ジグザグ「WorldShopping」への不正アクセス（海外の顧客301名の個人情報が漏えい）
公表日
ジグザグの越境ECサービス「WorldShopping」に第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。し、海外のお客様301名（2026年10月19日時点）の個人情報が外部に漏れました。クレジットカード情報とパスワードは含まれていません。
対象者は？
海外にお住まいのWorldShoppingのお客様301名（2026年10月19日時点）。台湾、香港、米国、韓国、中国ほかが対象で、メールアドレス、氏名、住所、電話番号、ご注文に関する情報の一部が含まれます（項目はお客様により異なります）。クレジットカード情報とパスワードは含まれません。WorldShopping BIZを導入しているEC事業者から預かっている情報は、現時点の調査では対象に含まれていません。
対象のお客様には、ジグザグから電子メールで個別に順次連絡されています。詳しくは公式のお知らせをご確認ください。
いますぐできること
- 対象のお客様は、ジグザグからのメールを確認してください。
- 身に覚えのないメールや電話、郵送物には、すぐに対応せず注意してください。
- 不審な連絡を受けた場合は、公式のお知らせに記載された窓口に確認してください。
何が起きたのか
2026年10月15日から16日にかけて、WorldShoppingのシステムの一部に第三者が不正にアクセスしました。ジグザグは10月16日に外部からの不審なアクセスを見つけて調査を始め、個人情報が外部に漏れたことを確認しました。10月19日にお詫びとお知らせを公表し、対象のお客様へ電子メールで順次連絡しています。現時点で、金銭的な被害などの二次被害は確認されていないとのことです。
なぜ起きたのか・なぜ広がったのか
侵入の手口や原因の詳しい内容は、まだ発表されていません。会社の発表では、メール配信システムと入力フォームの不備を修正し、攻撃者が使った認証情報（ログインに使う情報）を無効にして新しく発行し直したとされています。
いまの状況2026-10-19 時点続報待ち
2026年10月19日時点で、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の経路は遮断され、原因となったシステムの不備は修正済みです。WorldShoppingをはじめ、同社のサービスは通常どおり使えます。影響の範囲の最終確認と、外部専門家の助言を受けた再発防止策（セキュリティ診断を含む）の策定が進められています。個人情報保護委員会や関係する国・地域の当局にも順次報告しています。業績への影響は精査中で、補償についてはまだ発表されていません。
企業として考えたいこと
あなたの会社が運営するサービスで、メール配信や入力フォームなど外部とつながる仕組みで使っている認証情報が漏れた場合、どこで使われているかをすぐに洗い出して無効にし、新しく発行し直すことができますか。
技術的な要約
ジグザグが運営する越境ECサービス「WorldShopping」のシステムの一部に第三者による不正アクセスがあり、個人情報が外部に漏えいした。2026年10月15日から16日にかけて不正アクセスがあり、同月16日に外部からの不審なアクセスを検知して調査を開始した。漏えい対象は海外のお客様301名（2026年10月19日時点）で、メールアドレス、氏名、住所、電話番号、ご注文に関する情報が含まれる。クレジットカード情報とパスワードは含まれず、現時点で金銭的な被害などの二次被害は確認されていない。経路の遮断と不備の修正は完了しており、影響範囲の最終確認と再発防止策の策定が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表では、攻撃者が使用した認証情報を無効化して再発行し、メール配信システムおよび入力フォームの不備を修正したとされる。初期侵入の具体的な手口は公表されていない。
- 脆弱性
- CVE 非公表公表で確認メール配信システムおよび入力フォーム公式発表で「不備」を修正したとされるが、CVEや製品名の詳細は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし WorldShoppingをはじめ、同社のサービスは通常どおり利用できるとされている。
- データ
- 確定上限 301確定 301人メール氏名住所電話購入履歴対象は海外のお客様301名（2026年10月19日時点）で、台湾、香港、米国、韓国、中国ほか。項目はお客様により異なる。クレジットカード情報とパスワードは含まれない。ご注文に関する情報は購入履歴に対応づけた。
- 波及先
- —
- WorldShopping BIZを導入しているEC事業者から預かっている情報は、現時点の調査では対象に含まれていない。
- 金銭影響
- 業績への影響は現在精査中。
- サプライチェーン
- WorldShopping BIZ導入事業者の情報は現時点の調査では対象外とされている。
時系列
- 2026-10-15第三者による不正アクセスが始まった（15日から16日にかけて）。1
- 2026-10-16外部からの不審なアクセスを検知し、調査を開始した。1
- 2026-10-16不正アクセスが16日にかけて続いたことを確認した。1
- 2026-10-19判明後速やかに不正アクセスの経路を遮断し、原因となったシステムの不備を修正したと公表した。1
- 2026-10-19メール配信システムおよび入力フォームの不備を修正し、攻撃者が使用した認証情報を無効化して再発行したと公表した。1
- 2026-10-19「お詫びとお知らせ」で、海外のお客様301名の個人情報漏えいを公表した（第1報）。1
- 2026-10-19個人情報保護委員会および法令に基づき報告が必要な国・地域の関係当局へ順次報告を開始した。1
- 2026-10-19対象のお客様へ電子メールで個別に順次連絡を開始した。1
- 2026-10-19外部専門家の助言を受け、セキュリティ診断を含む再発防止策を策定中とした。1
技術解説
公表された事実の整理 事実
