まんだらけ通販・オークションサーバへの不正アクセス（通販注文者の個人情報漏えいのおそれ、サイト停止約9〜11日）
公表日
まんだらけのサーバーが2026年8月27日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、8月28日6時までに通販で注文した人の氏名・住所・電話番号・メールアドレスが漏れたおそれがあります。対象人数は公表されておらず、通販サイトは9月5日、オークションサイトは9月7日まで止まりました。
対象者は？
2026年8月28日6時までにまんだらけの通販で注文した人が対象です。対象となる情報は、注文時の氏名・住所・電話番号・メールアドレスです。いつからの注文が対象か、何人が対象かは公表されていません。クレジットカード情報（会社が保持していない）、会員のパスワード、買取会員の情報、宅配買取のID・パスワード・振込先口座、店頭買取・オークション委託・落札者・委託者の情報は対象外とされています。
2026年8月28日6時までにまんだらけの通販で注文したことがあるかを、注文確認メールなどで確かめてください。対象範囲や最新の情報は、公式のお知らせページで確認できます。
いますぐできること
- まんだらけや関係者を名乗る不審なメール・電話・SMSが届いても、リンクを開いたり個人情報を答えたりしないでください。
- 2026年8月28日6時までにまんだらけの通販で注文したことがあるか、注文確認メールなどで確かめてください。
- 大オークションに参加した人は、入金期限が10月15日まで延びたことを確認してください。
何が起きたのか
2026年8月27日の夜11時ごろ、まんだらけは自社のサーバーに外部から不正に入られたことに気づき、すぐに関係するサーバーを止めました。8月30日に国の個人情報保護委員会へ報告し、警察に被害届を出して、利用者へのお知らせを出しました。この影響で通販サイトとオークションサイトが使えなくなり、9月1日から予定していた「大オークション大会」は延期されました。9月4日の中間報告では、配送のための情報が入ったサーバーに侵入されたことが確認されたと説明されました。
なぜ起きたのか・なぜ広がったのか
どこから、どのような方法で侵入されたのか、誰の仕業なのかは発表されていません。9月4日の中間報告では、配送情報を持つサーバーに侵入されたことが確認されたと説明されています。
いまの状況2026-09-07 時点続報待ち
通販サイトは9月5日、オークションサイトは9月7日に再開しました。これまでの調査では、データベースの中の個人情報を実際に見たり持ち出したりした記録は確認されていません。侵入されたサーバーは新しい環境で作り直され、外部との通信の制限やアクセス権限の見直しも行われました。不審なメールや電話と今回の件との関係は確認されていません。最終報告や補償については、まだ発表されていません。
企業として考えたいこと
もし自社のサーバーに侵入されたら、「どの顧客の、いつからいつまでの情報が対象か」を記録から何日で特定し、利用者に説明できるでしょうか。
技術的な要約
まんだらけは2026年8月27日23時ごろ、同社サーバーへの不正アクセスを確認し、個人情報漏えいの可能性があるとして関係サーバーを停止した。漏えいのおそれがあるのは、2026年8月28日6時までに注文した顧客の注文時の氏名・住所・電話番号・メールアドレスで、対象人数と注文期間の始点は公表されていない。8月30日に個人情報保護委員会へ報告し、警察へ被害届を提出した。9月4日の中間報告では配送情報を保有するサーバーへの侵入を確認したが、データベース内の個人情報を閲覧・取得した記録は確認されていないとした。クレジットカード情報は非保持で、会員パスワードや買取会員情報の漏えいはないとされる。通販サイトは9月5日、オークションサイトは9月7日に再開し、侵入経路や攻撃者は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。9月4日の中間報告で配送情報を保有するサーバーへの侵入を確認したと説明されているが、侵入口は示されていない。
- 脆弱性
- CVE 非公表不明脆弱性・製品名・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 通販サイトとオークションサイトが停止した。大オークション大会は延期され、毎日オークションは停止期間中に落札日を迎える商品を9月7日以降へ延長した。通販の入金期限が停止期間中に迫る注文は復旧後に5日以内で再設定する案内が出た。大オークションは9月7日公開・9月9日落札開始、入金期限は10月15日に延長された。期間：2026-08-27の関係サーバー停止から、通販は9月5日、オークションは9月7日の再開まで
- データ
- おそれ上限 —確定 —氏名住所電話メール対象は2026年8月28日6時までに注文した顧客の注文時の情報。対象人数と注文期間の始点は非公表。第三者が実際に閲覧・ダウンロード・外部送信した記載はなく、9月4日の中間報告でも内容の閲覧・取得記録は確認されていない。クレジットカード情報は非保持、会員パスワード・買取会員情報・宅配買取ID・振込先口座情報・店頭買取・オークション委託・落札者・委託者の情報は漏えいなしとされ、eKYCデータは保持していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した侵害は公表されていない。
