧客にとどまらず、任せていた出品者すべての購入者に広がります。

どのアカウントが、どんな手口で変えられたのか(パスワードが漏れたのか、2段階認証の扱いがどうだったのか)は、発表に書かれていません。

もう1つの難しさは、記録です。ZonExpertは、Amazonが管理するアクセスの記録を確かめられていないため、実際に見られたかを確認できていないとしています。他社のサービスの管理画面で起きたことは、そのサービスの記録に頼るしかなく、委託先も委託元も、自分たちだけでは調べきれません。

まだ分かっていないこと

10月22日の時点で、次のことは公表されていません。

• 対象の購入者の人数・件数
• アカウントが不正に変えられた手口と、2段階認証の設定
• 実際に情報が見られたかどうか(Amazonの記録の確認の結果)
• 委託元の各社が、それぞれの購入者に知らせたかどうか
• 発覚から公表まで1年余りかかった理由

影響する会社・しない会社

• 影響する: 2025年8月8日から18日までの間に、発表のPDFに載っている63の事業者のストアで買い物をした人。氏名、住所、電話番号、注文履歴が見られる状態でした
• 影響する: ZonExpertに出品の運用を任せていた63の事業者。自社の購入者への説明と、管理画面のユーザーの見直しが要ります
• 確かめる: AmazonなどのECモールの運用や広告を、外の会社に任せている会社。同じ仕組みで、委託先のアカウントが入口になりえます
• 影響しない: クレジットカード情報。発表では、一切含まれていないとしています

情シスが今日やること

ECの運用を外に任せている会社は、自分たちの管理画面に置き換えて確かめます。

1. 管理画面に招いた外部のユーザーを一覧にします。 ECモール、カート、決済、広告の管理画面ごとに、委託先や元の担当者のユーザーが残っていないかを見ます。
2. 権限を作業に合わせて絞ります。 商品の登録や広告の運用だけを任せているなら、購入者の情報を見られる権限まで渡していないかを確かめます。
3. 2段階認証と、連絡先の持ち主を確かめます。 委託先のユーザーにも2段階認証を求めます。ログインの確認のメールや電話番号が誰のものか、変えられたときに自社が気づけるかも見ます。
4. 契約の終わりと担当者の交代で消します。 契約が終わったとき、委託先の担当者が替わったときに、ユーザーを消す手順を決めておきます。
5. 事故の報告の決まりを契約に入れます。 委託先がアカウントの乗っ取りに気づいたら、いつまでに委託元へ知らせるか、誰が購入者に知らせるかを決めておきます。
6. 記録の取り方を確かめます。 管理画面のログインや閲覧の記録を、自社で見られるか、どこまで残るかを確かめます。他社のサービスの記録が見られないと、今回のように「見られたか分からない」まま終わります。