ジグザグは2026年10月19日、越境ECサービス「WorldShopping」のシステムの一部に第三者による不正アクセスがあり、個人情報が外部に漏えいしたと公表した。2026年10月16日に外部からの不審なアクセスを検知して調査を開始し、10月15日から16日にかけて不正アクセスがあったことを確認したとしている。漏えい対象は台湾、香港、米国、韓国、中国ほかの海外のお客様301名（2026年10月19日時点）で、項目はメールアドレス、氏名、住所、電話番号、ご注文に関する情報であり、お客様により異なる。クレジットカード情報とパスワードは含まれず、現時点で金銭的な被害などの二次被害は確認されていないと説明されている。
公表された対応と影響の範囲 事実
同社は判明後速やかに不正アクセスの経路を遮断し、原因となったシステムの不備を修正したとしている。具体的には、メール配信システムおよび入力フォームの不備を修正し、攻撃者が使用した認証情報を無効化して再発行した。影響範囲の最終確認は継続中である。WorldShoppingをはじめ同社のサービスは通常どおり利用でき、WorldShopping BIZを導入しているEC事業者から預かっている情報は、現時点の調査では対象に含まれていない。個人情報保護委員会と、法令に基づき報告が必要な国・地域の関係当局へ順次報告しており、対象のお客様には電子メールで個別に連絡している。外部専門家の助言を受け、セキュリティ診断を含む再発防止策を策定中で、業績への影響は精査中とされている。
攻撃の構造として読み取れること 解釈
公式発表は、攻撃者が使用した認証情報の無効化・再発行と、メール配信システムおよび入力フォームの不備の修正に触れている。このことから、認証情報の利用と、これらの仕組みの不備が本件に関係していた可能性は考えられる。ただし、初期侵入の具体的な手口、どの認証情報がどのように入手されたか、不備がどのような性質のものかは公表されていない。そのため、侵入経路や原因を特定したとはいえず、ここでの読み取りはあくまで公表文言に基づく推測にとどまる。攻撃者の名称や主張も確認されていない。今後の続報で内容が変わる可能性がある。
公表内容の評価と留意点 解釈
第1報として、検知日、不正アクセスの期間、対象人数と地域、漏えい項目、含まれない情報（クレジットカード情報・パスワード）、二次被害の有無、BIZ導入事業者への影響まで具体的に示されており、利用者が自分の状況を判断しやすい内容と受け止められる。一方で、301名は2026年10月19日時点の数字で、影響範囲の最終確認が続いているため、確定した最終値とは断定できない。また、原因となった不備の詳細や再発防止策の中身は今後の公表待ちである。公開されている出典は現時点で第1報の1件のみで、第三者による検証や報道は確認できていない。
対応
- 封じ込め
- 判明後速やかに不正アクセスの経路を遮断し、原因となったシステムの不備を修正した。メール配信システムおよび入力フォームの不備を修正し、攻撃者が使用した認証情報を無効化して再発行した。影響範囲の最終確認を進めている。
- 公表の仕方
- 2026年10月19日に「不正アクセスによる海外のお客様の個人情報漏えいに関するお詫びとお知らせ」を公表。対象のお客様には電子メールで個別に順次連絡している。外部専門家の助言を受けてセキュリティ診断を含む再発防止策を策定中。
- 当局対応
- 個人情報保護委員会
- 法令に基づき報告が必要な国・地域の関係当局
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 攻撃に使われた認証情報を無効化して再発行する対応が、迅速な封じ込めの一部になった。 | APIキー・メール配信用の認証情報・サービスアカウントを一覧化し、失効と再発行の手順を実行手順書にしておく。シークレット管理基盤で保管し、定期ローテーションと即時失効を自動化する。 |
| メール配信システムや入力フォームなど、周辺的な仕組みにも不備が含まれうる。 | 外部公開している資産（入力フォーム、メール配信連携など）を台帳化し、定期的にセキュリティ診断を行う。入力値の検証、権限の最小化、外部サービス連携の認可範囲を設計レビューに含める。 |
| 越境サービスでは、利用者の所在国ごとに当局への報告や通知の要件が異なる。 | 利用者が多い国・地域ごとの報告先・期限・通知要件を事前に表にまとめ、多言語の通知文テンプレートと配信手順を用意して、インシデント演習に組み込む。 |
| 自社利用者の情報と、導入事業者から預かる情報とを切り分けて影響を確認することが、説明の明確さにつながる。 | テナント・データストア単位でアクセス制御とログを分離し、アクセスログを十分な期間保管する。侵害時に対象データの範囲を絞り込めるクエリを平時に準備しておく。 |
| 不審なアクセスを検知してから調査と遮断に移るまでの速さが、被害の拡大を抑える鍵になる。 | 認証情報の異常な利用（通常と異なる接続元、大量取得）を検知するアラートを設定し、検知から遮断までの手順と担当を定め、定期的に机上演習で確認する。 |
自組織などでの確認項目
- 自組織で外部に公開している入力フォームやメール配信の仕組みを、すべて一覧にできているか。最後にセキュリティ診断をしたのはいつか。
- 自組織のシステムが使う認証情報（APIキー、サービスアカウントなど）を、どこに保管しているか把握しているか。侵害が疑われたとき、半日以内に無効化・再発行できる手順があるか。
- 海外の利用者の個人情報を扱う場合、どの国・地域の当局へ、いつまでに報告が必要か整理されているか。
- 自社の顧客データと、取引先から預かるデータは分離されているか。侵害時に、後者が対象外であることをログで短時間に確認できるか。
未解明点
- 初期侵入の具体的な手口と、攻撃者が使用した認証情報の入手経路は何か。
- 「メール配信システムおよび入力フォームの不備」とは具体的にどのような不備だったのか。
- 影響範囲の最終確認後に、対象者数や漏えい項目は変わるのか。
- 再発防止策（セキュリティ診断を含む）の具体的な内容と、業績への影響はどうなるのか。
出典
- 1株式会社ジグザグ2026-10-19公式本文確認済