フクヨシ旧ショッピングサイトへの不正アクセス（クレジットカード情報最大1万2,630件流出の可能性）
公表日
作業服の通販サイトを運営するフクヨシの旧ショッピングサイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、クレジットカード情報が最大1万2,630件流出した可能性があると公表されました。
対象者は？
2021年3月31日〜2024年8月9日に、フクヨシの旧ショッピングサイトでクレジットカード決済を行った人が対象です。漏えいの可能性がある情報は、カード会員名、カード番号、有効期限、セキュリティコード、メールアドレス、パスワード、電話番号です。件数は『最大』の数字で、実際に流出が確認された件数は発表されていません。
対象の人には、2025年10月20日から電子メールと書面で個別に連絡が行われているとされます。過去に旧サイトを使ったことがある人は、カードの利用明細や、カード会社の会員サイトで、身に覚えのない利用がないか確認してください。
いますぐできること
- 過去に旧サイトでカード決済をしたことがあれば、カードの利用明細や会員サイトで、身に覚えのない利用がないか確認する。
- 身に覚えのない利用があれば、すぐにカード会社へ連絡し、案内された手続きを行う。
- 旧サイトと同じパスワードを他のサービスで使っていれば、別のものに変更する。
何が起きたのか
2024年7月16日、神奈川県警サイバー犯罪課から、フクヨシのショッピングサイトに悪いファイルがある疑いがあるとの連絡がありました。8月19日に県警の調査結果が出て、8月20日にサイトを閉鎖し、外部の専門機関が調べ始めました。調査の結果、サイトの決済用のアプリケーションが書き換えられ、カード情報が外に出た可能性があることが分かったとされます。2025年10月20日に公表され、対象の人には同日から個別に連絡が行われています。一部のお客様のカード情報が不正に使われた可能性も確認されたと報じられています。
なぜ起きたのか・なぜ広がったのか
サイトのシステムの一部にあった弱点を突かれ、決済アプリケーションが書き換えられたことが原因とされています。弱点の具体的な内容や、侵入された日は公表されていません。対象期間は約3年4か月にわたっています。
いまの状況2025-10-30 時点続報待ち
2025年10月30日時点で、旧サイトは閉鎖されており、対象の人への個別連絡が行われているとされます。クレディセゾンは、同社が発行したカードに本件による不審な利用がないかを確認中です。再発防止策や補償については、まだ発表されていません。
企業として考えたいこと
自社のネットショップで、決済画面に使われているプログラムが書き換えられていないかを、誰が・どのくらいの頻度で確認していますか。
技術的な要約
株式会社フクヨシは2025年10月20日、運営する作業服通販サイト「フクヨシショッピングサイト（旧サイト）」が不正アクセスを受け、クレジットカード情報最大1万2,630件が流出した可能性があると公表した。原因は、システムの一部の脆弱性を突いた不正アクセスによりペイメントアプリケーションが改ざんされたことで、第三者調査機関の調査で判明した。対象は2021年3月31日〜2024年8月9日に旧サイトでカード決済を行った顧客で、カード会員名、カード番号、有効期限、セキュリティコード、メールアドレス、パスワード、電話番号が漏えいした可能性がある。2024年7月16日に神奈川県警サイバー犯罪課から悪性ファイル存在の疑いの通報があり、同年8月20日にサイトを閉鎖した。一部顧客のカード情報が不正利用された可能性も確認されている。対象者には電子メールおよび書面で個別連絡が行われているとされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認公表では「旧フクヨシショッピングサイトの一部脆弱性を突いた不正アクセスにより、決済アプリケーションが改ざんされた」とされる。脆弱性の具体的な製品名・CVE・侵入経路の詳細は記載がない。
- 脆弱性
- CVE 非公表公表で確認サイトのシステムの一部の脆弱性が悪用されたとされるが、製品名・CVEは公表内容に記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 2024年8月20日に旧サイトを閉鎖（メンテナンスページへリダイレクト）した。業務全体への影響は公表内容から読み取れない。