時系列
- 2026-08-27 23:00
- 2026-08-27
- 2026-08-28 06:00
- 2026-08-30
- 2026-08-30
- 2026-08-31FAQを公開し、宅配・店頭買取、オークション委託、落札者、委託者、eKYC関連データは漏えい対象外と説明した。通販は9月2日、オークションは9月7日の再開を予定とした。1
- 2026-09-01
- 2026-09-04中間報告で、配送情報を保有するサーバーへの侵入を確認し、情報にアクセスされた可能性は否定できないが、内容を閲覧・取得した記録は確認されていないと公表した。侵入を受けたサーバーは新環境で再構築した。4
- 2026-09-05通販サイトを再開した（当初予定の9月2日から安全確認の厳密化のため変更）。4
- 2026-09-07オークションサイトを再開し、大オークションを公開した（落札開始は9月9日）。4
技術解説
公表された経緯と漏えいのおそれの範囲 事実
まんだらけは2026年8月27日23時ごろ、同社サーバーへの不正アクセスを確認しました。個人情報が漏えいした可能性があると判断し、直ちに関係サーバーを停止して、原因究明と影響範囲の調査を始めました。調査には外部専門家も加わっています。8月30日には、個人情報保護法に基づき個人情報保護委員会へ報告し、警察に被害届を出したうえで第1報を発表しました。漏えいのおそれがあるとされたのは、2026年8月28日6時までに注文した人の、注文時の氏名・住所・電話番号・メールアドレスです。対象人数、注文期間の始点、侵入経路、攻撃者、ランサムウェアの使用有無、漏えい件数は公表されていません。9月4日の中間報告では、配送情報を保有するサーバーへの侵入を確認したと説明しました。その情報にアクセスされた可能性は否定できないものの、データベース内の個人情報の内容そのものを閲覧・取得した記録は、現時点の調査では確認されていないとしています。
対象外とされた情報と封じ込めの内容 事実
クレジットカード情報は、非保持化によりそもそも同社が保持していません。会員情報のパスワードと買取会員の情報についても、漏えいの可能性はないとされています。8月31日公開のFAQでは、宅配・店頭買取、オークション委託、落札者、同人誌等の委託者、eKYC関連データも漏えいの対象外と説明されました。宅配買取ID・パスワード・振込先口座情報なども漏えいしておらず、eKYCデータは保持していないとされています。封じ込めとしては、検知後に対象サーバーを停止・隔離し、外部との通信を遮断したうえで調査を行いました。その結果、持ち出し・改ざん・削除の形跡は確認されていません。侵入を受けたサーバーは切り離して停止し、新しい環境で作り直しました。ほかのサーバーも順次新環境へ移しています。あわせて、外部との通信を業務上必要なものに限り、アクセス権限も見直しました。
サービス停止と業務への影響 事実
通販サイトとオークションサイトが止まり、当初9月1日から予定していた「大オークション大会」は延期されました。8月31日時点の予定は、通販が9月2日、大オークションと毎日オークションが9月7日の再開でした。9月1日時点でも、公式メンテナンスページでは通販・オークションサイトを閲覧できないと案内されていました。その後、安全確認を厳密にするため予定が変わり、通販サイトは9月5日、オークションサイトは9月7日に再開しました。毎日オークションでは、停止期間中に落札日を迎える商品の落札日を9月7日以降へ延ばしました。中野店アニメ館の出品商品は、改めて出品し直すとしています。通販で入金期限が停止期間中に迫っている注文には、復旧後に改めて5日以内の期限を設けると案内されました。大オークションは9月7日に公開、9月9日に落札開始となり、入金期限は10月15日まで延びました。
「おそれ」の段階と範囲の示し方 解釈
公表された内容は「サーバーへの侵入は確認したが、個人情報を閲覧・取得した記録は確認されていない」という段階にとどまります。実際の流出が確定した事案と同じように扱うべきではありません。一方、対象を「8月28日6時までの注文者」と終わりの時刻で区切りながら、始まりの時点や人数は示されていません。そのため利用者は、自分が含まれるかどうかを過去に注文したかどうかでしか判断できない状態です。不正アクセスを確認した23時ごろと、基準とされた6時の間には約7時間の差がありますが、その理由は公表で説明されていません。停止作業が終わった時刻やデータ処理の仕組みに関係している可能性も考えられますが、推測の域を出ません。カード情報を持っていなかったことや、買取・委託系のデータが別に扱われていたとみられることは、影響範囲を注文の配送情報に絞り込む方向に働いたと読めます。
停止判断と公表の進め方 解釈
