ボンフォームオンラインストアへのWebスキミング攻撃（カード情報最大3,268名・約3年7か月）
公表日
車内インテリア用品を扱う株式会社ボンフォームのオンラインストアで、決済ページが改ざんされ、クレジットカード情報が最大3,268名分（3,463件）漏れた可能性があると公表された。
対象者は？
2021年3月25日〜2024年11月8日にボンフォームオンラインストアでカード情報を入力した顧客で、カード情報の漏洩可能性があるのは3,268名（3,463件）。購入に至らなかった顧客の情報も含まれる可能性がある。このほか、同期間に会員情報でログインしてカード決済をした735名は、メールアドレス・パスワード・電話番号が漏れた可能性がある。流出が確定した件数は公表されていない。
対象者には書状で個別に通知されている。心当たりがある場合は、ご利用のカード会社の明細で不審な利用がないか確認する。ボンフォームのお客様相談窓口は0120-195-025（9:00〜17:00、土日祝日除く）。
いますぐできること
- カードの利用明細を確認し、身に覚えのない利用があればすぐにカード会社へ連絡する。
- カード会社から案内を受けた場合は、案内に従ってカードの差し替え手続きを行う（楽天カードは差し替え手数料なしと案内）。
- ボンフォームのストアと同じメールアドレス・パスワードを他のサービスで使っている場合は、パスワードを変更する。
何が起きたのか
2026年1月14日、ボンフォームはクレジットカード会社から情報漏洩の懸念について連絡を受けました。1月16日にオンラインストアを停止し、警察への被害申告と専門機関による調査を始め、第1報を公表しました。1月19日には個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。を終え、2月19日に調査が完了しました。4月27日に調査結果を公表し、決済ページのプログラム（JavaScript）が不正に書き換えられ、入力された情報が盗まれる攻撃だったと説明しました。対象期間は2021年3月25日から2024年11月8日までの約3年7か月です。対象者へは書状での個別通知が始まっています。
なぜ起きたのか・なぜ広がったのか
決済ページのプログラムが書き換えられ、入力した情報が盗まれる仕組みだったと公表されています。書き換えが行われた侵入経路や原因は、まだ発表されていません。第1報から詳細の公表まで約3か月かかった理由について、同社は、不確かな情報を出すと混乱を招くため、調査結果とカード会社との連携を待ったと説明しています。
いまの状況2026-04-28 時点続報待ち
2026年4月27日時点で、調査結果が公表され、書状による個別通知が始まっています。カード再発行の手数料は顧客負担なしとなるよう、同社がカード会社と調整中です。オンラインストアの再開時期や再発防止策の詳細は、まだ発表されていません。侵入経路もまだ発表されていません。
企業として考えたいこと
もし自社の通販サイトの決済ページが書き換えられたら、それに気づける仕組みと、気づいた後すぐに動ける連絡先や手順が自社にありますか。
技術的な要約
車内インテリア用品を販売する株式会社ボンフォームは、運営する「ボンフォームオンラインストア」への第三者による不正アクセスについて、2026年1月16日に第1報を公表し、オンラインストアの稼働を停止して調査を進めた。2026年4月27日にフォレンジック調査の結果を公表し、決済ページのJavaScriptが改ざんされて入力情報が窃取されるWebスキミング攻撃（フォームジャッキング）の事案であるとした。クレジットカード情報が漏洩した可能性があるのは3,268名（3,463件）で、ECサイトの認証情報（メールアドレス・パスワード・電話番号）が漏洩した可能性があるのは735名である。被害対象期間は2021年3月25日から2024年11月8日までの約3年7か月で、カード情報を入力したが購入に至らなかった顧客の情報も含まれる可能性がある。対象者へは書状による個別通知を開始しており、カード再発行手数料は顧客負担なしとなるようカード会社と調整している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明決済ページのJavaScriptが不正に改ざんされ入力情報が窃取されたと公表されているが、改ざんに至った侵入経路は、第1報時点でも明示されておらず、渡された情報からも確認できない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や製品名は、渡された情報には記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年1月16日にオンラインストアの稼働を停止（一時的に見合わせ）した。再開の有無・時期は渡された情報には記載がない。