- データ
- おそれ上限 12,630確定 —件氏名クレカメール電話その他流出の可能性があるクレジットカード情報は最大1万2,630件。対象は2021年3月31日〜2024年8月9日に旧サイトでカード決済を行った顧客。漏えいの可能性がある項目はカード会員名、カード番号、有効期限、セキュリティコード、メールアドレス、パスワード、電話番号（パスワードの保存形式は記載なし）。一部顧客のカード情報が不正利用された可能性がある。
- 波及先
- —
- クレディセゾンが、同社発行カードについて本件に起因する不審な売上の有無を確認中
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2021-03-31
- 2024-07-16神奈川県警サイバー犯罪課から、サイトに悪性ファイルが存在する疑いについて通報があった。2
- 2024-08-09被害対象となるカード決済期間の終了日。1
- 2024-08-19神奈川県警サイバー犯罪課による調査結果が出た。2
- 2024-08-20旧サイトを閉鎖（メンテナンスページへリダイレクト）し、第三者調査機関による調査を開始した。2
- 2025-10-20
- 2025-10-20対象の顧客に、同日から電子メールおよび書面で個別連絡を開始したとされる。1
- 2025-10-20クレディセゾンが、フクヨシの公表を受け、同社発行カードの不審な売上の有無を確認中として、会員向けに注意喚起を掲載した。3
- 2025-10-21セキュリティ対策Labが本件を報道した。1
- 2025-10-30ScanNetSecurityが本件を報道した。2
技術解説
公表された被害内容と原因 事実
株式会社フクヨシは2025年10月20日、旧フクヨシショッピングサイトが第三者から不正アクセスを受け、クレジットカード情報が最大1万2,630件流出した可能性があると公表したと報じられている。原因は、システムの一部の脆弱性を突いた不正アクセスによりペイメントアプリケーション（決済アプリケーション）が改ざんされたこととされ、第三者調査で判明したという。脆弱性の製品名やCVEは報道本文に記載がない。漏えいの可能性がある情報は、カード会員名、カード番号、有効期限、セキュリティコード、メールアドレス、パスワード、電話番号である。対象は2021年3月31日〜2024年8月9日に旧サイトでカード決済を行った顧客で、一部顧客のカード情報が不正利用された可能性も、11月19日に完了した調査結果で確認されたとされる。
検知から閉鎖、公表までの経過 事実
2024年7月16日、神奈川県警サイバー犯罪課から、フクヨシショッピングサイトに悪性ファイルが存在する疑いがあるとの通報があった。同年8月19日に同課による調査結果が出て、これを受けて8月20日にサイトを閉鎖し、メンテナンスページへリダイレクトするとともに、第三者調査機関による調査を開始した。調査は11月19日に完了したと報じられている。公表は2025年10月20日で、対象の顧客には同日から電子メールおよび書面で個別に連絡しているとされる。クレディセゾンは同日、同社発行カードについて本件に起因する不審な売上の有無を確認中とし、24時間365日体制の不正使用検知システムで利用状況を監視していると案内した。会員には利用明細やNetアンサーの確認を依頼している。
被害の幅に影響したと考えられる要素 解釈
対象期間は2021年3月31日から2024年8月9日まで約3年4か月に及ぶ。決済処理そのものが改ざんされる形では、購入のたびにカード情報が取得され得るため、これが被害の幅につながったと考えられる。ただし改ざんの開始時期は公表されておらず、この期間は侵入期間ではなく、カード決済が対象と確認された範囲にとどまる。また、通報から公表までは約15か月を要している。第三者調査や対象者の特定に時間を要した可能性はあるが、理由は公表されていない。以上は公表内容からの解釈であり、確定した事実ではない。
公表情報の範囲と読み取れる限界 解釈
