ビューティガレージECサイトへの不正アクセス（カード情報漏えいの可能性・カード決済2か月半超停止）
公表日
ビューティガレージのBtoB-ECサイトで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、クレジットカード情報が漏えいした可能性があるとして、2026年2月6日からECサイトのカード決済が止まっています。漏えいの対象や件数は、4月下旬時点でも発表されていません。
対象者は？
過去にビューティガレージのECサイトでクレジットカード決済を利用した顧客が、注意を呼びかけられています。漏えいの対象期間と対象顧客は調査中で、件数も発表されていません。氏名・住所・電話番号などの個人情報も、漏えいがあったかどうかを含めて確認中です。同社は、カード情報は決済代行業者を通じて処理しており保持していないと説明しています。全国9拠点のショールーム・ストアの店頭でのカード決済は、使えるとされています。
同社は、漏えいが確認された場合は対象の顧客へ個別に連絡するとしています。それまでは、カードの利用明細を確認し、身に覚えのない請求があればカード発行会社へ連絡するよう呼びかけています。
いますぐできること
- 過去にビューティガレージのECサイトでカード決済を利用した人は、カードの利用明細を確認する。
- 身に覚えのない請求があれば、すぐにカード発行会社へ連絡する。
- ECサイトで注文するときは、カード以外の支払い方法（請求書払い、代金引換、銀行振込など）を選ぶ。
何が起きたのか
2026年2月6日、ビューティガレージはカード会社から、同社ECサイトでカード情報が漏えいした可能性があると連絡を受けました。同日23時から、ECサイトのカード決済を止め、外部の専門機関による調査を始めました。同日に第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性を公表し、注意を呼びかけました。2月20日には、警察や個人情報保護委員会などの行政機関へ報告したと発表しました。調査の完了は3月末頃、のちに4月中旬頃と案内されましたが、4月下旬の第5報では、さらに広い範囲の調査が必要になったと説明されました。
なぜ起きたのか・なぜ広がったのか
侵入の経路や、どのようにして情報が漏れた可能性があるのかは、まだ発表されていません。調査が長引いている理由として、同社は、サーバーのログ（記録）の分析に時間がかかっていること、調査の中でさらに広い範囲の調査が必要だと分かったことを挙げています。
いまの状況2026-04-28 時点続報待ち
2026年4月下旬の第5報の時点で、調査は続いています。完了の時期は「相応の期間を要する見込み」とされ、具体的な時期は示されていません。カード決済の再開は、調査の完了後にシステムの改修と再発防止の対策をしてから判断される予定で、時期は改めて案内される予定です。漏えいが確認されたかどうかは、まだ発表されていません。ECサイトでは請求書払いや代金引換などが使えます。
企業として考えたいこと
もし自社のECサイトでカード決済を数か月止めることになった場合、売上を支える代わりの支払い方法と、お客様への案内を、すぐに用意できるでしょうか。
技術的な要約
ビューティガレージは2026年2月6日、カード会社からの連絡を契機に、BtoB-ECサイトで第三者の不正アクセスによりクレジットカード情報が漏えいした可能性が判明したと公表した。同日23時からECサイトのカード決済を停止し、外部専門機関によるフォレンジック調査を開始した。漏えいの対象期間・対象顧客・個人情報の漏えい有無は調査中で、件数も公表されていない。フォレンジック調査の完了見込みは3月末頃から4月中旬頃へ延期され、4月下旬の第5報では完了時期は「相応の期間を要する見込み」とされ、カード決済停止は2か月半以上続いている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第三者による不正アクセスとされるが、侵入経路は公表されていない。カード会社からの連絡を契機に発覚した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ECサイトでのクレジットカード決済を2026年2月6日23時から停止。代替として請求書後払い、代金引換、コンビニ決済・銀行振込（前払い）を案内。全国9拠点のショールーム・ストアの店頭カード決済は利用可能。期間：2026-02-06から継続（第5報時点で2か月半以上）