- データ
- おそれ上限 3,268確定 —人氏名クレカメール電話カード情報（カード名義人名・カード番号・有効期限・セキュリティコード）の漏洩可能性は3,268名（3,463件）。ECサイトの認証情報（メールアドレス・パスワード・電話番号）の漏洩可能性は735名（2021年3月25日〜2024年11月8日に会員情報でログインしてカード決済をした顧客）。カード情報を入力したが購入に至らなかった顧客の情報も含まれる可能性があるが、対象カード番号の特定はできていない。パスワードの保存形式は記載がない。
- 波及先
- —
- 金銭影響
- カード再発行の手数料を顧客負担なしとなるようカード会社と調整中。損害額等の金額は公表されていない。
- サプライチェーン
- —
時系列
- 2021-03-25被害対象期間の開始日。決済ページのJavaScript改ざんによるカード情報等の窃取可能性の対象期間が始まる。1
- 2024-11-08被害対象期間の終了日（約3年7か月にわたる期間の末日）。1
- 2026-01-14クレジットカード会社から漏洩懸念の連絡を受領した。1
- 2026-01-16
- 2026-01-19個人情報保護委員会への報告が完了した。1
- 2026-02-19調査機関によるフォレンジック調査が完了した。1
- 2026-04-27
- 2026-04-27クレディセゾンが、本件に関して過去に同ストアを利用した会員へ利用明細の確認を呼びかけ、同社発行カードの不審な売上の有無を確認中と告知した。5
- 2026-04-28楽天カードが、会員へ利用明細の確認を呼びかけ、案内を受けた会員にはカード差し替え（手数料なし）を求める旨を告知した。4
技術解説
攻撃の構造：決済ページのJavaScript改ざん 事実
公表によれば、本件は決済ページのJavaScriptを不正に改ざんして入力情報を窃取するWebスキミング攻撃（別名フォームジャッキング）の事案とされる。漏洩の可能性があるカード情報は、カード名義人名・クレジットカード番号・有効期限・セキュリティコードである。また、2021年3月25日〜2024年11月8日に会員情報でログインしてカード決済をした顧客については、ECサイトの認証情報（メールアドレス・パスワード・電話番号）も対象となり、その人数は735名とされた。一方、改ざんに至った侵入経路、悪用された脆弱性や製品名、攻撃者の特定につながる情報は、第1報時点の発表では明示されておらず、今回渡された資料からも確認できない。パスワードの保存形式についても記載がない。
件数・期間の整理：上限と確定の区別 事実
カード情報が漏洩した可能性があるのは3,268名（3,463件）で、被害対象期間は2021年3月25日から2024年11月8日までの約3年7か月とされる。これらは「可能性」の数字であり、流出が確定した件数は公表されていない。カード情報を入力したものの購入に至らなかった顧客の情報も含まれる可能性があるが、対象カード番号の特定はできていないと説明されている。認証情報の対象は735名で、カード情報の対象者数とは別の集計である。報道の見出しには「漏えいした」とあるが、公表の本文は「可能性」という表現であり、数値を扱う際は上限（おそれ）として読む必要がある。
発覚と公表の経過 事実
2026年1月14日にクレジットカード会社から漏洩懸念の連絡を受け、1月16日にオンラインストアの稼働を停止し、所轄警察署への被害申告と第三者調査機関による調査開始、第1報の公表を行った。1月19日に個人情報保護委員会への報告が完了し、2月19日にフォレンジック調査が完了した。4月27日に調査結果・漏洩の詳細・対応策を公表し、対象者への書状による個別通知を開始している。第1報の時点では侵入経路、漏えいの有無、件数、対象期間、カード情報の取り扱いは明示されていなかった。カード会社側では、クレディセゾンが4月27日に、楽天カードが4月28日に、それぞれ会員へ利用明細の確認を呼びかけている。
被害が長期化・大規模化した背景についての解釈 解釈
