大興印刷「PhotoGoods」への不正アクセス（カルビー提携サービス、カード情報等の漏えいのおそれ・対象人数は未確定）
公表日
大興印刷が運営する写真グッズ注文サービス「PhotoGoods」に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、クレジットカード情報などが漏れたおそれがあります。対象人数はまだ確定していません。
対象者は？
2026年8月6日から9月11日の間に、PhotoGoodsの決済画面へクレジットカード情報を入力した人です。買い物を完了しなかった場合も含まれる可能性があります。漏れたおそれがある情報は、カード番号、有効期限、セキュリティコード、氏名、住所、電話番号、メールアドレス、会員パスワードに関する情報です。これら以外の情報が含まれるかどうかは、取得できた情報では確認できていません。対象人数は確定していません。
ご利用のカード会社の利用明細で、身に覚えのない請求がないか確認してください。対象者への個別連絡の方法は、取得できた情報では確認できていません。大興印刷の公式のお知らせは取得できていないため、公式サイトで最新情報を確認してください。
いますぐできること
- PhotoGoodsでカードを使った覚えがある人は、今後の利用明細を定期的に確認する。
- 不審な請求や心配な点があれば、カード会社に問い合わせる。
- カルビーや大興印刷、カード会社をかたるメール・SMS・電話に注意する。
何が起きたのか
2026年9月11日、PhotoGoodsに不審な外部プログラムが読み込まれているとの連絡があり、大興印刷が調査を始めました。調査の結果、決済画面などに入力されたカード情報を不正に取得するプログラムが、8月6日から9月11日まで設置されていたことがわかりました。大興印刷は9月16日にこの件を公表し、カルビーも9月17日に、提携先で個人情報が漏れた可能性があると発表しました。
なぜ起きたのか・なぜ広がったのか
大興印刷は、システム上の弱点（脆弱性）と、ファイルをアップロードする機能が悪用されたと説明しています。どの製品のどんな弱点だったのか、最初に侵入された日時、攻撃した相手については、まだ発表されていません。
いまの状況2026-10-14 時点続報待ち
サービスは停止中で、安全性が確認できるまで再開しない方針です。再開時期は9月16日時点で未定です。大興印刷は、不正プログラムの削除や不正な管理者アカウントの無効化、アクセス制限、ログの調査・保全などを行ったとしています。対象人数と実際に漏れた範囲は9月17日時点で確定していません。それ以降の続報や補償については、まだ発表されていません。
企業として考えたいこと
自社の決済画面に、気づかないうちに悪意のあるプログラムが加えられたとき、どのくらい早く気づけるでしょうか。
技術的な要約
大興印刷株式会社は2026年9月16日、同社が運営する「PhotoGoods」への第三者による不正アクセスを公表し、カルビーも9月17日に「プロ野球チップス」モチーフのオリジナルカード注文サービスでの個人情報漏えいの可能性を公表した。9月11日に不審な外部プログラムが読み込まれているとの連絡を受けて調査したところ、決済画面等に入力されたクレジットカード情報を不正取得するプログラムが2026年8月6日から9月11日まで設置されていたことが確認された。漏えいのおそれがあるのはカード番号、有効期限、セキュリティコードのほか、氏名、住所、電話番号、メールアドレス、会員パスワードに関する情報である。不正アクセスには「システム上の脆弱性およびファイルアップロード機能の悪用」があったと説明されているが、製品名やCVE、対象人数は公表されていない。サービスは停止中で、再開時期は9月16日時点で未定である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認大興印刷は「システム上の脆弱性およびファイルアップロード機能の悪用」が確認されたと説明している（報道経由）。脆弱性の対象製品・CMS名、具体的な種類、最初の侵入日時は公表されていない。
- 脆弱性
- CVE 非公表公表で確認システム上の脆弱性およびファイルアップロード機能の悪用が確認されたとされるが、製品名・CMS名・CVE番号・脆弱性の種類は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり PhotoGoodsのサービスを停止。安全性が確認できるまで再開しない方針で、2026年9月16日時点の再開時期は未定。影響範囲はPhotoGoodsに限定され、同社のその他のサービスへの影響はないとしている。