今回参照できる情報は、報道2件とクレディセゾンの公式告知で、フクヨシ自身の公式発表は参照できていない。このため、侵入日、脆弱性の詳細、パスワードの保存形式、不正利用の件数などは確認できない。件数の1万2,630件は『流出した可能性がある最大数』であり、確定した流出件数ではない点にも注意が必要である。一方で、警察からの通報を端緒に閉鎖と第三者調査へ進み、対象者へ個別連絡を行う流れは報じられている。カード会社側も利用明細の確認方法と手続きを案内しており、利用者が取れる行動は示されている。今後、フクヨシ自身の発表が確認できれば評価を見直す必要がある。
対応
- 封じ込め
- 2024年8月19日の神奈川県警サイバー犯罪課による調査結果を受け、8月20日にサイトを閉鎖（メンテナンスページへリダイレクト）し、第三者調査機関による調査を開始した。
- 公表の仕方
- 2025年10月20日に公表し、対象顧客には同日から電子メールおよび書面で個別に連絡している。クレディセゾンは同日、会員向けに利用明細等の確認と、身に覚えのない利用があった場合の手続きを案内した。
- 当局対応
- 神奈川県警サイバー犯罪課（2024年7月16日に通報、同年8月19日に調査結果）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済ページやペイメントアプリケーションの改ざんは、通常の画面表示では気づきにくい。 | 決済関連のスクリプト・テンプレート・実行ファイルのハッシュを定期的にベースラインと比較し、差分が出たらアラートを上げる。決済ページにはCSPとSRIを設定し、許可外のスクリプト読み込みを検知・遮断する。 |
| 公開サイトの一部の脆弱性が改ざんの入口になり得る。 | ECサイトを構成するOSS・ミドルウェア・自社改修部分の資産台帳を作り、定期的な脆弱性診断とパッチ適用の期限を運用ルールとして定める。WAFのログも保管して、異常なリクエストを追えるようにする。 |
| カード情報、とくにセキュリティコードを自社サーバが扱うと、改ざんされたときに漏えい範囲が大きくなる。 | 決済代行会社のトークン方式やリダイレクト／iframe型の決済に切り替え、自社システムでカード番号を通過・保存させない構成にする。セキュリティコードは保存せず、PCI DSSの適用範囲も見直す。 |
| 旧サイトや移行後のサイトも、稼働している限り攻撃対象に含まれる。 | 旧サイトの停止期限と責任者を決め、資産台帳で稼働状況を管理する。停止できない場合は、決済機能の無効化、アクセス元の制限、監視対象への組み込みを行う。 |
| 警察や外部から悪性ファイルの疑いを通報されたときの初動が、調査と被害把握の質を左右する。 | 通報の受付窓口と担当者を決め、受領後にサーバのディスクイメージとログを保全する手順書を用意する。第三者調査機関と事前に連絡経路を確認しておく。 |
自組織などでの確認項目
- 自社のECサイトで、決済ページに読み込まれるスクリプトやファイルの一覧を把握し、変更があれば検知できる仕組みがありますか。
- 自社システムでカード番号やセキュリティコードを通過・保存していませんか。トークン化や決済代行への委託で減らせる範囲はどこですか。
- すでに閉鎖した、または使わなくなったサイトやサーバが残っていないか、資産台帳と実際の稼働状況を突き合わせて確認できますか。
- 警察や外部研究者から『サイトに悪性ファイルがある疑い』と連絡を受けたとき、誰が受け、何をいつまでに保全するか決まっていますか。
未解明点
- 悪用された脆弱性の製品名・種類と、侵入経路の詳細は公表されていない。
- 不正アクセスの開始時期と、決済アプリケーションの改ざん期間が公表されていない。
- 漏えいした可能性のあるパスワードの保存形式（平文かハッシュ化か）が記載されていない。
- 不正利用の可能性があるとされた顧客の件数や被害額が公表されていない。
- 通報から公表まで約15か月かかった理由と、調査完了後の再発防止策の内容が公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-21報道本文確認済
- 2ScanNetSecurity2025-10-30報道本文確認済
- 3株式会社クレディセゾン（セゾンカード）2025-10-20公式本文確認済