- データ
- おそれ上限 —確定 —クレカクレジットカード情報が漏えいした可能性。対象期間・対象顧客は調査中で、氏名・住所・電話番号などの個人情報も漏えいの有無を含め確認中。同社は決済代行業者を通じて決済し、カード情報は保持していないと説明。第5報時点で漏えいの確認有無は未公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経緯と初期対応 事実
ビューティガレージは2026年2月6日、第三者による不正アクセスにより、ECサイトのお客様情報の一部が不正に取得された可能性が判明したとして、注意喚起と謝罪を公表した。発覚の契機は、カード会社から同社ECサイトでのクレジットカード情報漏えいの可能性について連絡を受けたことである。同日23時からECサイトのカード決済を停止し、外部専門機関によるフォレンジック調査を開始した。漏えいの対象期間や対象顧客は調査中で、氏名・住所・電話番号などの個人情報も、漏えいの有無を含めて確認中とされた。所轄警察署への被害届提出も予定しているとされ、2月20日には警察および個人情報保護委員会などの行政機関へ報告したと発表されている。
フォレンジック調査の見込み変更 事実
第2報では、フォレンジック調査の完了を2026年3月末頃と予定していた。第3報では、サーバーログデータの分析に期間を要しているとして、完了見込みを4月中旬頃に延期した。第4報でも見込みは4月中旬頃とされた。4月下旬の第5報では、4月中旬頃の見込みは達成できず、調査の過程でさらに広範な調査が必要と判明したと説明された。調査は継続中で、完了時期は「相応の期間を要する見込み」とされ、具体的な時期は示されていない。カード決済の再開は、調査完了後にシステム改修と再発防止措置を講じたうえで判断する方針で、再開までにさらに一定の期間を要する見込みとされた。停止は2月6日から続き、2か月半以上になっている。
事業への影響と代替手段 事実
ECサイトでのカード決済停止中、第1報の時点ではNP掛け払い（請求書による後払い）、代金引換、コンビニ決済（前払い）、銀行振込（前払い）などが案内されていた。4月下旬の第5報時点の報道では、月末締め・翌月末請求書払いが主な代替手段とされ、5,000円（税別）以上の注文では代引手数料が無料の代金引換も利用できる。小物商品の注文は、商品到着時にカード決済ができる。全国9拠点のショールーム・ストアでは、店頭のカード決済が引き続き利用可能である。同社は、カード決済は決済代行業者を通じて実施しており、顧客のカード情報は保持していないと説明している。一方、第5報時点でも、漏えいの確認の有無は公表されていない。
検知経路と長期化の読み方 解釈
公表された範囲では、本件はカード会社からの連絡を契機に発覚している。報道もこの点を特徴として指摘している。カード会社側の不正利用の分析から、共通の利用先としてECサイトが浮かぶ形で、利用先が知る前に疑いが伝わる場合がある。このため、侵害から発覚までの期間が長くなっている可能性はあるが、侵入日や対象期間が未公表のため断定はできない。調査が3月末から4月中旬、さらに期間未定へと延びた経緯は、ログの量や保存状況、調査範囲の広がりが関係していることを示唆する。ただし、具体的な理由は第3報のサーバーログ分析と第5報の広範な調査の必要性という説明にとどまる。これらは解釈であり、原因は公表されていない。
公表内容の評価と残る不確実性 解釈
第1報の当日に決済停止、注意喚起、代替手段、問い合わせ先の方向性を示し、続報も複数回出している点は、利用者が自衛策を取りやすい対応と読める。一方で、侵入経路、対象期間、件数、漏えいの確認有無、決済再開の時期はいずれも示されていない。カード情報を保持しないという説明と、カード情報漏えいの可能性があるという連絡は、どのような経路で両立し得るのかが読み取れない。決済画面の構成によって、情報の通り方は変わり得るためである。これらの整合は、調査の完了と詳細な報告を待たなければ評価できない。現時点では「おそれ」の段階であり、確定した被害として扱うべきではない。
対応
- 封じ込め