検知した直後に関係サーバーを止め、3日後に当局へ報告して第1報を出し、約1週間後に中間報告を出しています。原因が分からない段階でも、サービスを動かし続けることより安全を優先した判断と読めます。通販の再開を当初予定から3日遅らせ、その理由を安全確認の厳密化と説明した点も、同じ方針に沿っています。ただし侵入経路が公表されていないため、サーバーの作り直しや通信制限が根本原因に対応しているかどうかは、外部から評価できません。また、オークションのように日程が決まった催事を持つ事業では、システムの停止が出品者・落札者の日程や入金期限にそのまま連鎖します。延長措置を素早く打ち出せるかどうかが、利用者への影響の大きさを左右すると考えられます。
対応
- 封じ込め
- 検知後、対象サーバーの停止・隔離と外部との通信の遮断を行い、持ち出し・改ざん・削除の形跡は確認されていない。侵入を受けたサーバーは切り離し・停止のうえ新環境で再構築し、他のサーバーも順次新環境へ移行している。外部通信を業務上必要なものに限定し、アクセス権限を見直した。
- 公表の仕方
- 2026年8月30日に第1報を発表し、9月4日に中間報告、9月7日までに再開情報を更新した。まんだらけや関係者を装った不審なメール・電話・SMSへの注意を呼び掛けており、現時点で本件との関連は確認されていない。
- 当局対応
- 個人情報保護委員会へ報告（2026-08-30）
- 警察へ被害届を提出（2026-08-30）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 影響範囲を「◯時まで」と示すだけで、始点や根拠となる時刻の説明がないと、利用者は自分が対象かを判断しにくい。 | 注文DBの作成・更新時刻と、Web・アプリ・DBのアクセスログを突き合わせて、影響する期間（始点と終点）を出すクエリと手順書を事前に用意しておく。範囲を公表するときは、根拠にした時刻の種類（検知時刻・遮断時刻・最終同期時刻など）を明記するテンプレートにする。 |
| クレジットカード情報を持たない設計や、データを分けて管理する設計は、侵害時に影響範囲を狭める。 | 決済はリンク型・トークン型で受け、カード番号を自社に保存しない。配送情報（氏名・住所・電話）には保存期間を決め、配送完了から一定期間が過ぎたら自動で削除または匿名化するジョブを動かす。買取・委託など性質の違うデータは、別のDBまたは別アカウントに分ける。 |
| 「閲覧・取得の記録がない」と言い切るには、DBへの問い合わせ（クエリ）の記録が残っていることが前提になる。 | DBの監査ログ（実行したクエリ、接続元、読み出した行数）とOSのログを、改ざんされにくい別のログ基盤へリアルタイムで送り、90日以上保管する。大量のSELECTや、普段と違う接続元からの接続にはアラートを設定する。 |
| 侵入されたサーバーが外部と自由に通信できると、持ち出しや遠隔操作の経路になる。 | サーバーから外部への通信は原則すべて拒否し、決済・配送連携など業務に必要な宛先だけをファイアウォールやプロキシの許可リストで通す。許可リストに無い宛先への通信が試みられたら、検知してアラートを出す。 |
| 侵害されたサーバーを新しい環境で作り直すには、すぐに再構築できる準備が欠かせない。 | サーバー構成をIaC（Terraform・Ansibleなど）とイメージで管理し、検証済みの状態からアプリとデータを復元する演習を定期的に行って、再構築にかかる時間を測っておく。 |
| 日程が決まったオークションや入金期限は、システム停止の影響を利用者に直接広げる。 | 落札日・入金期限を一括で延ばす管理機能か運用手順を用意し、停止時に利用者へ告知する文面の雛形と、判断する担当者を事前に決めておく。 |
自組織などでの確認項目
- 自社のECサイトで不正アクセスを検知したとき、影響する顧客の範囲（期間の始点と終点、人数）をログから何時間で特定できるか。そのために必要なDB監査ログは、いま何日分保管されているか。
- 注文や配送のために保存している氏名・住所・電話番号に保存期間は決まっているか。期限を過ぎたデータを実際に削除する仕組みは動いているか。
- EC・オークションのサーバーから外部への通信は許可リストで制限されているか。侵入されたサーバーをすぐ止めて新環境で作り直す手順と、それにかかる時間は把握できているか。
- サービスが数日から10日ほど止まった場合に、催事の日程、落札日、入金期限をどう延ばし、利用者にどう知らせるかが手順として決まっているか。
未解明点
- 侵入経路、悪用された脆弱性や製品、攻撃者、ランサムウェアの使用有無が公表されていない。
- 漏えいのおそれがある対象人数と、注文期間の始点が公表されていない。
- 不正アクセスを確認した8月27日23時ごろと、影響範囲の基準である8月28日6時の約7時間の差の根拠が説明されていない。
- 調査の最終報告や、個人への通知・補償の有無、新環境への移行が完了したかどうかは、9月7日時点の公表には含まれていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-01報道本文確認済
- 2ScanNetSecurity2026-09-02報道本文確認済
- 3株式会社まんだらけ公式本文確認済
- 4株式会社まんだらけ2026-09-07公式本文確認済