オフィスバスターズ「ビジフォン舗」への不正アクセス（カード情報96人・個人情報1,703人流出の可能性）
公表日
中古ビジネスフォンのECサイト「ビジフォン舗」で、カード決済部分のプログラムが改ざんされ、カード情報96人・個人情報1,703人が流出した可能性があると発表されました。
対象者は？
2025年2月16日〜8月12日にカード決済をした96人（カード名義人名・カード番号・有効期限）と、2020年7月27日〜2025年8月12日に同サイトで情報を入力した1,703人（会社名・氏名・生年月日・性別・住所・電話番号・メールアドレス）。いずれも流出の可能性で、確定した件数は示されていません。セキュリティコードの流出は確認されていません。該当者には電子メールまたは書面で個別に連絡されています。
対象の方には、オフィスバスターズから電子メールまたは書面で個別に連絡が届きます。カード会社のお知らせも出ています。
いますぐできること
- 「ビジフォン舗」でカード決済をしたことがある場合は、カードの利用明細を確認し、身に覚えのない請求があればカード会社に連絡する。
- オフィスバスターズからの個別連絡（メールまたは書面）が届いていないか確認する。
- メールや電話で個人情報を求める連絡には、すぐに応じず、公式の窓口で確かめる。
何が起きたのか
2025年8月8日、警視庁のサイバー攻撃対策センターから情報提供を受けたオフィスバスターズが調べたところ、「ビジフォン舗」のカード決済部分のプログラムに改ざんの痕跡が見つかりました。8月12日にカード決済を止め、外部のセキュリティ会社が調査を始めました。9月1日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を発表し、10月31日にカード情報96人と個人情報1,703人が流出した可能性があると公表しました。
なぜ起きたのか・なぜ広がったのか
同社の説明では、サイトの一部システムの脆弱性（弱点）を突かれ、カード決済部分のプログラムが改ざんされました。これにより、入力された情報が外部に送られた可能性があります。弱点の製品名や侵入した時期などは公表されていません。個人情報の対象期間が約5年に及ぶ理由も示されていません。
いまの状況2025-10-31 時点続報待ち
カード決済は止まっており、ペイメントサービスの再開時期は決まり次第公表される予定で、まだ発表されていません。同社は弱点の是正と監視体制の強化を進め、カード会社と連携して流出の可能性があるカードの取引を見守っています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。（8月21日）と警察への被害申告（8月28日）は済んでいます。
企業として考えたいこと
自社の決済ページが気づかないうちに書き換えられた場合、何日で気づけるでしょうか。外部からの連絡を待たずに見つける仕組みはありますか。
技術的な要約
オフィスバスターズが運営する中古ビジネスフォンのECサイト「ビジフォン舗」で、一部システムの脆弱性を突かれてカード決済部分のプログラムが改ざんされた。2025年8月8日に警視庁サイバー攻撃対策センターからの情報提供を受けて調査し改ざんの痕跡を確認、8月12日にカード決済を停止した。2025年2月16日〜8月12日にカード決済をした顧客96人のカード情報（名義人名、番号、有効期限）と、2020年7月27日〜2025年8月12日に情報を入力した顧客1,703人の個人情報が流出した可能性がある。セキュリティコードの流出は確認されていない。9月1日に不正アクセスを発表し、10月31日に流出の可能性を公表した。ペイメントサービスの再開時期は決まり次第公表予定とされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認「ビジフォン舗」の一部システムに存在した脆弱性を突かれ、カード決済部分のプログラムが改ざんされた。製品名・CVEは公表されていない。
- 脆弱性
- CVE 非公表公表で確認「ビジフォン舗」の一部システムの脆弱性。製品名・CVEは記載されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年8月12日にカード決済を停止。ペイメントサービスの再開時期は決まり次第公表予定。
- データ
- おそれ上限 1,703確定 —人クレカ氏名生年月日性別住所電話メールその他カード情報96人（2025-02-16〜08-12の決済利用者。カード名義人名・番号・有効期限、セキュリティコードは流出確認なし）と、個人情報1,703人（2020-07-27〜2025-08-12に情報入力。会社名・氏名・生年月日・性別・住所・電話番号・メールアドレス）。両者の重複関係は出典に記載がなく合算していない。records_maxは個人情報の人数。いずれも流出の可能性。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 同社の他のWebサイトへの改ざんは確認されておらず、メールシステムや基幹システムも独立して運用されているため影響はないとしている。
時系列
技術解説
確認された経緯と対応の流れ 事実
2025年8月8日、警視庁サイバー攻撃対策センターから情報提供を受けたオフィスバスターズは「ビジフォン舗」を調査し、カード決済部分のプログラムに改ざんの痕跡を確認した。8月12日にカード決済を停止し、外部セキュリティ会社による調査を開始した。個人情報保護委員会へは8月21日に報告し、8月28日に所轄警察署へ被害申告を行った。9月1日に不正アクセスを発表し、10月31日にカード情報と個人情報が流出した可能性を公表した。該当顧客には電子メールまたは書面で個別に連絡している。同日、楽天カードも本件に関するお知らせを掲載している。
流出の可能性がある情報の範囲 事実