被害対象期間の終了日（2024年11月8日）から、カード会社からの連絡（2026年1月14日）までには約1年2か月の間がある。この間に何が行われていたかは公表されておらず、渡された資料だけでは、検知の仕組みや改ざん箇所の確認体制がどうなっていたかは判断できない。一般論として、決済ページのスクリプト改ざんは利用者側から見えにくく、外部（カード会社の不正利用検知など）の通報で気づくケースが多いとされる。本件でも発覚のきっかけはカード会社からの連絡であった。これは資料からの読み取りに基づく解釈であり、原因を断定するものではない。また、第1報から詳細公表まで約3か月を要したことについて、同社は、不確定な情報による混乱を避け、調査結果とカード会社との連携を待つためと説明している。この判断の評価は、利用者の注意喚起の早さと情報の正確さの両立という観点から、読者が検討する余地がある。
対応
- 封じ込め
- 2026年1月16日にオンラインストアの稼働を停止し、所轄警察署へ被害申告、第三者調査機関による調査を開始した。2026年2月19日にフォレンジック調査が完了した。カード再発行手数料が顧客負担なしとなるようカード会社と調整している。お客様相談窓口は0120-195-025（9:00〜17:00、土日祝日除く）。
- 公表の仕方
- 2026年1月16日に第1報を公表し、2026年4月27日に調査結果・漏洩の詳細・対応策を公表して対象者への書状による個別通知を開始した。第1報から約3か月後の公表となった理由について、同社は、不確定な情報の公開は混乱を招くため、調査会社の調査結果およびカード会社との連携を待つと判断したと説明している。
- 当局対応
- 個人情報保護委員会（2026-01-19報告完了）
- 所轄警察署（被害申告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済ページのスクリプトは改ざんされても利用者にも運営者にも気づきにくい | 決済ページに読み込まれるJavaScriptにCSPのscript-srcを厳格に設定し、外部スクリプトにはSRI（integrity属性）を付ける。CSPのreport-uriで違反を収集して監視する。 |
| 被害対象期間が約3年7か月に及び、長期間気づかれなかった | 決済ページ上のスクリプトのハッシュ値や配信ファイルの差分を定期的（日次など）に自動検査し、変更があればアラートを出す。ファイル完全性監視（FIM）をWebサーバに導入する。 |
| 発覚の契機が自社の検知ではなくカード会社からの連絡だった | 決済ページを疑似ブラウザで巡回し、読み込まれる外部ドメインや不審な送信先を検出するクライアントサイド監視を導入する。カード会社・決済代行会社との連絡窓口と受領後の初動手順を事前に整備する。 |
| カード情報を自社サイトで入力・通過させる構成は、盗まれる情報の範囲が広い | カード情報を自社サーバやページを経由しない決済方式（決済代行会社のリンク型・iframe型・トークン型）へ移行し、セキュリティコードを自社環境に触れさせない設計にする。 |
| 侵入経路が公表されておらず、再発防止の評価が難しい | 管理画面・サーバ・CMSの認証にMFAを必須化し、管理者操作のログを長期保管する。ECプラットフォームと拡張機能の脆弱性を定期的に棚卸しして適用状況を記録する。 |
自組織などでの確認項目
- 自社の決済ページで読み込まれているJavaScript（自社配信・外部配信）の一覧を、現時点で誰が把握し、変更時にどう検知できるか確認できますか。
- カード情報が自社サーバや自社ページを通る構成か、決済代行会社側で完結する構成か、自社の決済方式を確認できますか。
- カード会社や決済代行会社から漏洩懸念の連絡が来た場合、受領から稼働停止・警察相談・調査依頼までの手順と連絡先が文書化されていますか。
- 第1報から詳細公表までの間、利用者へどの情報をどの時点で出すかの判断基準（不確定情報の扱い）を自組織で決めていますか。
未解明点
- 改ざんに至った侵入経路や悪用された脆弱性は何か（公表資料では確認できない）。
- 2024年11月8日で被害対象期間が終わった理由（改ざんの除去や対策の時期・内容）は何か。
- 流出が確定した件数は何件か（現状は「可能性」の上限のみ）。
- オンラインストアの稼働再開の有無と時期、再発防止策の具体的内容はどうなっているか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-01報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-28報道本文確認済
- 3ScanNetSecurity2026-05-15報道本文確認済
- 4楽天カード株式会社2026-04-28公式本文確認済
- 5株式会社クレディセゾン（セゾンカード）2026-04-27公式本文確認済