RIZAP「APORITOオンラインストア」への不正スクリプト設置（カード情報等の流出のおそれ、サイト閉鎖継続）とREXTのランサムウェア被害
公表日
RIZAPの通販サイト「APORITOオンラインストア」で、2026年5月1日から8月5日までに注文や情報入力をした利用者のカード情報などが流出した可能性があり、サイトは閉鎖が続いています。同じ時期に、グループ会社REXTでもランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害があり、複数の店舗が休業や制限を受けました。
対象者は？
2026年5月1日から8月5日までにAPORITOオンラインストアで注文した、または情報を入力した利用者が対象です。流出した可能性がある情報は、氏名、住所、電話番号、メールアドレスと、カード番号、有効期限、セキュリティコードです。対象の人数は公表されておらず、実際に流出したと確認された件数もまだ分かっていません。8月10日時点では、不正利用や実際の漏えいは確認されていないとされています。REXTの件では、具体的な情報流出は確認されていませんが、個人情報や取引先情報が漏れた可能性は完全には否定できないとされています。
カード情報が流出した可能性のある方には、8月8日付でRIZAPからメールで個別に連絡が行われています。メールが来ていない場合の確認方法は、まだ発表されていません。心当たりのある方は、カード会社の利用明細で身に覚えのない請求がないかを確認してください。
いますぐできること
- APORITOオンラインストアで5月1日から8月5日までに買い物や入力をした心当たりがあれば、カードの利用明細を今後も続けて確認する。
- RIZAPや警察、カード会社を名乗る電話・メール・SMSには注意し、不審な連絡のリンクや番号には対応しない。
- カードの停止や再発行は、RIZAPが一律には求めていません。不安があれば、ご自身の判断でカード会社に相談する。
何が起きたのか
2026年8月5日、RIZAPは「APORITOオンラインストア」のシステム内で、不審な外部送信プログラムを見つけました。第三者が不正なスクリプトを設置したことが原因とされ、同日15時30分にサイトを一時閉鎖しました。対象者には8月8日付でメールで連絡しています。8月9日には、APORITO事業の運営の一部を委託されているグループ会社REXT株式会社で、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による被害が確認されました。8月10日にRIZAPは、この2件を公表しました。REXTの被害では、WonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗で臨時休業や営業時間の変更、キャッシュレス決済の利用制限、買い取り受付と査定の停止などが起きました。8月18日にはAPORITOの第二報が公表されました。
なぜ起きたのか・なぜ広がったのか
APORITOについては、第三者が不正なスクリプトを設置したことが原因とされていますが、どのような方法で入り込んだのか、なぜ8月5日まで見つからなかったのかは、公表されていません。REXTの侵入経路も公表されていません。RIZAPとREXTは、2件の関連には触れておらず、別々の事案として公表されています。REXTの影響が店舗に広がった理由としては、APORITO運営の一部を委託されている会社のネットワークが止まったことで、店舗の休業やサービス提供の制限が発生した、と報じられています。
いまの状況2026-08-18 時点続報待ち
2026年8月18日の第二報の時点で、APORITOオンラインストアは8月5日から閉鎖が続いており、再開時期は未定です。対象の件数、実際に流出した情報、侵入の経路は、まだ確定していません。RIZAPは外部の第三者専門調査機関と協力して、原因の特定と全容の解明を進めており、セキュリティ強化や監視体制の見直しも進めています。個人情報保護委員会には速報として報告済みです。カードの停止・再発行にかかる手数料の扱いや補償方針は調査中で、決まり次第案内するとされています。この事案を使った詐欺が実際に起きたという発表は、今のところありません。REXT側の最新の復旧状況は、まだ発表されていません。
企業として考えたいこと
自社の通販サイトの決済や入力画面で、知らないうちに外部へ情報が送られるような変更が起きていないかを、どのような方法で、どのくらいの頻度で確認していますか。
技術的な要約
RIZAP株式会社は2026年8月10日、運営する通販サイト「APORITOオンラインストア」に第三者が不正スクリプトを設置し、2026年5月1日から8月5日までに注文または情報入力をした利用者の氏名・住所・電話番号・メールアドレスとクレジットカード情報（番号・有効期限・セキュリティコード）が流出した可能性があると発表した。8月5日に不審な外部送信プログラムを発見し、同日15時30分にサイトを一時閉鎖したが、8月18日の第二報時点でも閉鎖は継続し、再開時期は未定である。対象者へは8月8日付でメール連絡を行い、個人情報保護委員会へ速報を報告済みで、外部の第三者専門調査機関と原因調査を続けている。対象件数、実際に流出した情報の範囲、技術的な侵入経路は第二報でも確定していない。これとは別に、APORITO事業の運営の一部を委託されているグループ会社REXT株式会社が8月9日にランサムウェア被害を確認し、WonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗で休業やサービス制限が生じた。