アイリスオーヤマ公式通販サイト「アイリスプラザ」への不正アクセス（サイト一時停止・情報漏えい調査中）
公表日
通販サイト「アイリスプラザ」のサーバーで不審なファイルが見つかり、安全確保のためサイトが停止されました。クレジットカード情報の流出は確認されていませんが、その他の会員情報については調査中です。
対象者は？
「アイリスプラザ」の会員およびサイト利用者（現時点で漏えいの有無や対象人数、流出した情報項目は特定されておらず、調査中です。クレジットカード情報の漏えいは確認されていません）。
公式発表や問い合わせ窓口（コンタクトセンター: 0120-108-824、平日・土 9:30〜17:00）で案内されています。また、不審なメールや通知が届いていないか注意してください。
いますぐできること
- アイリスプラザを装った不審なメールや通知が届いても、本文中のリンクを開いたり添付ファイルを開封したりしないようにしてください。
何が起きたのか
2026年10月28日の昼過ぎ、公式通販サイト「アイリスプラザ」のサーバー上で不審なファイルが見つかりました。運営会社は約30分後にサイトを停止して被害の拡大を防ぐ措置を取り、翌10月29日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。があった事実を公表しました。
なぜ起きたのか・なぜ広がったのか
どのような手口で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われ、不審なファイルが置かれたのかについては、まだ発表されていません。
いまの状況2026-10-30 時点続報待ち
サイトは安全確保のため停止されたままとなっており、注文済み商品の配送や再開時期は公表されていません。調査ではクレジットカード情報の流出は確認されておらず、その他の会員情報の漏えい有無について引き続き調査が行われています。
企業として考えたいこと
自社のWebサイトに不審なプログラムが置かれた場合、30分程度でシステムを一時停止して被害を食い止める判断と手順が整っていますか？
技術的な要約
アイリスオーヤマ傘下の公式通販サイト「アイリスプラザ」において、サーバー上で不審なファイルが確認されたことによる不正アクセスが発生した。同社は2026年10月28日昼過ぎに異常を確認し、顧客の安全確保のため約30分後にサイトを一時停止した。翌10月29日に事象を公表し、現時点の調査ではクレジットカード情報の漏えいは確認されていないものの、その他の会員情報の漏えい有無や侵入手口については引き続き調査中としている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表時点において不正アクセスが発生した日時、侵入経路、攻撃を受けたシステムの詳細については説明されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 顧客の安全を確保する目的で公式通販サイト「アイリスプラザ」が一時停止された。注文済み商品の配送状況やサイトの再開時期は公表時点で未定となっている。期間：調査中
- データ
- 調査中上限 —確定 —公表時点の調査ではクレジットカード情報の漏えいは確認されていない。氏名や住所、メールアドレスなどその他の会員情報については調査中であり、影響を受けた可能性のある人数も未公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-28通販サイトのサーバーにおいて昼過ぎに不審なファイルが確認される7
- 2026-10-28不審なファイルの確認から約30分後、安全確保のため通販サイト「アイリスプラザ」を停止7
- 2026-10-29
- 2026-10-29公式発表にてクレジットカード情報の漏えいは確認されていない旨を公表し、関係者への注意喚起と問い合わせ窓口を開設5
- 2026-10-29 20:3020時30分時点の調査としてクレジットカード情報の漏えいが確認されていない状況を報道各社が確認3
- 2026-10-29日本経済新聞が、アイリスオーヤマが28日昼過ぎの不審ファイル確認から約30分後にサイトを停止した経緯を報道7
- 2026-10-30
- 2026-10-30
技術解説
不審ファイル検知からサイト停止までの迅速な初動対応 事実
株式会社アイリスプラザが運営する「アイリスプラザ」において、2026年10月28日昼過ぎ、通販サイトのサーバー上に不審なファイルが存在することが確認された。同社は検知から約30分後という極めて短い時間でECサイトの公開を停止する判断を下した。翌10月29日にはアイリスオーヤマの企業サイト上でお知らせを公開し、顧客の安全確保を目的としたサイト停止である旨を公表した。公表時点ではクレジットカード情報の漏えいは確認されていないとしつつ、氏名・住所・メールアドレスなどその他の会員情報については漏えいの有無を含めて調査継続中としている。また、不正アクセスの発生日時や具体的な手口、影響範囲の人数、注文済み商品の配送状況やサイトの再開時期については、公表時点では明かされていない。
