リサイクル着物おりいぶへの不正アクセス（最大208件のカード情報漏えいのおそれ）
公表日
通販サイト「リサイクル着物おりいぶ」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大208件のクレジットカード情報が漏えいした可能性があると、運営する有限会社ベル・コーポレーションが2025年11月17日に発表しました。
対象者は？
2021年3月23日から2024年12月13日の間に、このサイトでクレジットカード決済をした顧客が対象です。漏えいした可能性があるのは、カード名義人名、カード番号、有効期限、セキュリティコードです。住所や電話番号など、それ以外の情報が含まれるかは、確認できた出典には書かれていません。
対象の方には、会社から個別に連絡が行っています。過去にこのサイトを使ったことがある方は、カードのご利用明細や会員サイトの利用一覧に、身に覚えのない請求がないか確認してください。
いますぐできること
- 過去にこのサイトでカードを使ったことがある方は、カードのご利用明細を確認する。
- 身に覚えのない利用があれば、カード会社の案内に従って手続きをする。
- カードの差し替えを希望する場合は、カード会社に相談する。再発行手数料が顧客負担とならないよう、同社がカード会社に依頼済みと発表している。
何が起きたのか
2024年12月10日、神奈川県警サイバー対策課から、このサイトを使った顧客のカード情報が漏えいした懸念があると連絡がありました。同社は同じ日のうちにカード決済を止め、外部の調査機関による調査を始めました。12月13日には警察署へ被害を申告し、12月19日には個人情報保護委員会へ報告しました。調査は2025年2月28日に終わりました。そして2025年11月17日に、最大208件のカード情報が漏えいした可能性があると発表しました。一部のカードが不正利用された可能性もあるとされています。
なぜ起きたのか・なぜ広がったのか
調査の結果、サイトのシステムの一部にあった弱点を突かれ、決済に使うプログラムが書き換えられたことが原因とされています。どの製品の、どんな弱点だったかは、確認できた出典には書かれていません。公表まで時間がかかった理由について、同社は、確かでない情報を出すと混乱を招き顧客の不利益になるおそれがあるため、調査結果の確定とカード会社との連携の準備を優先したと説明しています。
いまの状況2025-12-10 時点
同社はカード会社と協力して、該当するカードの取引を見守っています。システムの安全対策と監視体制も強化したとしています。サイトは改修したあとに閉鎖する方針です。クレディセゾンは、同社発行のカードに不審な利用がないか確認中としています。カード決済の再開や、実際の不正利用の件数・被害額は、まだ発表されていません。
企業として考えたいこと
もし自社の通販サイトの決済プログラムが書き換えられたら、外部から連絡が来る前に自社で気づけるでしょうか。
技術的な要約
有限会社ベル・コーポレーションは2025年11月17日、通販サイト「リサイクル着物おりいぶ」への第三者の不正アクセスにより、最大208件のクレジットカード情報が漏えいした可能性があると発表した。2024年12月10日に神奈川県警サイバー対策課から連絡を受け、同日中にカード決済を停止してフォレンジック調査を開始し、調査は2025年2月28日に完了した。原因はサイトのシステムの一部の脆弱性を突かれ、ペイメントアプリケーションが改ざんされたことである。対象は2021年3月23日から2024年12月13日にカード決済を行った顧客で、カード名義人名、カード番号、有効期限、セキュリティコードが含まれ、一部カードが不正利用された可能性がある。同社はカード会社と取引監視を継続しており、サイトは改修後に閉鎖する方針である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認公表では「サイトのシステムの一部に存在した脆弱性を突いた不正アクセスにより、ペイメントアプリケーションが改ざんされた」とされる。具体的な製品名・脆弱性の内容・CVEは記載がない。
- 脆弱性
- CVE 非公表公表で確認サイトのシステムの一部の脆弱性。製品名・CVEは非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2024年12月10日に当該サイトでのカード決済を停止した。サイトは改修後に閉鎖する方針。決済再開の有無は記載がない。
- データ
- おそれ上限 208確定 —件氏名クレカ漏えいの可能性がある情報はカード名義人名、カード番号、有効期限、セキュリティコードで該当件数は208件。報道見出しでは208名。対象期間は2021年3月23日〜2024年12月13日。一部カードが不正利用された可能性がある。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経過と原因 事実
有限会社ベル・コーポレーションは2025年11月17日、通販サイト「リサイクル着物おりいぶ」への第三者の不正アクセスにより、最大208件のクレジットカード情報が漏えいした可能性があると発表した。2024年12月10日に神奈川県警サイバー対策課からカード情報の流出懸念について連絡を受け、同日中にカード決済を停止し、第三者調査機関によるフォレンジック調査を開始した。調査は2025年2月28日に完了し、サイトのシステムの一部に存在した脆弱性を突いた不正アクセスで、ペイメントアプリケーションが改ざんされたことが原因と確認された。具体的な製品名やCVEは本文に記載がない。同社は2024年12月13日に所轄警察署へ被害申告を行い、同年12月19日に個人情報保護委員会へ報告した。
漏えいした情報と対象範囲 事実
漏えいした可能性のある情報はカード名義人名、カード番号、有効期限、セキュリティコードで、該当件数は208件である。対象は2021年3月23日から2024年12月13日の期間に当該サイトでクレジットカード決済を行った顧客で、該当者には個別に連絡している。一部のカードが不正利用された可能性があるとされている。件数は「最大208件」「可能性」という表現で示されており、流出が確定した件数は示されていない。ScanNetSecurityは見出しで「208名」と報じているが、公表本文の単位は「件」である。クレディセゾンは2025年11月17日に注意喚起を出し、同社発行カードについて本件に起因する不審な売上の有無を確認中としている。