- データ
- おそれ上限 —確定 —クレカ氏名住所電話メールハッシュ化PWカード情報はカード番号・有効期限・セキュリティコードの3項目。対象は2026年8月6日〜9月11日に決済画面へカード情報を入力した利用者（購入未完了を含む）。会員パスワードは元の値を直接読み取れない形式で保存された情報で、変換方式・ハッシュアルゴリズムは非公表。対象人数と漏えい範囲は9月17日時点で未確定。
- 波及先
- —
- カルビー（提携元。PhotoGoods利用者の個人情報を直接取得・保有していないと説明）
- 金銭影響
- —
- サプライチェーン
- カルビーの業務提携先である大興印刷が運営するPhotoGoodsで発生。カルビーは利用者の個人情報を直接取得・保有していないと説明している。
時系列
- 2026-08-06決済画面等でカード情報を不正取得する機能を持つ不正プログラムの設置が始まった（設置期間は8月6日〜9月11日）。1
- 2026-09-11
- 2026-09-11
- 2026-09-16
- 2026-09-16
- 2026-09-16公表時点で、サービス停止、不正プログラムの停止・削除、不正管理者アカウントの無効化、外部からのアクセス制限、システム・ログの調査保全などを実施。サービス再開時期は未定とされた。1
- 2026-09-17
- 2026-09-17対象人数と実際の漏えい範囲はこの時点で確定していないとされた。1
- 2026-09-25ScanNetSecurityがカルビー関連の公表内容を報じ、大興印刷が状況確認と詳細調査を進めていると伝えた。2
- 2026-10-06ScanNetSecurityが大興印刷の発表（9月16日）に基づき、カード情報漏えいの可能性を報じた。3
技術解説
公表された攻撃の構造 事実
大興印刷の説明によると、PhotoGoodsではシステム上の脆弱性およびファイルアップロード機能の悪用による第三者からの不正アクセスが確認された。調査では、決済画面等に入力されたクレジットカード情報を不正に取得する機能を持つプログラムの設置が確認され、設置期間は2026年8月6日から9月11日までとされている。9月11日に「不審な外部プログラムが読み込まれている」との連絡を受け、システム管理会社が調査を行った。一方、脆弱性が存在した製品やCMSの名称、CVE番号、具体的な種類、最初の侵入日時、攻撃主体、外部送信先は、9月16日の公表では明らかにされていない。
漏えいのおそれがある情報と対象範囲 事実
漏えいした可能性のあるカード情報は、クレジットカード番号、有効期限、セキュリティコードの3項目である。対象となる可能性があるのは2026年8月6日から9月11日に決済画面へカード情報を入力した利用者で、購入を完了しなかった場合も含まれる。カード情報以外にも、氏名、住所、電話番号、メールアドレス、会員パスワードに関する情報が漏えいした可能性がある。会員パスワードは元の値を直接読み取れない形式に変換して保存された情報だが、変換方式やハッシュアルゴリズムの詳細は公表されていない。対象人数と実際の漏えい範囲は9月17日時点で確定していない。
提携元との関係と公表済みの対応 事実
PhotoGoodsは大興印刷が運営するサービスで、カルビーは2026年9月17日に同社の業務提携先での個人情報等の漏えいの可能性として発表した。カルビーはPhotoGoods利用者の個人情報を直接取得・保有していないと説明している。大興印刷はサービス停止、不正プログラムの停止・削除、不正管理者アカウントの無効化、外部からのアクセス制限、システムおよびログの調査・保全などを実施した。安全性が確認できるまでサービスを再開しない方針で、9月16日時点の再開時期は未定である。影響範囲はPhotoGoodsに限定され、同社のその他のサービスへの影響はないとしている。
長期設置と第三者からの連絡による発覚という構図（解釈） 解釈
公表された期間を数えると、不正プログラムの設置は約5週間（36日間）に及んでいる。この間、決済画面は通常どおり利用できる状態だったと考えられ、利用者側からは異常に気づきにくい。発覚の端緒が外部からの「不審な外部プログラムが読み込まれている」という連絡だった点は、決済画面に読み込まれるスクリプトの変化を自組織で検知する仕組みの重要性を示唆する。ただし、社内での監視状況や連絡元は公表されていないため、体制の評価はできない。また、現在取得できている出典は報道3件で、被害組織の公式発表の原文は確認できていない。本節は公表内容からの推論であり、確定した事実ではない。
