ストアカの個人情報漏えい懸念（決済代行会社からの連絡を受けカード決済を約3か月停止、調査では侵害確認されず）
公表日
学びのマーケット「ストアカ」で、過去にカード決済を使った一部の利用者のカードが第三者に不正利用されたと、決済代行会社から運営会社に連絡がありました。運営会社は2026年1月16日から約3か月カード決済を止めましたが、外部の調査では同社システムへの侵害や個人情報の流出は確認されませんでした。
対象者は？
過去に「ストアカ」でクレジットカード決済を使った人が、明細の確認を呼びかけられています。不正利用が確認されたのは「一部」の利用者とされ、人数は発表されていません。調査では、同社システムからカード会員データを含む個人情報が流出した事実は確認されていません。累計受講者数200万人以上はサービスの規模を示す数字で、影響を受けた人数ではありません。
運営会社は、カードの利用明細を確認し、身に覚えのない請求があればすぐにカード発行会社へ連絡するよう案内しています。
いますぐできること
- 過去にストアカでカード決済を使ったことがあれば、カードの利用明細を確認する。
- 身に覚えのない請求があれば、すぐにカード発行会社へ連絡する。
何が起きたのか
2026年1月16日、ストアカを運営するストリートアカデミー株式会社に、決済代行会社から連絡がありました。過去にストアカを使った一部の人のカードが第三者に不正に使われていて、ストアカの利用と関係があるかもしれないという内容です。会社はその日のうちにカード決済を止め、お知らせを出しました。また、個人情報保護委員会に報告し、警察にも相談しました。カードが使えない間は、銀行振込（講座のみ）、Amazon Pay（Webのみ）、PayPal（講座・依頼機能、Webのみ）、ストアカポイントで支払えるようにしました。その後、外部の専門調査機関が調べ、4月15日に結果が発表されました。
なぜ起きたのか・なぜ広がったのか
カードが不正に使われた原因や経路は発表されていません。PCI SSCの認定を受けた外部の調査機関が調べた結果、同社システムにサーバーへの侵入やプログラムの改ざんの痕跡は見つからず、カード情報を含む個人情報が外部に流出した事実も確認されませんでした。カード決済を約3か月止めたのは、決済代行会社と提携金融機関の決まり・指示に基づく対応でした。
いまの状況2026-04-15 時点
運営会社は調査結果とセキュリティ強化策の実施状況をカード会社と決済代行会社に報告して協議し、安全性が確認されたとして、2026年4月20日からカード決済を再開すると発表しました。強化策の具体的な内容、不正利用が確認された人数、被害を受けた人への補償については、まだ発表されていません。
企業として考えたいこと
取引先の決済代行会社から「御社との関係が疑われる不正利用がある」と連絡が来たら、その日のうちに誰が決済を止めると判断し、どの代わりの支払い方法で売上を保てるかが決まっていますか。
技術的な要約
2026年1月16日、「ストアカ」を運営するストリートアカデミー株式会社は、決済代行会社から、過去に同サービスを利用した一部顧客で第三者による不正利用が確認され、サービス利用との関連が疑われるとの連絡を受けた。同社は同日からクレジットカード決済を一時停止し、個人情報保護委員会への報告と警察署への相談を行ったうえで、外部の専門調査機関によるフォレンジック調査を実施した。2026年4月15日の報告では、PCI SSC認定の専門調査機関から「当社システムへの侵害の事実は確認されなかった」との報告を受け、サーバー侵入やプログラム改ざんの痕跡も、カード会員データを含む個人情報の外部流出も確認されなかったとしている。同社は調査結果とセキュリティ強化策の実施状況を各カード会社・決済代行会社に報告・協議し、2026年4月20日からカード決済を再開することを決定した。不正利用の原因や経路については、公表資料から読み取れない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第1報では「当社システムからの個人情報漏えいの有無や原因については確定しておらず」と記載。2026年4月15日の報告では「当社システムにおいて、第三者によるサーバー侵入やプログラムの改ざんといった侵害の痕跡は検出されませんでした」とされ、侵入口は特定されていない。第三者によるカードの不正利用が決済代行会社側で確認された点のみが公表されている。
- 脆弱性
- CVE 非公表不明脆弱性に関する公表はない。フォレンジック調査でも侵害の痕跡は検出されなかったとされている。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 2026年1月16日からクレジットカード決済の利用を一時停止。決済代行会社および提携金融機関の規定・指示に基づく対応。停止期間中の代替手段は、銀行振込（講座のみ）、Amazon Pay（全サービス、Webのみ）、PayPal（講座・依頼機能、Webのみ）、ストアカポイント（全サービス）。サービス全体の停止は公表されていない。期間：2026-01-16から2026-04-20のカード決済再開まで（約3か月）
- データ