公表後の対応と公表時期の説明 事実
同社はクレジットカード会社と連携して該当カードの取引監視を継続し、購入者にカード利用明細の確認を促している。カードの差し替えを希望する場合の再発行手数料が顧客負担とならないよう、カード会社に依頼済みである。システムのセキュリティ強化と監視体制の拡充を実施するとし、サイトは改修後に閉鎖する方針である。2024年12月13日に漏えいの懸念が判明してから公表まで時間を要した理由について、同社は、不確定情報の公表が混乱を助長し顧客の不利益になる可能性を考慮し、調査結果の確定とカード会社との連携体制整備を優先したためと説明している。セゾンカードは24時間365日体制の不正使用検知システムで利用状況を監視しているとしている。
決済アプリ改ざん型の特徴と公表までの期間（解釈） 解釈
ペイメントアプリケーションの改ざんという構図は、購入手続きの入力情報が取得され得る点で、利用者側からは異常に気づきにくい類型だと考えられる。対象期間が2021年3月23日から2024年12月13日と長く、外部機関からの連絡が検知の契機だった点も、自組織による改ざん検知が働きにくい環境だった可能性を示唆する。ただし、侵入日や改ざんの開始時期は公表されておらず、対象期間の始点が侵入日と一致するかは分からない。また、懸念の判明から公表まで約11か月が空いた。同社は調査確定とカード会社との連携を優先したと説明しており、判断には理由が示されている。一方で、利用者が自衛策をとれる時期が遅れた側面もあり、早期の暫定的な告知の要否は論点になり得る。
対応
- 封じ込め
- 連絡を受けた2024年12月10日中にカード決済を停止し、第三者調査機関によるフォレンジック調査を実施。カード会社と連携して該当カードの取引監視を継続し、購入者にカード利用明細の確認を促している。再発行手数料が顧客負担とならないようカード会社に依頼済み。システムのセキュリティ強化と監視体制の拡充を実施し、サイトは改修後に閉鎖する方針。
- 公表の仕方
- 2024年12月13日に漏えいの懸念が判明してから公表（2025年11月17日）まで時間を要した理由について、同社は不確定情報の公表が混乱を助長し顧客の不利益になる可能性を考慮し、調査結果の確定とカード会社との連携体制整備を優先したためと説明している。該当顧客には個別に連絡している。
- 当局対応
- 個人情報保護委員会（2024年12月19日報告）
- 所轄警察署（2024年12月13日被害申告）
- 神奈川県警サイバー対策課（2024年12月10日に同社へ連絡）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済ページ・決済処理の改ざんは、利用者にも運営者にも見えにくい。外部通報より先に自力で検知できる仕組みが要る。 | 決済に関わるアプリケーションと配信ファイルにファイル整合性監視（ハッシュ比較）を導入し、変更があれば通知する。決済画面のスクリプトにはCSPとSRIを設定し、許可外の送信先を遮断・検知する。 |
| 公開サイトの構成要素に脆弱性が残ると、決済アプリ改ざんの入口になり得る。 | 公開サイトのOS・ミドルウェア・ECパッケージ・ライブラリの棚卸し表を作り、脆弱性情報を定期照合する。重要度の高いものは期限を決めて修正し、年1回以上のWebアプリ診断を実施する。 |
| カード情報、特にセキュリティコードを自社環境で扱うほど、漏えい時の影響が大きくなる。 | 決済代行会社のリンク型・トークン型（自社サーバーをカード情報が通らない方式）へ移行する。自社で扱う場合もセキュリティコードは保存せず、PCI DSSの要件に沿って点検する。 |
| 外部機関からの通報を受けた直後の判断（決済停止、調査、当局報告、公表）を、あらかじめ決めておく必要がある。 | カード情報漏えい疑い時の手順書を作り、決済停止の権限者、フォレンジック業者への連絡先、カード会社・個人情報保護委員会・警察への報告先と期限を明記する。机上訓練で確認する。 |
| 対象期間が長いほど、影響範囲の特定にはログと決済データの保存が重要になる。 | Webサーバー、アプリケーション、管理画面の操作ログを改ざん耐性のある別環境に1年以上保存する。決済アプリの変更履歴をバージョン管理し、改ざん時期を後から特定できるようにする。 |
自組織などでの確認項目
- 自組織の決済ページや決済アプリのファイルが書き換えられた場合、何分・何日で気づけるか。その仕組みは誰が見ているか。
- 自社サイトでカード番号やセキュリティコードを自社サーバー経由で処理していないか。決済代行のリンク型・トークン型に切り替えられる範囲はどこか。
- 公開サイトで使っているソフトウェアとそのバージョンを、今すぐ一覧にできるか。脆弱性の修正期限は決まっているか。
- 警察やカード会社から「カード情報流出の懸念」と連絡を受けたら、当日に決済を止める権限者と、公表の判断をする担当者は決まっているか。
未解明点
- 侵入の日時と、ペイメントアプリケーションが改ざんされた時期はいつか。対象期間の始点（2021年3月23日）との関係は何か。
- 突かれた脆弱性はどの製品・機能のものか。修正は完了しているか。
- 不正利用された可能性のあるカードの実数や被害額はどれくらいか。流出が確定した件数は何件か。
- 当該サイトのカード決済は再開されたのか。閉鎖の時期はいつか。
- ベル・コーポレーション自身の公式発表の原文は、今回の出典に含まれていない。原文では件数や情報の範囲がどう表現されているか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-19報道本文確認済
- 2ScanNetSecurity2025-12-10報道本文確認済
- 3クレディセゾン（セゾンカード）2025-11-17公式本文確認済