Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-edion小売・EC最終確認 2026-11-12 12:13

エディオンECサイトへの不正アクセス・改ざん（個人情報最大1.3万件・カード情報最大556回漏洩のおそれ）

公表日

株式会社エディオン
続報あり不正アクセス脆弱性悪用

エディオンのECサイトが外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。と決済処理の改ざんを受け、顧客の個人情報最大1万3,685名分や新規入力されたクレジットカード情報最大556回分などが漏洩した可能性があると公表されました。

対象者は？

2026年11月4日19時以降にPCからECサイトでクレジットカード情報を新規入力した方（最大556回分）、ログイン情報（最大1,141名分）、エラーログに含まれたカード情報（最大5件分）、ギフトカード情報（5,360枚分）、およびログに記録されていた顧客情報（最大1万3,685名分）。スマートフォンからの操作・決済入力は不正プログラムの対象外とされています。

該当する利用者にはエディオンから順次案内やパスワード変更依頼が送信されます。また、心当たりのある方はクレジットカードの利用明細に身に覚えのない請求がないか確認してください。

当社EC サイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ（第1報） ↗当社EC サイトにおける新たに判明した事象と個人情報漏洩の可能性、およびサービス停止に関するお詫びとお知らせ（第2報） ↗

いますぐできること

  • 2026年11月4日19時以降にパソコンからエディオンのECサイトでクレジットカード情報を新規入力した方は、カードの利用明細に不審な請求がないか確認し、心当たりのない取引があれば速やかにカード会社へ連絡してください。
  • エディオンECサイトで利用していたログインIDやパスワードを他のサービスでも使い回している場合は、悪用を防ぐため他サービスのパスワードを速やかに変更してください。
  • エディオンやカード会社を装った不審なメール、SMS、電話に注意し、本文内のリンクを開いたり個人情報を入力したりしないよう警戒してください。

何が起きたのか

エディオンは2026年11月5日にECサイトのサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認し、11月6日に顧客の個人情報が漏洩した可能性があると発表しました。当初はカード情報やパスワードの漏洩はないと説明していましたが、その後の詳細調査で、ECサイトのPC向け決済画面に不正なプログラムが組み込まれる改ざんが行われていたことが判明しました。この不正プログラムは11月4日19時過ぎから稼働しており、新たに入力されたカード情報が盗まれた可能性があるほか、エラーログに一時記録されていたカード情報やログインID・パスワード、ギフトカード情報の漏洩可能性も明らかになりました。エディオンは11月7日22時にECサイトと関連アプリを緊急停止しました。

なぜ起きたのか・なぜ広がったのか

ECサイトサーバーに存在したシステムの脆弱性を突いて外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われ、ログファイル領域が閲覧されたことに加え、PC向け決済情報の入力処理に不正プログラムが組み込まれました。カード情報を自社サーバーに残さない仕組みを採用していたものの、決済入力画面そのものが改ざんされたことで、画面に入力された情報が直接外部へ流出する状態になっていました。さらに、注文時のエラー発生時に例外的にログへカード情報が書き出されていたことも漏洩の要因となりました。

いまの状況2026-11-10 時点続報待ち

エディオンはECサイトを停止継続中（再開時期未定）としています。公式アプリは安全確認を実施したうえで、デジタル会員証やクーポン表示など一部機能に限定して11月8日夜から再開されました。提携カード各社への監視強化依頼や、ログイン情報が漏洩した可能性のある顧客へのパスワード変更案内メールの送信準備を進めています。ギフトカードについてはECサイト停止中であるため漏洩情報のみでの不正利用はできない状態です。個人情報保護委員会や警察への追加報告も進められています。

企業として考えたいこと

自社のWebサイトやECサイトにおいて、カード情報を自社で保持していなくても、決済画面そのものが改ざんされたり、エラーログに機微データが意図せず記録されたりするリスクを防ぐ仕組みは整っていますか？

技術的な要約

家電量販店大手の株式会社エディオンは2026年11月6日、運営するECサイトのサーバーがシステムの脆弱性を突いた不正アクセスを受け、ログファイルに記録されていた顧客の個人情報が漏洩した可能性があると公表した。当初はクレジットカード番号やパスワードの漏洩は確認されていないとしていたが、その後の監視・詳細調査により、ECサイトのPC向け決済情報入力処理に不正プログラムが組み込まれる改ざんが行われていたことが判明した。これにより、11月4日19時過ぎから稼働していた不正プログラムを通じて新規入力されたカード情報最大556回分や、エラーログに一時記録されたカード情報最大5件、ログインIDおよびパスワード最大1,141名分、ギフトカード情報5,360枚などが漏洩した可能性があるとして、同社は11月9日に第2報で内容を訂正した。同社は11月7日22時にECサイトおよび関連アプリを緊急停止し、公式アプリの一部機能を11月8日に限定再開したものの、ECサイトは停止を継続している。