- なし上限 —確定 —調査の結果、システム内からカード会員データを含む個人情報が外部へ窃取・流出した事実は確認されなかったと公表されている。累計受講者数200万人以上は同社の紹介数値であり、影響を受けた件数ではない。不正利用が確認された顧客の人数は「一部」とのみ公表され、数は非公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 決済代行会社からの連絡が発端だが、委託先や関係先の侵害は公表されていない。
時系列
- 2026-01-16
- 2026-01-16
- 2026-01-16
- 2026-01-16個人情報保護委員会へ報告済み、所轄の警察署へ相談済みと公表（第1報時点）。1
- 2026-01-16外部の専門調査機関によるフォレンジック調査を実施し、不正アクセスの手口と影響範囲の特定に努めるとした。過去にカード決済を利用した顧客には、利用明細の確認と、身に覚えのない請求のカード発行会社への連絡を依頼。1
- 2026-02-03ScanNetSecurityが、一部顧客の不正利用確認とカード決済の一時停止を報道。3
- 2026-04-15
- 2026-04-15PCI SSC認定の外部専門調査機関のフォレンジック調査で、「当社システムへの侵害の事実は確認されなかった」との報告を受けたと公表。サーバー侵入・プログラム改ざんの痕跡、カード会員データを含む個人情報の外部流出も確認されなかったとした。2
- 2026-04-20調査結果とセキュリティ強化策の実施状況を各クレジットカード会社・決済代行会社に報告・協議し、安全性が確認されたとして、クレジットカード決済を再開。2
- 2026-05-07ScanNetSecurityが、調査結果（侵害の事実は確認されず）を報道。4
技術解説
経緯と第1報の内容 事実
2026年1月16日、「ストアカ」を運営するストリートアカデミー株式会社は、決済代行会社から連絡を受けた。内容は「過去に当社サービスをご利用された一部のお客様において、第三者による不正利用が確認されており、当社サービスの利用との関連が疑われる」というものだった。同社は同日、決済代行会社と提携金融機関の規定・指示に基づき、クレジットカード決済を一時停止した。あわせて第1報を公表した。第1報の時点では、当社システムから個人情報が漏えいしたかどうかも、その原因も確定していなかった。同社は個人情報保護委員会へ報告し、所轄の警察署へも相談したとしている。また、外部の専門調査機関によるフォレンジック調査を行い、不正アクセスの手口と影響範囲を特定するとした。カード停止中に使える決済手段は、銀行振込（講座のみ）、Amazon Pay（全サービス、Webのみ）、PayPal（講座・依頼機能、Webのみ）、ストアカポイント（全サービス）と案内された。過去にカード決済を使った顧客には、利用明細を確認し、身に覚えのない請求があればカード発行会社へ連絡するよう依頼した。
調査結果とカード決済の再開 事実
2026年4月15日の報告によると、同社はPCI SSCの認定を受けた外部の専門調査機関にフォレンジック調査を依頼した。その結果、「当社システムへの侵害の事実は確認されなかった」との報告を受けたと公表した。第三者によるサーバー侵入やプログラム改ざんといった侵害の痕跡は検出されなかった。当社システム内から、カード会員データを含む個人情報が外部へ窃取・流出した事実も確認されなかったとしている。同社は、調査結果とセキュリティ強化策の実施状況を各クレジットカード会社と決済代行会社に報告して協議した。安全性が確認されたとして、2026年4月20日（月）からカード決済を再開すると決めた。停止期間中に利用者へ不便と迷惑をかけたことについて謝罪している。不正利用が確認された顧客の範囲は、公表資料では「一部」と書かれているだけである。同社が紹介する累計受講者数200万人以上はサービスの規模を示す数値で、影響を受けた件数ではない。
「侵害は確認されず」という結論の読み方 解釈
今回の結論は「当社システムへの侵害の事実は確認されなかった」というもので、不正利用そのものが無かったという意味ではない。決済代行会社が確認した不正利用がどこから起きたのかは、公表資料からは分からない。たとえば、利用者の端末や他のサービス、フィッシングなど、同社の外でカード情報が取られた可能性もある。一方で、侵害があったのに痕跡が残らなかった可能性もある。公表情報だけでは、どちらも否定も肯定もできない。決済代行会社がどんな根拠で「関連が疑われる」と判断したのかも示されていない。そのため、調査の範囲（対象期間や対象システム）が分からないまま結論の強さを外部から評価するのは難しい。読み手は「侵害を確認できなかった」と「侵害がなかったと証明された」を分けて受け取る必要がある。同時に、掲載組織に落ち度があったとする根拠も公表されていない点に注意したい。
約3か月の決済停止が示す加盟店側の構造 解釈
カード決済の停止は、2026年1月16日から4月20日の再開まで約3か月続いた。停止は、決済代行会社と提携金融機関の規定・指示に基づく対応と説明されている。加盟店は、懸念の段階でも決済の停止を求められうる立場にあると読める。代替手段は4種類あったが、Webのみの手段や、使えるサービスが限られる手段が含まれていた。そのため、利用者の申し込みのしやすさや、講座を提供する側の売上に影響した可能性がある。ただし、売上への影響などの財務数値は公表されていない。また、再開には調査結果だけでなく、セキュリティ強化策の実施状況の報告と協議が必要だった。侵害が見つからなくても、強化策を示すことが再開の条件の一部になったと考えられる。決済を止めている期間の長さは、調査の進み具合と、関係者との協議の速さに左右される構造だといえる。
