Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-buysell-technologies-wasabi-switch小売・EC最終確認 2026-11-02 18:16

BuySell Technologiesグループにおける外部受注管理システム「WASABI SWITCH」への不正アクセス（注文情報1,369件・顧客情報224件漏えい）

公表日

株式会社BuySell Technologies
続報あり不正アクセスサプライチェーン脆弱性悪用認証情報悪用サプライチェーン：波及先

BuySell Technologiesグループが利用する外部の受注管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、注文情報1,369件および顧客情報224件が漏えいしました。

対象者は？

バイセル オンライン、バイセルブランシェ、ブランドユキチなどの対象期間中に注文を行った顧客（注文情報1,369件、顧客情報224件。両者には重複の可能性あり）。クレジットカード情報は含まれていません。

顧客情報224件の対象者には順次メールで個別連絡が行われています。また、注文や不審メールに関する相談窓口（フリーダイヤル）が設置されています。

BuySell Technologies 公式サイト ↗バイセルブランシェ お知らせ ↗WASABI SWITCH 購入者向け案内 ↗

いますぐできること

  • 店舗を名乗り「商品の品切れ」「返金手続き」を理由にLINEへ誘導したり、クレジットカード情報や口座番号の入力を求めたりする連絡には絶対に応じないでください。
  • 心当たりのない連絡を受けた場合は、記載されたリンクを開かず、公式の問い合わせ窓口へ直接確認してください。

何が起きたのか

2026年10月14日、BuySellグループ各社が利用している外部の受注管理システム「WASABI SWITCH」（株式会社ワサビ提供）に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生しました。その後、実際の注文情報を悪用して「商品が品切れになったため返金する」と騙り、LINEへ誘導してクレジットカード情報を聞き出そうとする不審なメールが購入者に届く事態が発生しました。さらに10月16日以降にも管理画面への不正ログインが行われ、登録されていたメール情報が悪用されて店舗の正規アドレスから不審メールが送信されるなどの被害が確認されました。

なぜ起きたのか・なぜ広がったのか

システムのテンプレート機能に存在したPHPプログラムの実行機能が悪用されて最初の侵入を許しました。さらに、事前に流出していた管理者パスワードを使って別の経路からも管理画面へ侵入され、不正なプログラムの設置やデータ窃取が行われました。

いまの状況2026-10-29 時点続報待ち

システムの提供元は10月18日夜に侵入経路の遮断を完了し、PHP機能の停止、全パスワードの強制変更、2段階認証の導入、登録情報の暗号化などの対策を実施しました。BuySellグループでは対象者への連絡と専用電話窓口（0120-915-164）による対応を行っています。

企業として考えたいこと

自社が利用している外部サービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けた際、自社の顧客に対して正確な注文内容を使った詐欺連絡が行われるリスクを想定し、迅速な注意喚起と窓口対応ができる準備は整っていますか？

技術的な要約

株式会社BuySell Technologiesおよびグループ会社は2026年10月29日、利用する外部受注管理システム「WASABI SWITCH」（株式会社ワサビ提供）への第三者による不正アクセスにより、顧客の注文情報1,369件および顧客情報224件が漏えいしたことを公表した。WASABI SWITCHでは2026年10月14日にテンプレートエンジンのPHP機能を悪用した侵入が発生したほか、10月16日以降にも流出した管理者パスワードによる不正ログインとマルウェア設置が確認されていた。流出した実際の注文情報が悪用され、商品の品切れを口実に返金を装って外部チャットツール（LINE）へ誘導し、クレジットカード情報等を詐取しようとする不審メールの送信被害が確認されている。なお、WASABI SWITCH内にはクレジットカード情報が保持されていないため、同システムからのカード情報流出はないと説明されている。提供元のワサビは侵入経路の遮断や全アカウントのパスワード強制変更・多要素認証の導入などの対策を実施し、BuySellグループは対象顧客への個別連絡や専用問い合わせ窓口の設置などの対応を行っている。

侵入
2026-10-14
被害発生
2026-10-14
検知
2026-10-15
第1報公表
2026-10-19
最新続報
2026-10-29
侵入 → 検知
1日
侵入日から算出
検知 → 公表
4日
データ（上限）
1,593件
確定 1,593
波及先
—

攻撃の分類

侵入口
委託先経由公表で確認
BuySell Technologiesグループが利用する外部のEC受注管理システム「WASABI SWITCH」（株式会社ワサビ提供）への不正アクセス。WASABI SWITCH側ではテンプレートエンジンのPHP機能の悪用による侵入や、流出していた管理者パスワードを用いた管理画面への不正ログインが発生した。
脆弱性
CVE 非公表公表で確認
WASABI SWITCH（テンプレートエンジン）
テンプレートエンジンのPHP機能が悪用された。株式会社ワサビによりコンテンツテンプレートでPHPを利用できないよう仕様変更および修正が実施された。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1078 Valid AccountsT1566 Phishing