- カード会社の連絡を受けて2026年2月6日23時からECサイトのカード決済を停止。外部専門機関によるフォレンジック調査を実施中。再開は調査完了後、システム改修と再発防止措置を講じたうえで判断し、時期は改めて案内する。
- 公表の仕方
- 2026年2月6日に第1報で注意喚起と謝罪を公表し、2月20日に続報、4月下旬に第5報を公表。カード情報を含む個人情報の漏えいが確認された場合は対象顧客へ個別に連絡する。過去のカード決済利用者には利用明細の確認とカード発行会社への連絡を呼びかけている。
- 当局対応
- 警察（被害届提出予定）
- 個人情報保護委員会などの行政機関（2026-02-20報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| カード会社など外部からの連絡で発覚する前提で、自社でも早期に検知できる体制が要る | 決済ページ・チェックアウトで読み込まれるJavaScriptと、HTML・テンプレートの改ざんを検知する。CSPのreport-uri/report-toと、SRI、ファイル整合性監視（ハッシュ比較）を導入する。変更検知のアラートを、運用担当者に通知する。 |
| フォレンジックは長期化し得るため、ログを十分な期間・十分な粒度で保全しておく | Webサーバ、アプリ、WAF、認証、DBの各ログを集中管理基盤へ転送し、改ざん耐性のある保管先に最低1年分保持する。時刻をNTPで同期し、調査時にログを横断検索できるようにしておく。 |
| 決済代行を使っていても、ECサイト側の改ざんや画面構成によりカード情報が影響を受ける可能性は残る | トークン化されたリンク型・iframe型など、カード番号が自社サーバを通らない方式を採用する。自社サーバ経由の方式を使う場合は、決済画面の脆弱性診断を定期実施し、決済関連の管理画面へのアクセスにMFAとIP制限を設ける。 |
| 決済停止が長引いても事業を継続できる代替の支払い手段を、あらかじめ用意しておく | 請求書払い、代金引換、銀行振込などの代替手段の切替手順と、受注・与信・入金消込の運用を事前に文書化する。年1回は切替訓練を行い、決済停止時の顧客向け告知文面と掲載場所も準備しておく。 |
| 調査見込みを示す際は、見直しの条件と次回報告の予定を併せて示すと、利用者が状況を判断しやすい | インシデント対応計画に、公表の更新間隔、調査完了見込みの見直し基準、再開判断の条件を定めておく。公表テンプレートに、確定事項、調査中事項、未確定事項を分けて記載する欄を設ける。 |
自組織などでの確認項目
- 自組織のECサイトや会員向けサイトの決済画面では、カード番号の入力・送信が自社サーバを通るか、決済代行事業者の画面だけで完結するかを確認できているか。
- 決済ページで読み込まれる外部スクリプトと、サイト内のテンプレートファイルの変更を、誰がどの手段で検知できるか。直近の変更履歴を遡って確認できるか。
- カード決済が数か月停止した場合に、受注・請求・入金の運用を代替手段で回せるか。切替手順と顧客への案内文は、すぐ使える状態で準備されているか。
- インシデント調査に必要なログは、何日分、どの保管先に残っているか。調査会社にすぐ提供できる形になっているか。
未解明点
- 侵入の日時と経路、および漏えいの対象期間は、いつ、どのような形で公表されるのか。
- 漏えいしたカード情報の件数や対象顧客の範囲は、どれだけか。氏名・住所・電話番号などの個人情報にも漏えいがあったのか。
- カード会社からの連絡の内容と、カード情報を保持していないという説明は、どのように整合するのか。
- カード決済の再開時期はいつか。再開までにどのシステム改修と再発防止策が行われるのか。
出典
- 1ネットショップ担当者フォーラム（インプレス）2026-02-27報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-08報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-28報道本文確認済
- 4ScanNetSecurity2026-02-26報道本文確認済
- 5ScanNetSecurity2026-03-11報道本文確認済
- 6ScanNetSecurity2026-02-26報道本文確認済