ナチュレ片山オンラインストアへの不正アクセス（個人情報2,466件・カード情報1,049件漏えいのおそれ）
公表日
片山商事が運営する「ナチュレ片山オンラインストア」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、個人情報最大2,466件とカード情報最大1,049件が漏えいした可能性があると、2025年10月22日に発表されました。
対象者は？
2021年6月16日〜2024年12月5日にこのサイトで購入した顧客のカード情報（最大1,049件。カード名義人名、番号、有効期限、セキュリティコード）と、2020年1月16日〜2024年12月5日に入力された個人情報（最大2,466件。氏名、生年月日、性別、住所、電話番号、メールアドレス）が対象です。いずれも「漏えいした可能性」の件数で、流出が確定した件数は公表されていません。これら以外の情報が含まれるかどうかは、参照した出典に書かれていません。
対象のお客様には、2025年10月22日から電子メールおよび書面で個別に連絡が行われるとされています。過去にこのサイトでカードを使った方は、カード会社の利用明細で身に覚えのない請求がないか確認してください。
いますぐできること
- 過去にこのサイトでカードを使った方は、カード会社の「ご利用明細」やネットサービスで、身に覚えのない利用がないか確認する。
- 不審な利用を見つけたら、すぐにカード会社へ連絡する。
- メールやSMSで個人情報の入力を求める連絡には、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。の可能性があるため注意する。
何が起きたのか
2024年11月22日、JPCERT/CCから片山商事に、このサイトを使った顧客のカード情報が漏えいした懸念があると連絡がありました。同社は12月5日にサイトを停止し、外部の調査機関による調査を始めました。調査は2025年4月3日に終わり、個人情報とカード情報が漏えいした可能性と、一部のカードが不正に使われた可能性が確認されました。同社は2025年10月22日にこのことを発表し、同日から対象のお客様に電子メールと書面で連絡を始めるとしています。
なぜ起きたのか・なぜ広がったのか
原因は、サイトの一部にあった弱点（脆弱性）を突かれ、支払い処理に使うプログラムが書き換えられたこととされています。弱点の具体的な内容は公表されていません。公表までに時間がかかった点について、同社は、はっきりしない情報の段階で知らせると混乱を招くため、調査結果の確定とカード会社との連携体制づくりを待ったと説明しています。
いまの状況2025-11-10 時点続報待ち
2025年11月10日時点で、クレディセゾンは同社発行のカードに不審な売上がないか確認中としています。サイトの再開、補償、再発防止策については、まだ発表されていません。
企業として考えたいこと
もしあなたの会社の通販サイトの支払い処理が気づかないうちに書き換えられたら、外部からの連絡を受けて何日以内に、誰が止める判断をできるでしょうか。
技術的な要約
片山商事株式会社は2025年10月22日、運営する「ナチュレ片山オンラインストア」が第三者による不正アクセスを受け、個人情報2,466件およびクレジットカード情報1,049件が漏えいした可能性が判明したと発表した。2024年11月22日にJPCERT/CCからカード情報漏えい懸念の連絡を受け、同年12月5日にサイトを停止して第三者調査機関の調査を開始した。2025年4月3日に調査が完了し、サイトの一部の脆弱性を突かれてペイメントアプリケーションが改ざんされたことが原因とされ、一部ではカードの不正利用の可能性も確認された。漏えいのおそれがあるカード情報には名義人名、番号、有効期限、セキュリティコードが含まれる。同社は公表の遅れについて、調査結果の確定とカード会社との連携体制構築を待ったためと説明し、対象者へは2025年10月22日から電子メールおよび書面で個別連絡を行うとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性報道・研究者「サイトの一部に存在した脆弱性を突かれ、ペイメントアプリケーションが改ざんされたことが原因」と報じられている。脆弱性の具体的な内容・製品名は公表されていない。
- 脆弱性