影響

業務停止
なし BuySell Technologies本体における中核業務の停止は確認されていない。
データ
確定上限 1,593確定 1,593件
氏名住所電話メール会員ID購入履歴業務データその他
株式会社BuySell Technologiesおよびグループ会社（DelightZ、REGATE、日晃堂）において、注文情報1,369件（氏名、住所、電話番号、メールアドレス、会員ID、支払方法、合計金額、注文作成日時等）および顧客情報224件（氏名、フリガナ、電話番号、メールアドレス）の漏えいを確認。両区分には重複の可能性があり、合算して1,593人と判断することはできない。WASABI SWITCH内にクレジットカード情報は保持されていないため、クレジットカード情報は流出対象に含まれない。
波及先
—
  • 流出した実際の注文情報（注文日時、商品名、金額、届け先等）を悪用し、商品の品切れを口実として返金案内を装い外部チャットツール（LINE）へ誘導し、クレジットカード情報や口座情報の入力を求める不審メールが確認された。
金銭影響
—
サプライチェーン
株式会社ワサビが提供する外部のEC受注管理サービス「WASABI SWITCH」が不正アクセスを受け、同サービスを利用していたBuySell Technologiesグループ各社の注文情報および顧客情報が漏えいした。

時系列

  1. 2026-10-14
    株式会社ワサビが提供するEC管理システム「WASABI SWITCH」に第三者による不正アクセスが発生し、利用店舗の注文情報などが流出する。3412
  2. 2026-10-15
    WASABI SWITCH利用店舗より、購入者に返金手続きを装いLINEへ誘導する不審なメールが届いているとの連絡があり調査を開始する。312
  3. 2026-10-16 03:00
    WASABI SWITCHの一部店舗管理画面への不正ログインと不正プログラムの設置を確認し、別の原因による不正アクセスとして特定・対策を進める。31112
  4. 2026-10-16
    株式会社ワサビが「WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告」第1報を公表する。3812
  5. 2026-10-17 13:25
    流出した管理者パスワードを用いた複数店舗への不正ログインが発生し、不正プログラムの設置ならびに10月17日の注文データと店舗メールアカウント情報が窃取される。11
  6. 2026-10-17 20:08
    株式会社ワサビが緊急第3報を公表し、別経路による不正ログインの発生および登録メールアカウント悪用による店舗正規アドレスからの不審メール送信を報告する。811
  7. 2026-10-18 13:01
    株式会社ワサビが第4報を公表し、取引情報データの一時削除、登録情報の暗号化予定、多要素認証導入を案内する。78
  8. 2026-10-18 18:29
    WASABI SWITCHにおいて不正アクセスに悪用されていたテンプレートエンジンのPHP機能を利用できないよう仕様を変更する。7
  9. 2026-10-18 20:30
    株式会社ワサビが不正アクセスの侵入経路の遮断を完了し、全アカウントのパスワード強制変更およびメールによる2段階認証を設定する。57
  10. 2026-10-18
    株式会社ワサビが個人情報保護法に基づき、個人情報保護委員会へ速報を提出する。7
  11. 2026-10-19 17:00
    株式会社BuySell Technologiesが、利用する外部受注管理システムへの不正アクセスに伴う不審メール（返金案内・LINE誘導）への注意喚起を公表する。2
  12. 2026-10-25
    株式会社ワサビが外部専門会社の調査結果に基づきデータベース上で条件を再現・照合し、利用店舗への個別の案内を完了する。579
  13. 2026-10-29
    株式会社BuySell Technologiesおよびグループ3社が連名で、WASABI SWITCHへの不正アクセスによる注文情報1,369件および顧客情報224件の漏えいに関するお知らせとお詫びを公表する。129

技術解説

侵入と再侵入および二次被害に至る事実経過 事実

株式会社ワサビが提供するEC受注管理システム「WASABI SWITCH」において、2026年10月14日にテンプレートエンジンのPHP機能が悪用され、外部からの不正アクセスと注文情報の流出が発生した。翌15日には購入者へ返金手続きを装いLINEアカウントへ誘導する不審メールが確認された。ワサビはマルウェア削除や侵入経路の遮断を進めたが、10月16日および17日に、別経路で流出していた管理者パスワードを用いた管理画面への不正ログインと不正プログラムの設置が確認された。この再侵入により10月17日の注文データの一部と店舗のメールアカウント情報が窃取され、店舗の正規メールアドレスから不審メールが送信される事態も発生した。BuySell Technologiesグループでは、注文情報1,369件および顧客情報224件の漏えいが確認された。なお、WASABI SWITCH内にはクレジットカード情報が保持されておらず、カード情報の流出は確認されていない。

