株式会社ディーエイチシーのオンラインショップへの不正アクセス（会員情報約5,000件の改ざん等）
公表日
株式会社ディーエイチシーのオンラインショップが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、5,096アカウントの会員情報が書き換えられたほか、不審な注文27件が確認されました。
対象者は？
DHCオンラインショップで会員登録情報が書き換えられた5,096アカウント（お届け先住所最大数5,520件）の利用者。氏名、住所、電話番号、購入履歴、クレジットカード番号の下4桁が第三者に閲覧された可能性があります。クレジットカード番号の全桁は保持されておらず、外部への持ち出しは確認されていません。
対象となる利用者には、DHCから個別に連絡が行われる予定です。また、身に覚えのない配送通知や注文確認メールが届いていないか確認してください。
いますぐできること
- DHCオンラインショップのパスワードを変更し、他サイトと同じパスワードを使い回している場合はそれらも変更する。
- マイページにログインし、登録されているお届け先情報や注文履歴に身に覚えのない変更がないか確認する。
- DHCをかたる不審なメールやSMSに注意し、記載されたリンクを安易に開かないよう警戒する。
何が起きたのか
2026年10月28日、DHCのオンラインショップで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。と会員情報の改ざんが確認されました。調査の結果、5,096アカウントで登録情報が書き換えられ、不審な注文27件や不正な新規会員登録71件が行われていたことが判明しました。DHCは通信遮断や脆弱性の修正を行い、書き換えられた情報の復元と不審な注文のキャンセルを実施しました。
なぜ起きたのか・なぜ広がったのか
システムの脆弱性を突かれたと報じられていますが、具体的にどのような脆弱性が悪用されたのかについては公表されていません。
いまの状況2026-10-30 時点続報待ち
書き換えられた顧客情報はすでに復元され、不正な注文や新規登録は取り消されています。現時点で情報の外部持ち出しや二次被害は確認されておらず、DHCは個人情報保護委員会へ報告のうえ、対象の利用者に個別連絡を進めています。
企業として考えたいこと
自社の会員サービスで登録住所が突然変更されたり、短時間に大量の新規登録や不審な注文が入ったりした際、出荷前に自動で異常を検知・停止できる仕組みは整っていますか？
技術的な要約
株式会社ディーエイチシーは2026年10月30日、自社の公式オンラインショップが第三者による不正アクセスを受け、会員情報が書き換えられる被害が発生したと発表した。2026年10月28日に不正アクセスを確認し、調査の結果、5,096アカウント（お届け先住所最大数5,520件）で登録情報が書き換えられ、氏名や住所、電話番号、購入履歴、クレジットカード番号下4桁などが閲覧された可能性があることが判明した。また、不審な商品注文27件や不正な新規会員登録71件も確認された。同社は不正アクセス元の通信遮断、システムの脆弱性修正、不正登録アカウントの無効化、書き換えられた会員情報の復元を実施した。現時点で顧客情報が外部に持ち出された形跡や二次被害は確認されておらず、個人情報保護委員会への報告および対象顧客への個別連絡を進めている。
攻撃の分類
- 侵入口
- 不明公式発表では不正利用された脆弱性への対処が言及されているが、具体的な製品名や侵入経路の種別は公表されていない（報道では「システムの脆弱性を突かれたとみられ」と記載）。
- 脆弱性
- CVE 非公表不明システムの脆弱性を悪用されたと報じられ、不正利用された脆弱性への対処が実施されたが、具体的な脆弱性識別子や製品名は非公表。
- 攻撃者
- The Gentlemen 被害組織は認めていない2026年7月および8月にランサムウェアグループ「The Gentlemen」のリークサイトにDHCのエントリーが掲載されたことがセキュリティ研究者により確認されているが、公式な発表や被害認定はない。
- ATT&CK
影響
- 業務停止
- なし オンラインショップの中核業務停止は確認されていないが、不審な商品注文27件のキャンセルおよび不正な新規会員登録71件の取り消しが行われた。
- データ
- 確定上限 5,520確定 5,096アカウント会員ID氏名住所電話番号購入履歴クレカ第三者による会員情報の書き換えが5,096アカウント（お届け先住所最大数5,520件）で確認された。閲覧された可能性がある情報は会員番号、お届け先情報（氏名、住所、電話番号）、購入履歴、クレジットカード番号の下4桁。なお、同社は決済に必要なクレジットカード番号の全桁は保持しておらず、情報の外部持ち出しの形跡は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
被害規模と公表された対応事実 事実
株式会社ディーエイチシー（DHC）の発表および報道によると、2026年10月28日に自社オンラインショップにおいて第三者による不正アクセスおよび会員情報の改ざんが確認された。調査の結果、5,096アカウント（お届け先住所最大数5,520件）において登録情報の書き換え被害が発生した。第三者に閲覧された可能性がある情報には、会員番号、お届け先情報（氏名、住所、電話番号）、購入履歴、クレジットカード番号の下4桁が含まれる。また、不正アクセスに伴い、明らかに不審な商品注文27件や不正が疑われる新規会員登録71件が確認された。同社はクレジットカード番号の全桁を保持しておらず、公表時点において顧客情報が外部に持ち出された形跡や二次被害は確認されていない。同社は通信遮断、脆弱性への対処、不正登録アカウントの無効化、書き換えられた会員情報の復元、不審注文のキャンセルを実施し、個人情報保護委員会へ報告を行った。