流出の可能性があるのは、2025年2月16日〜8月12日にカード決済をした顧客96人のカード名義人名・カード番号・有効期限と、2020年7月27日〜2025年8月12日に情報を入力した顧客1,703人の会社名・氏名・生年月日・性別・住所・電話番号・メールアドレスである。いずれも「可能性」であり、流出が確定した件数は示されていない。セキュリティコード（CVC/CVV）の流出は確認されていない。同社の他のWebサイトへの改ざんは確認されておらず、メールシステムや基幹システムも独立して運用されているため影響はないとしている。
攻撃の構造と対象期間の読み方 解釈
公表によれば、一部システムの脆弱性を突かれてカード決済部分のプログラムが改ざんされ、入力された情報が外部に送出された可能性がある。これは決済画面に不正な処理を仕込んで入力値を抜き取る型の被害と読めるが、製品名・CVE・侵入経路の詳細は示されておらず、この見方は推測にとどまる。また、カード情報の対象期間は約半年、個人情報の対象期間は約5年と大きく異なる。この差は、改ざんが影響した範囲と情報の取得のされ方が違うことを示唆する可能性があるが、理由は公表されていない。96人と1,703人の重複関係も出典に記載がないため、合算はできない。
検知と公表の進め方の評価 解釈
本件は、警視庁からの情報提供が調査の端緒となった。外部からの通報が起点になった点は、決済ページの改ざんを自社の監視だけで早期に見つける難しさを示している。公表は、検知から約3週間後に不正アクセスの第一報（9月1日）、約12週間後に流出の可能性の公表（10月31日）という二段階だった。同社は、不確定な情報で混乱を招かないよう、調査とカード会社との連携を確認した上で発表したと説明している。早期の注意喚起と情報の正確性の両立は難しい判断である。一方で、8月12日にカード決済を止め、カード会社と連携して取引モニタリングを続けている点は、被害抑止に資する対応と評価できる。
対応
- 封じ込め
- 2025年8月12日にカード決済を停止し、外部セキュリティ会社による調査を実施。当該脆弱性の是正と監視体制の強化を進め、クレジットカード会社と連携して流出の可能性があるカードの取引モニタリングを継続している。
- 公表の仕方
- 2025年9月1日に不正アクセスを発表し、10月31日に流出の可能性を公表。発表まで時間を要した理由は、不確定な情報で混乱を招かないよう、調査とカード会社との連携を確認した上での発表としたためと説明。該当顧客には電子メールまたは書面で個別連絡。
- 当局対応
- 個人情報保護委員会（2025-08-21報告）
- 所轄警察署（2025-08-28被害申告）
- 警視庁サイバー攻撃対策センター（2025-08-08情報提供）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済ページの改ざんは外部からの通報で発覚することがあり、自社の監視だけでは気づきにくい | 決済ページ関連のJavaScriptとサーバ側プログラムについて、ファイル整合性監視（ハッシュ比較・差分アラート）を導入する。CSPのreport-uriで未許可スクリプトの読み込みと外部送信先を検知する。 |
| ECサイトの一部システムの脆弱性が、決済プログラムの改ざんにつながり得る | 決済周辺の全コンポーネントとバージョンを資産台帳で管理し、脆弱性情報と日次で突合する。公開系は重大度ごとに修正期限を設け、期限内に適用できない場合はWAFの仮想パッチで暫定対応する。 |
| カード情報を自社環境で扱う範囲が広いほど、改ざんされたときの影響が大きくなる | 決済代行事業者のトークン方式（リダイレクト型・iframe型）へ移行し、自社サーバにカード番号を通過・保存させない構成にする。PCI DSSの要件を基準に、決済ページのスクリプト管理を点検する。 |
| 個人情報の対象期間が長期に及ぶと、影響範囲の特定と通知に時間がかかる | アクセスログと変更履歴を1年以上保管し、改ざん検知の記録も残す。不要な個人情報は定期削除し、入力フォームごとの保存項目と保持期間を一覧化しておく。 |
| 二段階の公表では、第一報から続報までの間、利用者が自衛手段をとりにくい期間が生じる | インシデント対応手順に、判明事項のみで出す第一報の基準と、カード会社・決済代行事業者への事前連絡の順序を定める。第一報の段階で、利用明細の確認を促す文面のひな型を用意しておく。 |
自組織などでの確認項目
- 自社の決済ページで読み込まれるスクリプトと、その送信先の一覧を、現時点で正確に示せるか。
- 決済プログラムやその周辺システムが改ざんされた場合、自社の監視で何日以内に気づけるか。外部通報に頼る部分はどこか。
- 個人情報を保存している入力フォームの対象期間と件数を、インシデント発生時に何日で特定できるか。ログの保管期間は足りているか。
- 自社サイトでカード番号が通過・保存される範囲はどこか。トークン方式へ移せる部分はあるか。
未解明点
- 突かれた脆弱性の製品名・CVE・侵入経路と、侵入が始まった時期は公表されていない。
- 個人情報の対象期間（約5年）とカード情報の対象期間（約半年）が異なる理由は示されていない。
- カード情報96人と個人情報1,703人の重複関係は示されていない。
- 実際に流出が確認された件数と、不正利用の有無は公表されていない。
- 「ビジフォン舗」のカード決済の再開時期は、まだ発表されていない。
出典
- 1ネットショップ担当者フォーラム（インプレス）2025-11-04報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-07報道本文確認済
- 3ScanNetSecurity2025-09-11報道本文確認済
- 4ScanNetSecurity2025-11-18報道本文確認済
- 5楽天カード株式会社2025-10-31公式本文確認済