ソフト99公式通販に不正アクセス、最大13万6,968人分漏えいの恐れ

カー用品のソフト99コーポレーションは2026年11月10日、公式オンラインショップが外部の第三者から不正アクセスを受け、会員と購入者の個人情報が漏えいした可能性があると公表しました。対象は最大13万6,968人で、氏名や住所、クレジットカード番号の下4桁と有効期限などが含まれます。入り口になったのは、問い合わせフォームの画像を添付する機能でした。

何が起きたのか

同社によると、11月5日に委託先から、オンラインショップで不審な動きがあると連絡を受けました。委託先が調べたところ、外部の第三者による不正アクセスと、個人情報が漏えいした可能性が分かりました。

同社はショップを一時止めて、アクセスの経路を遮断しました。アクセスの制限を強めるなどの対策をとり、11月9日に個人情報保護委員会へ報告しています。公表は11月10日16時でした。

侵入の経路

同社の説明では、侵入は3つの段階を踏んでいます。

1. 問い合わせフォームの画像添付機能から、プログラムのファイルが上げられた
2. そのファイルを足がかりに、外から命令を送り込めるファイルが置かれた
3. サイトのプログラムの権限で、サーバーの中が調べられ、設定ファイルが読み取られた

設定ファイルには、一般にデータベースへの接続の情報などが書かれます。添付されたファイルの種類を確かめずに受け付け、そのファイルをサーバーが実行できる場所に置いてしまうと、外から送り込んだプログラムを動かされます。同社の仕組みのどこで防げなかったかは、調査中のため公表されていません。

漏えいした可能性がある情報

対象は11月5日までにショップで会員登録をした人と、買い物をした人です。

• 氏名、住所、メールアドレス、電話番号、生年月日、性別
• 購買情報、お届け先の情報
• クレジットカード情報（カード番号の下4桁、有効期限、カード名義人）など

カード番号の全桁とセキュリティコードについては、お知らせに記載がありません。正確な人数と件数は確かめている途中です。11月10日の時点で、この件による二次被害は確認されていません。

会社の対応と今後

原因と影響の範囲は、委託している協力会社と調べていて、今後は外部のセキュリティの専門家などにも調査を頼む予定です。ショップを再開する時期は、お知らせに書かれていません。

同社は利用者に、心当たりのないメールやSMS、不審な電話には、添付ファイルを開かず、リンク先にも行かず、返信もしないよう求めています。同社を装った偽のサイトやSNSのアカウントにも注意し、個人情報やID、パスワード、カード情報を入れないよう呼びかけています。問い合わせ先として、専用の電話とメールの窓口があります。

中小企業が学べること

自社の通販サイトや会社のサイトに、ファイルを添付できる問い合わせフォームがあるなら、受け付けるファイルを画像などの決まった種類に限り、上がったファイルをサーバーが実行しない場所に置いているかを制作会社に確かめます。添付が要らないフォームなら、機能そのものを外す方法もあります。

今回、最初に異常に気づいたのは運用の委託先でした。委託先が不審な動きを見つけたとき、誰にどの順で知らせ、どこまで止めてよいかを決めておくと、遮断と公表の判断が早くなります。画像の添付からファイルを書き込まれる脆弱性の例は、Railsに21件の修正、画像の添付でファイル書き込みのおそれでも紹介しています。