両社とも2件の関連には触れておらず、別々の事案として公表されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明APORITOオンラインストアは「第三者による悪意ある不正スクリプトの設置」が原因とされるが、技術的な侵入経路と、なぜ8月5日まで発見に至らなかったかはRIZAPから公表されていない。REXTの侵入経路も記載がない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品は公表されていない（第二報時点でも技術的な侵入経路は未確定）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり APORITOオンラインストアは8月5日15時30分に一時閉鎖され、8月18日時点でも閉鎖が続き再開時期は未定。REXT側ではWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗で臨時休業、営業時間変更、キャッシュレス決済の利用制限、買い取り受付と査定の停止が発生した。新星堂WonderGOOの楽天市場店では受注処理と発送が通常より2〜3日遅れる見込みと告知された。期間：APORITOオンラインストアは2026-08-05の閉鎖から2026-08-18時点まで継続（再開未定）。REXT側は2026-08-09の被害確認以降、休業・サービス制限が継続と報じられた。
- データ
- おそれ上限 —確定 —氏名住所電話メールクレカAPORITOは2026年5月1日〜8月5日の注文・情報入力者が対象で、氏名・住所・電話番号・メールアドレスとカード番号・有効期限・セキュリティコードが流出した可能性がある。件数は未公表。8月10日時点で不正利用や個人情報の実際の漏えいは確認されていないとされる。REXTは具体的な情報流出は確認されていないが、個人情報や取引先情報の外部漏えいの可能性は完全には否定できない状況。
- 波及先
- —
- WonderGOO
- WonderREX
- 新星堂
- HAPiNS
- JEANS MATE
- 金銭影響
- カードの停止・再発行手数料の扱いと補償方針は調査中で、確定後に案内するとされている。損害額の公表はない。
- サプライチェーン
- RIZAPはAPORITO運営の一部をREXT株式会社に委託しており、REXTのネットワーク停止により店舗休業やサービス提供制限が発生した。REXTの被害は委託先経由の事案として報じられた。一方、両社とも2件の関連には触れておらず、別事案として公表されている。
時系列
技術解説
APORITOオンラインストアで公表された内容 事実
RIZAPは2026年8月10日、通販サイト「APORITOオンラインストア」に第三者が悪意ある不正スクリプトを設置し、個人情報とクレジットカード情報が流出した可能性があると発表した。8月5日にシステム内で不審な外部送信プログラムを発見し、同日15時30分にサイトを一時閉鎖している。対象は5月1日から8月5日までに注文または情報入力をした利用者で、氏名・住所・電話番号・メールアドレスと、カード番号・有効期限・セキュリティコードが流出した可能性のある情報とされる。対象者には8月8日付でメールにより個別連絡し、個人情報保護委員会へ速報として報告した。8月10日時点では、不正利用や二次被害、実際の漏えいは確認されていないとされた。
グループ会社REXTのランサムウェア被害 事実
同じ8月10日に、グループ会社REXT株式会社で8月9日にランサムウェアによる不正アクセス被害が確認され、社内ネットワークの一部に障害が生じたことも公表された。RIZAPはAPORITO事業の運営の一部をREXTに委託している。影響はWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗に及び、臨時休業、営業時間の変更、キャッシュレス決済の利用制限、買い取り受付と査定の停止が起きた。新星堂WonderGOOの楽天市場店では、受注処理と発送が通常より2〜3日ほど遅れる見込みと告知された。具体的な情報流出は確認されていないが、個人情報や取引先情報の外部漏えいの可能性は完全には否定できないとされる。両社とも2件の関連には触れておらず、別々の事案として公表されている。
第二報の時点で確定していないこと 事実
RIZAPは2026年8月18日にAPORITOオンラインストアの第二報を公表した。サイトは8月5日の一時閉鎖が続き、再開時期は8月18日時点で未定である。第二報でも、影響を受けた人数・件数、実際に流出した情報、技術的な侵入経路について新たな確定情報は公表されていない。なぜ8月5日まで発見に至らなかったのかも公表されていない。外部の第三者専門調査機関と連携し、全容解明と原因特定を続けている。カードの停止や再発行については「当社から一律にお願いするものではございません」とし、判断を利用者に委ねた。手数料の扱いや補償方針は調査中である。利用者には、カード利用明細の継続確認と、RIZAPや警察、カード会社を装う電話・メール・SMSへの注意が呼びかけられている。本件を利用した詐欺が実際に起きたとの公表は、現時点でない。
2件を並べて読むときの留意点 解釈