対応
- 封じ込め
- 大興印刷はPhotoGoodsのサービス停止、不正プログラムの停止・削除、不正な管理者アカウントの無効化、外部からのアクセス制限、システムおよびログの調査・保全などを実施した。安全性が確認できるまでサービスを再開しない方針。
- 公表の仕方
- 2026年9月16日に大興印刷が公表、9月17日にカルビーが公表。カード利用者には利用明細の確認とカード会社への問い合わせを案内し、フィッシングメール・SMS・電話への注意を呼びかけている。脆弱性の製品名・CVE、攻撃主体、対象人数などは公表されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ファイルアップロード機能は、Webサーバ上でコードを実行される入口になりうる。 | アップロードされたファイルは、実行権限のない領域や外部ストレージに保存する。拡張子・MIMEタイプ・内容を許可リストで検証し、保存先ディレクトリでのスクリプト実行をWebサーバ設定で禁止する。アップロード機能に認証と認可を必須にし、不要な機能は無効化する。 |
| 決済画面に不正なスクリプトが読み込まれると、入力されたカード情報が取得されるおそれがある。 | CSPで script-src と connect-src を許可リスト化する。決済画面のスクリプトにSRIを付与する。決済ページへの外部スクリプトの追加や改変を、ファイル整合性監視と定期クロールで検知する。可能ならカード入力をPSPのホスト型フォームやトークン方式に移し、自社サーバにカード情報を通さない。 |
| 今回は不正な管理者アカウントの無効化が必要になった。侵入後に管理権限が作られるおそれがある。 | 管理者アカウントの作成・権限変更を監査ログに記録し、通知を設定する。管理画面はIP制限と多要素認証で保護する。棚卸しで未知の管理者アカウントを定期的に洗い出す。 |
| 脆弱性が放置されると、設置された不正プログラムが長期間気づかれないままになるおそれがある。 | CMS・ライブラリ・プラグインの資産台帳を作り、脆弱性情報の収集とパッチ適用のSLAを定める。外部公開システムは定期的に脆弱性診断を受ける。WAFでファイルアップロード経路を保護し、不審なファイル生成を検知する。 |
| 提携サービスで起きた事故では、提携元と運営元の公表が別々になり、利用者が状況を把握しにくくなる。 | 契約時に、委託・提携先でのインシデント発生時の連絡期限、公表の分担、利用者向け窓口、ログ提供の範囲を取り決める。公表文には、対象期間・対象情報・確認方法を同じ形式で記載するテンプレートを用意する。 |
自組織などでの確認項目
- 自社の決済画面や会員ページで、読み込まれているスクリプトの一覧を把握していますか。外部スクリプトや改変を検知する仕組みはありますか。
- 自社のWebサイトにファイルアップロード機能はありますか。アップロード先でスクリプトが実行されない設定になっているか、最近確認しましたか。
- 不正な管理者アカウントが作られた場合、自社ではどのログから気づけますか。管理者アカウントの棚卸しはいつ行いましたか。
- 提携先や委託先が運営するサービスで自社ブランドの商品を扱う場合、事故発生時の連絡手順・公表の分担・利用者への案内は取り決めてありますか。
未解明点
- 対象となる利用者の人数と、実際にカード情報が外部へ送信された件数は、いつ・どのように公表されるのか。
- 悪用された脆弱性の製品名・種類と、最初の侵入日時はどうだったのか。不正プログラムの設置が8月6日より前の侵入によるものかも含めて明らかにされていない。
- PhotoGoodsの再開時期と、再開にあたっての再発防止策や安全確認の内容はどうなるのか。
- 会員パスワードの保存方式（ハッシュアルゴリズム等）は何で、パスワード再設定などの利用者向け対応が必要になるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-17報道本文確認済
- 2ScanNetSecurity2026-09-25報道本文確認済
- 3ScanNetSecurity2026-10-06報道本文確認済