山元紙包装社「パッケージショップJP」への不正アクセス（カード情報最大1,395人・個人情報最大3,973人）
公表日
通販サイト「パッケージショップJP」で、カード情報が最大1,395人分、個人情報が最大3,973人分漏れた可能性があると発表されました。流出が確定した人数は示されていません。
対象者は？
2021年6月4日〜2025年1月17日に同サイトでクレジットカード決済を利用した顧客が対象です。個人情報（メールアドレス、パスワード、電話番号）は最大3,973人分、カード情報（カード番号、名義人名、有効期限、セキュリティコード）は最大1,395人分の可能性があります。これら以外の情報は公表されていません。
対象となる可能性のある方には、2026年1月28日からメールと書面で個別に連絡が始まっています。カードの利用明細（楽天カードは楽天e-NAVI、セゾンカードはNetアンサー）でも確認できます。
いますぐできること
- カードの利用明細を見て、身に覚えのない請求がないか確認する。
- 不審な請求があれば、すぐにカード会社へ連絡する。
- カード会社から差し替えの案内が来たら、案内に従って手続きする。楽天カードは手数料がかからないとしている。
- 同社サイトと同じパスワードを他のサービスでも使っている場合は、変更を検討する。
何が起きたのか
2025年9月5日、一部のカード会社から山元紙包装社に、カード情報が漏れた心配があるとの連絡がありました。同社は同じ日にカード決済を止め、外部の専門機関に調査を頼みました。9月9日には個人情報保護委員会へ報告し、警察へ被害を申告しました。調査は9月17日に終わり、カード情報の漏えいと一部での不正利用の可能性が確認されました。2026年1月28日に、個人情報3,973件とカード情報1,395件が漏れた可能性があると発表されました。
なぜ起きたのか・なぜ広がったのか
同社は、サイトの仕組みの一部にあった弱点を突かれて不正にアクセスされ、カード決済に関わる機能を書き換えられたことが原因としています。弱点の種類や製品名は発表されていません。公表まで時間がかかった理由について、同社は、確かでない情報を出すと混乱するおそれがあり、調査結果とカード会社との連携を待ったためと説明しています。
いまの状況2026-02-16 時点続報待ち
2026年2月16日時点の情報では、同社のサイトでカード決済は止まったままで、再開は改修後に決めて告知するとしています。同社はカード会社と協力して、漏れた可能性のあるカードの取引を見守っています。再発防止の具体的な内容や、その後の再開状況はまだ発表されていません。
企業として考えたいこと
もし自社の通販サイトの決済ページが書き換えられたら、誰がどうやって気づき、何時間以内に決済を止められるでしょうか。
技術的な要約
株式会社山元紙包装社は2026年1月28日、運営するECサイト「パッケージショップJP」が第三者による不正アクセスを受け、顧客の個人情報3,973件とクレジットカード情報1,395件が漏えいした可能性があると発表した。2025年9月5日に一部のカード会社から漏えい懸念の連絡を受け、同日中にカード決済を停止して第三者調査機関による調査を開始し、同月17日に調査が完了した。原因は、サイトシステムの一部の脆弱性を突いた不正アクセスによるペイメントアプリケーション（決済関連機能）の改ざんとされ、製品名やCVEは公表されていない。対象は2021年6月4日〜2025年1月17日にカード決済を利用した顧客で、一部で不正利用の可能性も確認されている。個人情報保護委員会への報告と警察への被害申告は2025年9月9日に実施済みで、サイトの再開時期は改修後に決定次第告知するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者同社は「サイトシステムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーション（決済関連機能）の改ざんが行われた」としている。脆弱性の対象製品・種別・侵入経路の詳細は公表されていない。
- 脆弱性
- CVE 非公表報道・研究者サイトシステムの一部の脆弱性が悪用されたとされるが、製品名・CVEは本文に記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年9月5日にサイトでのカード決済を停止。サイトの再開時期は改修後に決定次第Webサイトで告知するとしている。期間：2025-09-05のカード決済停止以降、再開時期は未定（2026-01-28の発表時点）