Web改ざん・Webシェル設置等の攻撃手法と隔離判断の妥当性 解釈
サーバー上に「不審なファイル」が検知されたという経緯からは、公開Webアプリケーションの脆弱性や認証情報の不正利用を通じ、外部からWebシェルなどの不正プログラムが設置された可能性が考えられる。ECサイトに対する攻撃では、決済フォームを不正に改変するスキミングや、データベース内の顧客情報を窃取するバックドア設置が典型的な手口となる。本件では検知から約30分でECサイトそのものを停止させており、攻撃者が設置したファイルによる二次被害やさらなる内部侵入を即座に遮断する containment（封じ込め）手順が迅速に実行されたと解釈できる。システム停止に伴う売上機会の損失を許容してでも利用者の保護を最優先にした初動は、被害の極小化を図る危機管理の観点から評価できる対応である。
初期公表における情報開示の透明性と残された調査課題 解釈
本件の初期公表では、最もリスクの高いクレジットカード情報の漏えいが現時点で確認されていないことを早期に明言し、利用者の過度な混乱を抑止しようとした姿勢が見て取れる。同時に、不審なメールや通知に対する注意喚起と問い合わせ窓口を即座に設置している点は実務的である。しかし、不審ファイルが配置されるに至った侵入経路（公開サーバーの脆弱性か管理アカウントの侵害か等）や、ファイルがいつ設置され何を実行していたのかというフォレンジック調査の全容は未解明である。クレジットカード情報以外の会員データ（氏名、住所、ログイン認証情報等）へのアクセス有無や、注文済み商品の配送停止など実業務への影響がどの程度続くかについては、今後の詳細な続報による開示が待たれる。
対応
- 封じ込め
- 2026年10月28日昼過ぎに通販サイトのサーバー上で不審なファイルを確認後、約30分でECサイトを一時停止した。
- 公表の仕方
- 2026年10月29日、アイリスオーヤマの企業サイトに株式会社アイリスプラザ名義でお知らせを掲載。クレジットカード情報の漏えいは確認されていないことや、不審なメール・通知の開封を避けるよう呼びかけ、専用のコンタクトセンター窓口を案内した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開Webサーバー上の不審ファイルや改ざんを早期検知できる仕組みの導入 | Webサーバーの公開ディレクトリやシステム領域に対し、ファイル整合性監視（FIM）やEDR（Endpoint Detection and Response）を導入し、予期せぬファイルの新規作成や変更をリアルタイムで検知・アラート発報する体制を整える。 |
| インシデント検知時に即座にサービスを隔離・停止できるエスカレーション基準の策定 | サーバー侵害が疑われる事態において、現場判断または迅速な意思決定フローでサービス公開停止やネットワーク遮断を実施できるよう、あらかじめ停止基準と緊急連絡体制を定めておく。 |
| Webアプリケーションや公開サーバーの脆弱性管理と定期的な診断の徹底 | ECサイトで稼働するミドルウェア、フレームワーク、CMS、各種プラグインのバージョンを網羅的に台帳管理し、セキュリティパッチの迅速な適用と定期的な脆弱性診断（ペネトレーションテスト）を実施する。 |
| 事案発生時における影響範囲の切り分けと迅速な顧客コミュニケーション | 調査初期段階であっても決済情報や個人情報の漏えい有無の現況を可能な限り早く整理し、注意喚起や専用の問い合わせ窓口を設置して利用者への混乱を最小限に抑える広報体制を整備する。 |
自組織などでの確認項目
- 自社の公開WebサーバーやEC基盤において、ファイル改ざんや不審なプログラム（Webシェル等）の配置を即時に検知できる整合性監視の仕組みが存在するか。
- サーバー上で不正アクセスの兆候が確認された際、売上や業務影響を伴うサイト停止や隔離判断を30分程度で行える明確な手順・権限規定があるか。
- 利用中のWebシステムやCMS、関連プラグインに既知の脆弱性が残っていないか、最新パッチの適用状況と棚卸し手順を確認できているか。
未解明点
- 不審なファイルがサーバー上に設置された侵入経路や悪用された脆弱性・認証情報の手口は何であったか。
- 氏名、住所、メールアドレス、購入履歴などの会員情報について、外部への不正な持ち出しや漏えいは実際に発生していたのか。
出典
- 1株式会社アクト2026-10-30報道本文確認済
- 2ITmedia NEWS報道本文確認済
- 3NewsDigest（JX通信社）2026-10-29報道本文確認済
- 4セキュリティ対策Lab2026-10-30報道本文確認済
- 5アイリスオーヤマ株式会社2026-10-29公式本文確認済
- 6ITmedia NEWS2026-10-30報道本文確認済
- 7日本経済新聞2026-10-29T23:50+09:00報道本文確認済