- CVE 非公表報道・研究者当該サイトのシステムの一部の脆弱性とされるが、製品名・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2024年12月5日にオンラインストアを停止し、調査を実施した。再開の有無は参照した出典に記載がない。
- データ
- おそれ上限 2,466確定 —件氏名生年月日性別住所電話メールクレカ個人情報2,466件（対象期間2020/1/16～2024/12/5。氏名、生年月日、性別、住所、電話番号、メールアドレス）と、クレジットカード情報1,049件（対象期間2021/6/16～2024/12/5。カード名義人名、番号、有効期限、セキュリティコード）。いずれも漏えいの可能性であり、確定件数は公表されていない。両者の合算はしていない。一部顧客のカード情報が不正利用された可能性も確認された。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2020-01-16漏えいの可能性がある個人情報の対象期間が始まる（〜2024-12-05）。1
- 2021-06-16漏えいの可能性があるクレジットカード情報の対象期間が始まる（〜2024-12-05）。1
- 2024-11-22
- 2024-12-05
- 2025-04-03
- 2025-10-22
- 2025-10-22対象のお客様へ電子メールおよび書面での個別連絡を開始。1
- 2025-10-22クレディセゾンが、同社発行カードの不審な売上の有無を確認中であるとし、会員に利用明細の確認を呼びかけ。3
- 2025-10-23セキュリティ対策Labが本件を報道。ダークウェブでのデータ売買の可能性とフィッシングメールへの注意を指摘。1
- 2025-11-10ScanNetSecurityが本件を報道。2
技術解説
公表されている経緯 事実
2024年11月22日、片山商事はJPCERT/CCから「ナチュレ片山オンラインストア」を利用した顧客のカード情報漏えい懸念の連絡を受けた。同年12月5日にサイトを停止し、第三者調査機関による調査を開始した。調査は2025年4月3日に完了し、顧客の個人情報とカード情報が漏えいした可能性、および一部顧客のカード情報が不正利用された可能性が確認された。原因は、サイトの一部の脆弱性を突いた第三者の不正アクセスにより、ペイメントアプリケーションが改ざんされたこととされている。同社は2025年10月22日に発表し、同日から対象者へ電子メールおよび書面で個別連絡を行うとしている。
対象となった情報の範囲 事実
漏えいの可能性があるのは、クレジットカード情報1,049件（対象期間2021/6/16〜2024/12/5）と、その他の個人情報2,466件（対象期間2020/1/16〜2024/12/5）である。カード情報にはカード名義人名、番号、有効期限、セキュリティコードが含まれ、個人情報には氏名、生年月日、性別、住所、電話番号、メールアドレスが含まれる。いずれも「可能性」の件数で、流出が確定した件数は出典に示されていない。ScanNetSecurityの見出しは「漏えい」と表現しているが、発表内容は「可能性」である。クレディセゾンは同社発行カードの不審な売上の有無を確認中とし、過去に同ストアを利用した会員へ利用明細の確認を求めた。
攻撃の構造（解釈） 解釈
公表された原因は「脆弱性を突かれ、ペイメントアプリケーションが改ざんされた」という点にとどまる。決済処理を担う部分が書き換えられたのであれば、購入時に入力されたカード情報が、通常の画面操作の裏で取得され得る構造だったと考えられる。ただし具体的な手口や製品名は公表されておらず、この理解は推測の域を出ない。対象期間はカード情報で2021年6月から2024年12月まで3年半近くに及ぶ。このことから、改ざんが長期間見つかりにくい形で続いた可能性がある。外部機関からの連絡が把握の契機となった点も、自組織だけでの検知が難しい類型であることを示唆する。
公表時期についての見方（解釈） 解釈
JPCERT/CCからの連絡（2024年11月22日）から発表（2025年10月22日）まで約11か月、調査完了（2025年4月3日）からは約6か月半が経過している。同社は、不確定情報での告知は混乱を招くため、調査結果の確定とカード会社との連携体制構築を待ったと説明している。確定情報を待つ判断には一定の合理性があり、カード会社の監視体制が整った状態での公表という面もある。一方で、利用者が自分で明細を確認したり警戒したりできる時期は、その分後ろにずれたとも言える。調査完了から公表までの期間の内訳は公表されておらず、判断の妥当性を断定することはできない。