- データ
- おそれ上限 3,973確定 —人メール電話クレカ氏名その他個人情報の漏えい可能性は、2021年6月4日〜2025年1月17日にカード決済を利用した顧客3,973人（メールアドレス、パスワード、電話番号）。カード情報は同期間にカード決済をした顧客1,395人（カード番号、名義人名、有効期限、セキュリティコード）。発表の表記は件数と人数が混在している。パスワードの保管形式は公表されていない。一部で不正利用の可能性が確認されているが、流出確定件数は示されていない。
- 波及先
- —
- 楽天カード（会員への注意喚起・カード差し替え案内）
- クレディセゾン（不審な売上の有無を確認中、会員へ利用明細確認を案内）
- 金銭影響
- カード差し替えを希望する顧客のカード再発行手数料が顧客負担にならないよう、同社からカード会社へ依頼している。楽天カードは差し替え手数料は発生しないとしている。金額の公表は facts にない。
- サプライチェーン
- —
時系列
- 2021-06-04漏えい可能性の対象期間の開始（この日以降にカード決済を利用した顧客が対象）。1
- 2025-01-17漏えい可能性の対象期間の終了。1
- 2025-09-05
- 2025-09-05
- 2025-09-09個人情報保護委員会への報告と警察への被害申告を実施。1
- 2025-09-17
- 2025-09同社が「パッケージショップ.jp」への不正アクセスを発表（初報）。カード決済機能を停止している旨が報じられた。2
- 2026-01-28
- 2026-01-28クレディセゾンが、カード会員に利用明細の確認を求める案内を公表し、不審な売上の有無を確認中とした。6
- 2026-01-29楽天カードが、会員への利用明細確認の依頼とカード差し替え案内を公表。5
- 2026-02-16
技術解説
公表された被害の範囲と数字の読み方 事実
山元紙包装社は2026年1月28日、ECサイト「パッケージショップJP」への不正アクセスにより、個人情報3,973件とクレジットカード情報1,395件が漏えいした可能性があると発表した。報道によれば、個人情報の対象は2021年6月4日〜2025年1月17日にカード決済を利用した顧客3,973人で、メールアドレス、パスワード、電話番号が含まれる。カード情報の対象は同期間の顧客1,395人で、カード番号、名義人名、有効期限、セキュリティコードが含まれる可能性がある。いずれも「可能性」の数字であり、流出が確定した件数は示されていない。第三者調査では、カード情報の漏えいと一部での不正利用の可能性が確認されたとされる。
検知から公表までの経過と原因の公表内容 事実
同社は2025年9月5日、一部のクレジットカード会社からカード情報漏えい懸念の連絡を受け、同日中にカード決済を停止して第三者調査機関による調査を開始した。個人情報保護委員会への報告と警察への被害申告は9月9日に実施済みで、調査は9月17日に完了した。原因について同社は、サイトシステムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーション（決済関連機能）の改ざんが行われたためとしている。脆弱性の製品名やCVEは報道本文に記載がない。サイトの再開時期は、改修後に決定次第Webサイトで告知するとしている。
カード会社側の対応と利用者への案内 事実
楽天カードは2026年1月29日付の案内で、会員に利用明細の確認を求め、情報漏洩の可能性が高い会員にはメールやSMS等で別途案内する場合があるとした。案内を受けた会員にはカード差し替えを求め、手数料は発生しないとしている。クレディセゾンは2026年1月28日付の案内で、同社発行カードについて本件に起因する不審な売上の有無を確認中とし、過去に同サイトを利用した会員に利用明細の確認を求めた。山元紙包装社も、再発行手数料が顧客負担にならないようカード会社へ依頼していると説明している。
攻撃の構造と公表時期についての見方 解釈