正規アカウントと実データの悪用による詐欺の巧妙化 解釈

本事案における大きな特徴は、窃取された情報が直ちに精巧な金銭詐欺へ転用された点にある。攻撃者は漏えいさせた実際の注文日時、商品名、購入金額、送付先などを記載し、品切れによる返金を名目に外部チャットツール（LINE）へ誘導した。顧客から見れば、直近に購入した正確な注文内容が記載されているため、偽の案内と見抜くことが極めて困難である。さらに、10月17日の再侵入ではシステムに保存されていたメールアカウント情報が窃取され、店舗の正規メールアドレスから不審メールが送信された。送信元ドメインやアドレスの真正性に依存したフィッシング対策（SPF/DKIM/DMARCの検証など）をすり抜ける形となり、受信者が正規の連絡と誤認する危険性を大きく高めた。実業務データと正規インフラの組み合わせによる攻撃は、単なる迷惑メール遮断フィルタでは防ぎきれない深刻な脅威となった。

複数モール一元管理SaaSに潜む集中リスクと認証基盤の課題 解釈

EC事業者が複数モールへの出品や受注を一括処理するために利用する統合SaaSは、多数のモール認証情報や顧客データを集約して保持するため、攻撃者にとって極めて魅力的な標的となる。本件では、テンプレートエンジンにおける危険なコード実行機能の存在に加え、システム内に保存されていたSMTP等の接続情報が当初平文に近い形で保持されていたこと、管理者アカウントへの多要素認証（MFA）適用が後手に回っていたことが被害の連鎖を招いた要因と考えられる。最初の侵入経路を塞いでも、流出した認証情報によって別経路から容易に再侵入を許した点は、単一の防御策だけでなく、アカウントの強制無効化やセッション切断、保存データの暗号化といった包括的な侵害後対応の重要性を浮き彫りにしている。

対応

封じ込め
提供元の株式会社ワサビにおいて2026年10月18日20時30分に侵入経路の遮断が完了。設置されたマルウェアの削除、テンプレートエンジンにおけるPHP利用停止、全アカウントのパスワード強制変更と2段階認証の導入、登録情報の暗号化保管、ペネトレーションテストが実施された。
公表の仕方
BuySell Technologiesは2026年10月19日に不審メールへの注意喚起を行い、10月29日にグループ3社（DelightZ、REGATE、日晃堂）との共同で注文情報1,369件と顧客情報224件の漏えい確認を公表した。漏えいが確認された対象者への個別メール連絡および専用フリーダイヤル窓口（0120-915-164）を開設して対応した。
当局対応
  • 個人情報保護委員会

教訓と対策

教訓具体的な対策
テンプレートエンジンやCMSにおける危険なスクリプト実行機能の排除コンテンツテンプレート等のユーザー入力や設定において、PHPなどのサーバーサイドスクリプト実行を許可しない設計を徹底し、安全なテンプレートエンジン構成（サンドボックス化や評価機能の制限）を適用する。
管理画面に対する多要素認証（MFA）の義務化とセッション無効化EC管理システムなどの重要情報を扱う管理画面ではパスワード認証単体に依存せず、多要素認証（TOTPやハードウェアキー等）を必須化する。また侵害が疑われた際は全セッションの破棄とパスワード強制リセットを即時に実行する。
外部接続認証情報（APIキー、SMTP/POPパスワード）の暗号化保管システム内に保持するメールアカウントパスワードやECモールAPIキーなどのシークレット情報は、平文ではなくエンベロープ暗号化やKMS（鍵管理サービス）を用いて暗号化し、侵害時の水平展開やなりすまし送信を防止する。
サプライチェーンインシデントにおける影響範囲特定と注意喚起の迅速化委託先SaaSでインシデントが発生した場合に備え、SaaS側と連携して対象テナント・取引データの抽出手順をあらかじめ定め、不審な連絡手口（LINE誘導や返金詐欺）を迅速に顧客へ周知し専用窓口を設ける。

自組織などでの確認項目

  1. 自社が導入しているEC管理システムやWebアプリケーションのテンプレート機能において、サーバーサイドコード（PHPやテンプレートタグ等）が意図せず実行可能な状態になっていないか？
  2. 管理画面や社内システムのアカウントにおいて、MFA（多要素認証）が必須化されているか、また侵害発生時に全ユーザーの認証情報を一括リセットできる運用体制があるか？
  3. システム内に保存している外部サービス連携用の認証情報（SMTPパスワード、APIトークン等）が適切に暗号化されて保管されているか？

未解明点

  • 10月16日および17日に悪用された管理者パスワードが、10月14日の侵入時に抜き取られたものか、あるいはそれ以前の別経路から漏えいしていたものなのかの経緯。

出典

  1. 1
  2. 2
    株式会社BuySell Technologies（バイセルテクノロジーズ）
    株式会社BuySell Technologies2026-10-29公式本文確認済
  3. 3
  4. 4
  5. 5
    購入者様へ | WASABI SWITCH
    株式会社ワサビ2026-10-26公式本文確認済
  6. 6
    被害のご相談・不正利用の相談窓口 | WASABI SWITCH
    株式会社ワサビ2026-11-01公式本文確認済
  7. 7
    不正アクセスに関する調査結果・対応状況 | WASABI SWITCH
    株式会社ワサビ2026-11-01公式本文確認済
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
    WASABI SWITCHへの不正アクセスに関するお知らせ | YOCHIKA BLOG
    株式会社よちか2026-10-19公式本文確認済