対応
- 封じ込め
- 2024年12月5日にオンラインストアを停止し、第三者調査機関による調査を実施した。クレディセゾンは24時間365日体制の不正使用検知システムで利用状況をモニタリングし、同社発行カードの不審な売上を確認中とした。
- 公表の仕方
- 2025年10月22日に公表。JPCERT/CCからの連絡（2024年11月22日）から約11か月後で、遅れた理由について同社は、不確定情報の段階での告知は混乱を招くため、調査結果の確定とカード会社との連携体制構築を待ったためと説明している。対象者には2025年10月22日から電子メールおよび書面で個別連絡を行うとしている。
- 当局対応
- JPCERT/CC（2024年11月22日にカード情報漏えい懸念を連絡。当局による処分等の記載は参照した出典にない）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済ページの改ざんは、サイト運営側が気づきにくい形で長期化し得る。 | 決済画面に厳格なCSP（script-src制限・report-uri）を設定し、外部スクリプトにSRIを付ける。決済関連ファイルは整合性監視（ハッシュ比較を日次などで実施）し、差分があればアラートを上げる。 |
| 外部機関（JPCERT/CCなど）からの通報を受けた直後の初動手順が、被害の拡大期間を左右する。 | 通報受領時のRunbookを事前に作る。窓口メールの監視担当、決済停止の判断基準、決済代行会社・カード会社への一報、ログ保全（Webサーバ・WAF・決済アプリの改変履歴）を手順化し、年1回は机上演習で確認する。 |
| カード情報やセキュリティコードを自社環境で扱うほど、漏えい時の影響が重くなる。 | トークン化やリダイレクト型・iframe型の決済に移行し、自社サーバーにカード番号を通さない。セキュリティコードは保存せず、既存の保存データは棚卸しして削除する。 |
| 公開サイトの一部の脆弱性が改ざんの足がかりになった。 | CMS・ECパッケージ・プラグインの資産台帳を作り、パッチ適用期限を定める。外部公開部分に対しては定期的な脆弱性診断とWAFの導入を行い、管理画面は接続元IPで制限する。 |
| 調査の確定を待つあいだ、利用者への情報提供が空白になり得る。 | 「調査中の暫定告知」を出す基準とテンプレートを事前に決める。サイト停止時は、停止理由と利用者が確認できる事項を、判明している範囲で掲示する運用を定める。 |
自組織などでの確認項目
- 自社のECサイトや決済ページで、読み込まれているスクリプトとその改ざん検知の仕組み（CSP、SRI、ファイル監視）を一覧にできるか。
- JPCERT/CCや決済代行会社から「カード情報漏えいの懸念」の連絡が来たとき、誰が受け、何時間以内に何を判断するかが文書で決まっているか。
- 自社環境にカード番号やセキュリティコードが保存・通過していないか。保存や通過がある場合、非保持化やトークン化に移行できない理由は何か。
- 調査結果が確定する前に、利用者へ暫定的に知らせる基準が自社にあるか。あるとすれば、どの時点で誰が決めるか。
未解明点
- 悪用された脆弱性の内容、対象製品、侵入経路の詳細は公表されていない。
- 侵入が実際にいつ始まったかは公表されていない。公表されている対象期間は、漏えいの可能性がある期間である。
- カード情報1,049件と個人情報2,466件の関係（重複や包含の有無）は、参照した出典から読み取れない。
- 不正利用の可能性が確認された顧客の件数や被害額は公表されていない。
- オンラインストアの再開の有無、再発防止策、補償は、参照した出典に記載がない。
- 片山商事自身の公式発表の全文は今回の出典に含まれず、調査完了から公表までの具体的な経過は確認できない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-23報道本文確認済
- 2ScanNetSecurity2025-11-10報道本文確認済
- 3クレディセゾン（セゾンカード）2025-10-22公式本文確認済