改ざんと不正注文を伴う攻撃手口の分析 解釈
一般的なECサイトを標的とした不正アクセス事案では、個人情報の窃取（持ち出し）やクレジットカード情報の不正取得・決済詐欺が主目的となる例が多い。しかし本件では、5,096アカウントにおける会員情報の書き換えに加え、新規会員登録71件や不審な商品注文27件が発生している点が特徴的である。攻撃者は登録されたアカウントの配送先情報を改ざんして不正に商品を注文・詐取しようとしたか、アカウント乗っ取りを通じて転売や不正決済を試みた可能性が推測される。また、発表や報道において「システムの脆弱性を突かれた」「不正利用された脆弱性への対処」と表現されていることから、パスワードリスト攻撃等の単純な認証情報流用にとどまらず、Webアプリケーションや関連システムの脆弱性を悪用して内部データへ直接介入された疑いがある。情報持ち出しが確認されていない点からも、不正注文の成立を狙った即物的な犯行であった可能性が考えられる。
外部脅威情報との関連性と公表範囲における未解明点 解釈
セキュリティ研究者の調査により、本件が公表される前の2026年7月および8月に、ランサムウェアグループ「The Gentlemen」のリークサイト上にDHCの名称が複数回掲載され、カウントダウンが行われていたことが報告されている。しかし、DHC公式からはランサムウェア被害や二重脅迫に関する発表は行われておらず、外部の主張と今回のオンラインショップへの不正アクセス事象との直接的な因果関係は公表情報からは確認できない。また、オンラインショップへの攻撃で悪用された脆弱性の具体的なソフトウェア名、CVE識別子、侵入経路、あるいは社内ネットワークとの横断的な侵害の有無など、技術的詳細は明らかにされていない。外部リーク情報による評判リスクと自社システムへの実害を切り分けたうえで、ECサイトと社内インフラ双方の包括的なセキュリティ監査と監視の継続が求められる。
対応
- 封じ込め
- 不正アクセス元からの通信遮断、不正利用されたシステムの脆弱性への対処、不正に登録されたアカウントの無効化、書き換えられた会員情報の復元を実施した。また、不審な商品注文27件のキャンセルおよび不正な新規会員登録71件の取り消しを行い、継続したアクセス監視を行っている。
- 公表の仕方
- 2026年10月30日に公式Webサイトにて「当社オンラインショップへの不正アクセスに関するお詫びとお知らせ」を公表した。該当する顧客には個別に連絡を予定しており、不審なメール等への注意を呼びかけている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員情報の改ざんや配送先の急激な変更を検知する整合性監視 | 会員の住所・電話番号変更などのプロファイル更新処理において、短期間での大量変更や不審なIPアドレスからのアクセスをトリガーとするアラート検知を組み込み、配送先変更直後の高額注文や不審注文を自動で保留（ホールド）する業務ルールをシステムへ実装する。 |
| ECサイトにおけるボット・自動化攻撃対策と注文バリデーション | 新規会員登録や注文エンドポイントに対してレートリミットを適用し、reCAPTCHA等のボット対策ツールを導入して、短時間での連続登録や異常な買い占め行動を自動遮断する仕組みを整備する。 |
| クレジットカード情報の非保持化と表示情報のマスキング徹底 | 決済トークン決済や外部決済代行サービスの画面遷移型を導入してカード番号全桁を自社環境で保持しない構成を維持し、下4桁のみの表示など漏えい時の被害インパクトを極小化するデータ設計を継続する。 |
| Webアプリケーション脆弱性の迅速なパッチ適用とWAFによる保護 | 公開ECシステムに利用されているミドルウェアやアプリケーションの既知脆弱性を定期的にスキャンし、修正パッチが提供された場合は検証・適用を迅速化するとともに、ゼロデイ脆弱性に対してはWAFのシグネチャによる仮想パッチで迅速に保護する運用体制を構築する。 |
自組織などでの確認項目
- 自社のWebサービスやECサイトにおいて、会員情報の書き換えや配送先変更が短時間に大量発生した場合、異常を即座に検知・アラート通知する仕組みはあるか。
- 短期間での連続した新規会員登録や不審な注文パターンに対して、自動で取引を保留・キャンセルできる不正注文検知システムやレートリミットが導入されているか。
- 自社が利用する公開WebサーバーやECアプリケーションに脆弱性が発見された際、WAFルール適用や緊急修正パッチの適用を即日実施できる運用フローが整っているか。
未解明点
- 不正アクセスに悪用された脆弱性の具体的な製品名や識別子（CVE等）および侵入経路は何であったか。
- 2026年7月および8月にランサムウェアグループ「The Gentlemen」のリークサイトへDHC名義のエントリーが掲載されていた事象と、今回のオンラインショップ不正アクセスとの間に関連性はあるか。
出典
- 1四国新聞社2026-10-30報道本文確認済
- 2四国新聞社2026-10-30T17:40+09:00報道本文確認済
- 3株式会社ディーエイチシー2026-10-30公式本文確認済
- 4ネット探検ラボ2026-07-06研究者本文確認済
- 5ネット探検ラボ2026-08-08研究者本文確認済
- 6共同通信 / Yahoo!ニュース報道本文確認済
- 7日本ネット経済新聞2026-10-30報道本文確認済
- 8共同通信2026-10-30報道本文確認済
- 9北日本新聞社2026-10-30報道本文確認済
- 10中日新聞Web2026-10-30報道本文確認済
- 11デイリースポーツ online2026-10-30報道本文確認済
- 12日本経済新聞2026-10-30報道本文確認済
- 13共同通信社2026-10-30報道本文確認済