公表のタイミングと情報量の評価 解釈
同社は連絡を受けた当日に、決済の停止と第1報の公表を行った。漏えいの有無や原因が「確定しておらず」とはっきり書いたうえで、利用者に明細の確認を依頼している。懸念の段階で早めに公表したことで、利用者は自分で被害を確認する行動を取ることができた。この点には意義がある。一方、4月の報告には次の情報が含まれていない。強化策の具体的な内容、不正利用が確認された件数、調査の対象範囲である。第三者が結論を検証する材料は限られている。また、第1報の題名は「不正アクセスによる個人情報漏えい懸念」だったが、最終的に侵害は確認されなかった。初報の表現と結論にずれが生じた形である。懸念段階の公表で、確定した事項と未確定の事項をどんな言葉で分けて書くかは、他の組織にとっても検討すべき課題である。
対応
- 封じ込め
- 2026年1月16日にクレジットカード決済を一時停止し、決済代行会社および提携金融機関の規定・指示に基づき対応。PCI SSC認定の外部専門調査機関によるフォレンジック調査を実施し、結果とセキュリティ強化策の実施状況をカード会社・決済代行会社に報告・協議のうえ、2026年4月20日にカード決済を再開した。強化策の具体的内容は、渡された公表情報からは読み取れない。
- 公表の仕方
- 2026年1月16日に第1報を公表（原因・漏えいの有無は未確定）。2026年4月15日に調査結果と決済再開を報告。顧客へはカード利用明細の確認と、身に覚えのない請求のカード発行会社への連絡を依頼し、決済停止期間中の不便と迷惑について謝罪した。
- 当局対応
- 個人情報保護委員会（報告済み）
- 所轄の警察署（相談済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済代行会社からの「関連の疑い」の連絡は突然届き、当日中にカード決済の停止を求められることがある。 | 決済代行会社・カード会社との連絡窓口、決済停止を決める判断者、停止手順（管理画面の操作、設定値の変更）をランブックにしておく。年1回は机上演習で、連絡を受けてから停止・告知までの所要時間を測る。 |
| カード決済を長く止める間、代替の決済手段がWebかアプリか、どのサービスで使えるかによって利用者が受ける影響が変わる。 | カード以外の決済手段を常に複数有効にしておく。決済手段ごとにフィーチャーフラグを用意し、カード決済だけを止められるようにする。代替手段がWeb・アプリ・全商品種別で使えるかを一覧表で管理し、四半期ごとに見直す。 |
| 侵害の有無をフォレンジックで判断するには、調査の対象期間をカバーするログと改ざんの痕跡が残っている必要がある。 | Webサーバ・アプリ・管理画面の操作ログと、ファイル整合性監視（FIM）の記録を、改ざんできないストレージに少なくとも1年分保存する（PCI DSS要件10の考え方に沿う）。保存期間と対象システムの一覧を、決済代行会社に提出できる形で整えておく。 |
| カード情報を保持しない構成でも、決済画面やそこで動くスクリプトの改ざんは、加盟店が関連を疑われる原因になりうる。 | 決済ページで読み込むJavaScriptの一覧を管理する。CSPとSRIを設定し、スクリプトやHTTPヘッダの変更を検知して通知する仕組みを入れる（PCI DSS v4.0 要件6.4.3・11.6.1に相当）。 |
| 懸念の段階での公表は、最終的な結論と表現がずれることがある。 | 初報のテンプレートを「確定している事実／未確定の事項／利用者へのお願い／次の報告の予定」に分けて作っておく。題名に原因を断定する語を入れるかどうかを広報・法務・セキュリティ担当で確認する手順を定める。 |
自組織などでの確認項目
- 決済代行会社やカード会社から「御社サービスとの関連が疑われる」と連絡を受けたとき、誰が受け取り、誰が決済停止と公表を決めるかが文書になっているか。
- カード決済だけを止めた場合に使える代替決済は何か。Web・アプリ・商品種別ごとに使えるかどうかを一覧で把握しているか。
- フォレンジック調査で侵害の有無を判断できるだけのログ（アクセスログ、管理画面の操作ログ、ファイル改ざん検知の記録）が、どの期間分保存されているか。
- 決済ページで読み込まれるスクリプトやページ内容の改ざんを検知し、通知する仕組みがあるか。
未解明点
- 不正利用が確認された顧客の人数と、不正利用が起きた時期
- 決済代行会社が同社サービスとの関連を疑った根拠
- 再開の条件として報告したセキュリティ強化策の具体的な内容
- フォレンジック調査の対象期間・対象システムの範囲と、カード情報を扱う方式（非保持か、決済画面の構成など）
- 不正利用の被害を受けた顧客への補償や個別連絡の有無
出典
- 1ストリートアカデミー株式会社2026-01-16公式本文確認済
- 2ストリートアカデミー株式会社2026-04-15公式本文確認済
- 3ScanNetSecurity2026-02-03報道本文確認済
- 4ScanNetSecurity2026-05-07報道本文確認済