侵入
—
被害発生
2026-11-04 19:00
検知
2026-11-05 18:30
第1報公表
2026-11-06
最新続報
2026-11-10
侵入 → 検知
—
侵入日が非公表
検知 → 公表
1日
データ（上限）
1.4万人
確定 —
波及先
—

攻撃の分類

侵入口
不明
公式発表では「ECサイトを設置しているサーバーに対し、システムの脆弱性を突いた外部からの不正アクセス」と説明されているが、具体的な脆弱性の種別や侵入口は非公表。
脆弱性
CVE 非公表不明
ECサイトサーバー領域に対する「システムの脆弱性を突いた不正アクセス」と公表されているが、具体的な製品名やCVE番号は明らかにされていない。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1056 Input Capture

影響

業務停止
あり 2026年11月7日22時よりECサイト、エディオン公式アプリ、エディオンスマートアプリを緊急停止。アプリは11月8日21時10分よりデジタル会員証やクーポン表示等の一部機能に限定して再開したが、ECサイトは停止を継続しており再開時期は未定。
期間：2026-11-07T22:00:00+09:00〜継続中
データ
おそれ上限 13,685確定 —人
氏名メール電話住所生年月日性別会員IDクレカ購入履歴その他
ログファイルへの不正アクセスにより、複数情報が紐づいた顧客情報最大4,131名および注文関連ログ最大9,554名（重複があるため実数は合算の13,685名を下回る）の漏洩の可能性が判明。さらに第2報において、PC向け決済画面改ざんによるクレジットカード情報最大556回分、エラーログ内のカード情報最大5件、ログインID・パスワード最大1,141名分、エディオンギフトカード情報（番号、PIN、利用履歴）5,360枚の漏洩可能性が判明した。
波及先
—
金銭影響
連結業績への影響は軽微と開示されている。
サプライチェーン
—

時系列

  1. 2026-11-04 19:00
    ECサイト内のPC向け決済情報入力処理に組み込まれた不正プログラムが稼働を開始。346789101314
  2. 2026-11-05 18:30
    エディオンがECサイトを設置しているサーバーへの外部からの不正アクセスおよび顧客個人情報の一部漏洩の可能性を確認。13459101112
  3. 2026-11-06
    エディオンがECサイトへの不正アクセスによる個人情報漏洩の可能性（最大13,685名分）について第1報を公表。個人情報保護委員会へ報告。1235912
  4. 2026-11-07 22:00
    監視・詳細調査により不正プログラムの組み込みが判明したため、被害拡大防止の予防的措置としてECサイト、公式アプリ、スマートアプリを緊急停止。2346789101314
  5. 2026-11-08 21:10
    サーバーやファイル群の総点検を行い安全性を確認したうえで、公式アプリおよびスマートアプリのデジタル会員証・クーポン表示など一部機能を限定再開。346891013
  6. 2026-11-09
    第2報を公表。PC決済処理改ざんによるカード情報最大556回分、エラーログ内のカード情報最大5件、ログインID・パスワード最大1,141名分、ギフトカード5,360枚の漏洩可能性を訂正発表。36891314
  7. 2026-11-09
    提携する各クレジットカード会社へ不正利用モニタリングの強化を依頼し、顧客への利用明細確認の呼びかけや対象者へのパスワード変更案内メール送信を準備。34681013
  8. 2026-11-10
    開示資料において第2報記載のサービス緊急停止日時を「11月7日22時」へ訂正。個人情報保護委員会および所轄警察署への追加報告準備を継続。3681013

技術解説

不正アクセスの認知と第1報から第2報に至る調査の推移 事実

エディオンは2026年11月5日18時30分頃、ECサイトを設置しているサーバーへの外部からの不正アクセスおよび顧客個人情報の漏洩可能性を確認し、翌11月6日に第1報を公表した。この時点では、システムの脆弱性を突かれて侵入されたのはログファイル格納領域の一部であり、顧客データベース本体へのアクセスやクレジットカード番号・パスワードの漏洩は確認されていないとしていた。公表された対象は、複数情報が紐づいたログ最大4,131名、注文情報ログ最大9,554名（重複を除くと13,685名を下回る）であった。しかし、その後の継続監視と詳細解析により、PC向け決済情報入力処理に不正プログラムが組み込まれる改ざんが行われ、11月4日19時過ぎから稼働していたことが判明した。同社は11月7日22時にECサイトと関連アプリを緊急停止し、11月9日の第2報でPC決済改ざんによるカード情報最大556回分、エラーログ内の一時記録カード情報最大5件、ログインID・パスワード最大1,141名分、ギフトカード5,360枚の漏洩可能性を訂正公表した。