公表内容から読み取る限り、決済関連機能そのものが改ざんされ、入力されたカード情報が取得された型の事案と考えられる。ただし侵入口や脆弱性の詳細は示されておらず、断定はできない。検知の端緒が自社の監視ではなくカード会社からの連絡だった点は、決済ページの改ざんが外部の不正利用の傾向から先に見つかりやすいことを示唆する。また、把握から公表まで約4か月半を要した。同社は不確定情報による混乱の回避と対応準備を理由に挙げており、調査結果とカード会社との連携を待った判断には一定の根拠がある。一方で、その間に利用者が自衛できなかった期間があったことも、公表のあり方を考える論点として残る。
対応
- 封じ込め
- 2025年9月5日にカード決済を停止し、第三者調査機関による調査を開始。カード会社と連携して漏えいの可能性があるカードの取引モニタリングを継続している。セキュリティ対策および監視体制の強化を進める方針で、サイト再開は改修後に決定次第告知するとしている。
- 公表の仕方
- 2026年1月28日に発表し、対象となる可能性のある顧客へ同日からメールおよび書面で個別連絡を開始。把握から公表まで時間を要した理由として、不確定情報の公開が混乱を招く可能性と対応準備の必要性から、調査会社の結果およびカード会社との連携を待って告知する判断をしたと説明している。顧客には利用明細の確認と、不審な請求があればカード会社への連絡を呼びかけ、カード差し替え時の再発行手数料が顧客負担にならないようカード会社へ依頼している。
- 当局対応
- 個人情報保護委員会（2025-09-09 報告済み）
- 警察（2025-09-09 被害申告済み、今後の捜査に協力）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済ページの改ざんは、自社の監視よりカード会社の通報で先に発覚しうる | 決済ページとペイメント関連スクリプトのファイルハッシュを定期比較して改ざんを検知し、CSPとSRIでスクリプト読み込みを制限する。変更検知アラートを運用担当に通知する。 |
| 公開サイトの脆弱性が放置されると決済機能の改ざんにつながる | ECプラットフォームと拡張機能を資産台帳で管理し、公開される脆弱性情報を購読する。重大なパッチは適用期限を定め、定期的に脆弱性診断（Web診断）を実施する。 |
| カード情報を自社サーバで通過・保持しない設計は、漏えい時の影響を小さくする | 決済代行会社のトークン化やリダイレクト／iframe方式（非通過型）へ移行し、自社環境にカード番号やセキュリティコードを残さない。PCI DSSの適用範囲も確認する。 |
| 漏えい懸念を受けた段階で、決済停止とログ保全を即時に行う判断が被害拡大を抑える | カード会社や調査機関への連絡窓口を含むインシデント対応手順書を整備し、決済停止の判断基準と権限者を事前に決めておく。ログとディスクイメージの保全手順も用意する。 |
| 対象期間が長いほど過去の顧客まで影響範囲が広がる | ログと決済データの保持期間を見直し、不要な個人情報は削除する。侵害範囲を特定できるよう、決済アプリの変更履歴と監査ログを長期保管する。 |
自組織などでの確認項目
- 自社のECサイトや決済ページで、スクリプトやファイルが改ざんされたとき、誰がどの手段で何時間以内に気付けるか確認できていますか。
- カード会社など外部から漏えい懸念の連絡を受けた場合、決済停止を判断する権限者と連絡経路が手順書に書かれ、直近で訓練されていますか。
- 自社が保有する顧客のカード情報やパスワードについて、保管の有無・保管形式・保管期間を一覧で説明できますか。
- 調査完了から公表までの間に、顧客へ先に注意喚起をするかどうかの判断基準を、自社で決めていますか。
未解明点
- 悪用された脆弱性の製品名・種類、および侵入口と侵入日は公表されているか。
- パスワードの保管形式（平文かハッシュ化か）は公表されているか。
- 不正利用が確認された件数と、流出が確定した件数は示されるか。
- サイトの再開時期と、再発防止策の具体的な内容はどうなっているか。
- 個人情報の対象人数と、カード情報の対象人数が異なる理由は何か。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-29報道本文確認済
- 2ScanNetSecurity2025-09-30報道本文確認済
- 3ScanNetSecurity2026-02-16報道本文確認済
- 4ScanNetSecurity2026-02-16報道本文確認済
- 5楽天カード株式会社2026-01-29公式本文確認済
- 6クレディセゾン（セゾンカード）2026-01-28公式本文確認済