2件は同日に公表されたが、公表上は別々の事案であり、因果関係は示されていない。そのため、REXTのランサムウェア被害がAPORITOの不正スクリプトに結びつくと読むことは、現時点の情報では根拠がない。また、5月1日という日付は流出の可能性がある対象期間の開始日であり、スクリプトが設置された日とは限らない。実際の設置時期は公表されておらず、期間が約3か月に及ぶ点は、検知までの経緯の説明を待って評価すべきである。件数が未確定のため、被害規模の大小も現段階では論じにくい。一方で、一方はカード情報の送信のおそれ、他方は店舗運営の停止という、影響の種類が異なる。読者は両者を区別して、それぞれの続報を確認する必要がある。
対応
- 封じ込め
- 2026-08-05 15:30にAPORITOオンラインストアを一時閉鎖。外部の第三者専門調査機関と連携して全容解明と原因特定を継続し、システムのセキュリティ強化と監視体制の見直しを進めている。注文済み商品は順次発送、返金や個人情報の削除希望は相談窓口で個別対応。カード停止・再発行は当社から一律にお願いするものではないとし、判断を利用者に委ねた。
- 公表の仕方
- 2026-08-08付で対象者にメール連絡、2026-08-10に第一報、2026-08-18に第二報を公表。第二報でも対象件数・流出情報の範囲・技術的な侵入経路は未確定。利用者にはカード利用明細の継続確認と、RIZAPや警察、カード会社を装う電話・メール・SMSへの注意を呼びかけた。フィッシングや詐欺の実発生の公表は現時点でない。
- 当局対応
- 個人情報保護委員会（速報として報告済み）
- 警察等（法令にもとづき対応）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済・入力画面に外部へ送信するスクリプトが紛れ込むと、カード情報が気付かれないまま送られるおそれがある。 | Content-Security-Policyのconnect-src/script-srcで許可リストを定め、違反をreport-uriで収集する。決済ページの全スクリプトのハッシュをデプロイ時に記録し、SRIと定期的な差分検査で改変を検知する。 |
| 対象期間が5月1日から8月5日までと長く、外部送信の発見が8月5日になった点は、継続的な監視の設計を見直す材料になる。 | ECサーバーとブラウザ側の双方で、未登録の宛先への外部通信を検知するアラートを設定する。ヘッドレスブラウザで決済フローを毎日巡回し、読み込まれるスクリプトと通信先の一覧を前日と比較する。 |
| カード番号・有効期限・セキュリティコードが入力画面を通る構成では、改ざんされた場合の影響が大きい。 | 決済代行会社のホスト型決済ページ（リダイレクト型やiframe型）やトークン化を採用し、自社サイトでカード情報を扱わない構成にする。非保持化の適用範囲を決済フロー全体で確認する。 |
| 委託先のネットワーク停止が店舗休業や決済制限、受注遅延にまで及んだ。委託先の被害は自社の業務継続に直結する。 | 委託先との接続を業務ごとに洗い出し、停止時の代替手順（手動受注、現金対応など）を決める。ネットワークの分離、VPNや認証情報の期限管理、委託先のバックアップをオフラインで保持する要件を契約に盛り込み、年1回は停止を想定した訓練を行う。 |
| 第二報でも件数・流出範囲・侵入経路が未確定であり、早い段階で影響範囲を絞るためのログと証跡が重要になる。 | WebサーバーとWAF、CDN、決済連携のログを最低6か月から1年保管し、インシデント発生時に改ざん前のコードのスナップショットを取得する。対象期間と利用者を特定できるよう、注文・入力履歴とアクセスログを突き合わせる手順書を用意しておく。 |
自組織などでの確認項目
- 自社の通販サイトや会員向けサイトで、決済・入力画面が読み込む外部スクリプトを一覧にできているか。追加や変更を誰が承認し、どう検知しているか。
- 自社の決済画面から外部へ送信される通信先を、直近で確認した日はいつか。登録のない宛先が見つかった場合、誰がどの時間内に対応するか。
- 業務の一部を委託している会社のネットワークが数日止まった場合、自社の店舗・受注・決済・発送のどこが止まるか。代替手順は文書化され、試されているか。
- 件数や侵入経路が分からない段階で、自社はどの情報をいつ利用者に伝えるか。カード情報を含む場合の連絡文面と窓口は準備されているか。
未解明点
- APORITOオンラインストアの対象件数と、実際に流出が確認された情報の範囲はどうなるか。
- 不正スクリプトがどのような経路で設置されたか、設置日はいつか、なぜ8月5日まで発見に至らなかったのか。
- APORITOオンラインストアの再開時期と、再開時に講じられる再発防止策は何か。
- カードの停止・再発行にかかる手数料の扱いや補償方針はどう確定するのか。
- REXTのランサムウェア被害の侵入経路と、個人情報や取引先情報の外部漏えいの有無はどうなるか。また、2件の間に関連があるかどうか。
出典
- 1Innovatopia2026-08-13報道本文確認済
- 2INTERNET Watch2026-08-12報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-20報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-18報道本文確認済
- 5ScanNetSecurity2026-08-18報道本文確認済
- 6ScanNetSecurity2026-08-20報道本文確認済