カード非保持化環境におけるフォームジャッキングとログ残存リスク 解釈

エディオンはクレジットカード情報の非保持化に対応しており、決済サーバー側にカード情報を恒常的に保持しない運用を行っていた。しかし、攻撃者がWebアプリケーションの決済画面処理そのものを改ざんしたことにより、利用者がブラウザ上で入力した平文のカード番号やセキュリティコードが外部へ直接詐取される「フォームジャッキング（Input Capture）」の脅威に晒された。さらに、通常運用では保持されないはずのカード情報が、注文処理エラー発生時の例外処理によってシステムログへ一時記録されていた実態も判明した。これにより、サーバー侵入を受けた際にエラーログ経由でもカード情報が窃取対象となった。カード情報の非保持化を達成している環境であっても、フロントエンドコードの完全性検証や改ざん検知機構が不足している場合、あるいは例外処理時のマスキングが徹底されていない場合には、機微情報が漏洩するリスクが存在することが浮き彫りとなった。

全面停止判断による被害局所化と段階的な機能再開アプローチ 解釈

第1報時点では安全性が保たれているとの外部評価を受けてECサイトの稼働を継続していたが、詳細調査で不正プログラムの組み込みが発覚した直後の11月7日22時に、ECサイトおよび公式アプリを予防的措置として緊急停止した。この全面停止により、不正プログラムの稼働停止と被害拡大の遮断が図られた。また、スマートフォンからの決済入力は不正プログラムの影響を受けない設計差分があったことや、エディオンギフトカードが店舗利用には原本提示を要する仕様であったこと、新規ログイン時の2段階認証が導入されていたことなど、既存の多層的な制御が実被害の拡大を抑止する要因として機能した。さらに、影響を受けないデジタル会員証やクーポン表示機能に限定してアプリを先行再開（11月8日）させ、中核のEC機能は安全確認が完了するまで停止を維持するなど、利便性とセキュリティ確保のバランスを考慮した段階的対応が取られている。

対応

封じ込め
不正な通信を遮断し、アクセス制御強化等の技術的対策を完了。さらに決済処理改ざんの判明を受けて2026年11月7日22時よりECサイトおよび関連アプリを緊急停止した。提携クレジットカード会社へ不正利用モニタリング強化を依頼し、アプリについては安全性を確認した一部機能のみ再開した。
公表の仕方
2026年11月6日に第1報を公表。詳細調査の進展に伴いカード情報やログイン情報の漏洩可能性が判明したため、11月9日に第2報を公表して第1報の内容を訂正した。PC環境でカード情報を入力した顧客に対して不審な請求がないか利用明細の確認を案内し、ログイン情報漏洩対象者には順次パスワード変更依頼メールを送信する方針を示した。
当局対応
  • 個人情報保護委員会
  • 警察

教訓と対策

教訓具体的な対策
決済画面などの重要処理におけるWeb改ざん検知・完全性監視の自動化Webサーバー上のファイル整合性監視（FIM）ツールを常時稼働させ、フロントエンド資材へのスクリプト挿入や予期せぬ改ざんを即時に検知・ロールバックする体制を整備する。また、外部送信先を制限するContent Security Policy（CSP）やサブリソース完全性（SRI）を設定し、ブラウザ側からの不正送信を抑止する。
エラー処理およびシステムログ出力時の機微データ完全マスキング注文画面等のエラーハンドリング処理において、例外発生時であってもカード番号やセキュリティコード、パスワード等の高機微データがログ出力ストリームに渡らないよう、アプリケーションフレームワーク層で包括的なサニタイズ・マスキングフィルターを強制適用する。
公開Webサーバー上のログ格納領域に対する厳格なアクセス制御と分離ログファイルが保存されるディレクトリへのWeb公開経由の直接アクセスをWebサーバー設定やWAFで遮断し、ログ収集エージェントを介して非公開の独立したログ基盤やSIEMへ安全に転送・退避して公開環境上に生ログを残さない構成をとる。
インシデント初動におけるフォレンジック調査範囲の網羅的確認不正アクセス検知直後にログ領域単体の調査にとどまらず、Webアプリケーション資材のハッシュ値比較や決済処理ロジックの改ざん有無の点検を初動手順に組み込み、第1報公表前の段階で侵害範囲を包括的に評価する。

自組織などでの確認項目

  1. 自社のECサイトや問い合わせフォームにおいて、JavaScriptや入力画面の処理が不正に改ざんされた場合、それを即座に検知して遮断できる監視・防御の仕組みが導入されているか。
  2. 例外処理やシステムエラーが発生した際、デバッグログやエラーログにクレジットカード番号や平文パスワードなどの機微情報が誤って出力されないよう、コードレビューや自動検査が実施されているか。
  3. 外部公開サーバー上に置かれた各種ログファイルや一時ファイルへのアクセス権限は最小限に設定され、外部からの脆弱性悪用で閲覧・窃取されない構成になっているか。

未解明点

  • ログファイル格納領域への侵入に悪用された「システムの脆弱性」の具体的な種別やソフトウェア製品、およびPC決済処理に不正プログラムを組み込む管理者権限やアクセス経路がどのように取得されたのかは明らかにされていない。
  • 不正プログラム稼働期間中にPCから新規入力された最大556回分のクレジットカード情報について、実際に第三者による不正利用被害が発生したかどうかの最終的な確定状況。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14