米通販Revolve、保存カードの番号など流出の恐れ

何が起きたのか

米国のオンライン衣料品販売Revolve Groupは2026年10月29日、米証券取引委員会（SEC）への届け出で、一部のシステムに不正アクセスがあったと公表しました。不正な活動は止めたとしています。連邦の捜査機関に通知し、外部の専門家と調査を進めています。

届け出には、気づいた日も侵入があった日も、どのシステムかも書かれていません。Malwarebytesによると、テキサス州司法長官の記録では、発生は9月11日、発見は9月29日です。侵入の方法は公表されていません。名乗り出た攻撃グループもないと、Malwarebytesは伝えています。

漏れた情報

通販のアカウントに支払い情報を保存していた一部の顧客が対象です。攻撃者が自動化された手段で氏名、連絡先、カード番号、有効期限を取得した可能性があります。保存していなかった人は、この説明の対象に入っていません。

セキュリティコードが含まれるかどうかは公表されていません。Malwarebytesは、カード番号が一部を隠した形だったのか、Revolveと決済代行会社のどちらが番号を保管していたのかも分からないと指摘しています。

SECへの届け出に人数の記載はありません。Malwarebytesはテキサス州の記録として州内の対象者が12万7,200人、同州のサイトのデータとして全体が151万5,073人と伝えています。同社はこの総数を確認していません。

会社の対応

顧客へのサービス停止はなく、今のところ事業への重大な影響はないとしています。再発を防ぐ対策を導入していますが、内容は公表されていません。顧客への通知についても、届け出に記載はありません。

Malwarebytesは、カードを保存していた人に向けた行動として次を挙げています。

• 利用明細を1行ずつ見て、少額や見覚えのない請求がないかを確かめる。盗んだカードが使えるかの試しに、少額の請求が使われることがある
• 不正な請求があれば、すぐカード会社に知らせる
• カード会社に頼んで、番号を変えたカードを発行してもらう
• 通販アカウントに保存したカードを消す
• 今回の件を名乗る電話、SMS、メールには応じず、カード会社には裏面の番号へ自分でかける

日本の会社に関係すること

顧客の手間を減らすカード保存の機能は、番号を持つ場所を増やします。日本でも、割賦販売法のもとで、通販事業者はカード番号を自社で保存しない（非保持化）か、保存するなら国際的なカード業界の基準（PCI DSS）に沿った対策が求められています。自社の通販で同じ機能を使っているなら、番号を誰が保管しているかを説明できるようにしておいてください。決済代行会社の仕組みによっては、自社のサーバーに番号を置かず、代わりの番号（トークン）だけを持つ形にできます。制作会社や決済代行会社に、自社がどの形かを確かめます。

今回の取得は自動化された手段で行われました。短時間の大量の処理に気づける仕組みがあるかも、あわせて確かめてください。ログイン画面や、保存したカードの情報を呼び出す画面に、回数の制限があるかを見ます。