佐嘉平川屋オンラインショップの決済改ざん（Eスキミング）による情報漏えい（カード情報5,783名・個人情報30,170名、最長約5年分）
公表日
佐賀県の豆腐店「佐嘉平川屋」のオンラインショップで、注文画面が不正に書き換えられ、5,783人分のクレジットカード情報と、30,170人分の氏名・住所などが漏れたおそれがあります。
対象者は？
佐嘉平川屋の自社オンラインショップを使った方です。2025年3月21日から2026年3月10日までにカードで支払った5,783人はカードの名義・番号・有効期限・セキュリティコードが、2021年4月6日から2026年3月10日までに情報を入力した30,170人は氏名・生年月日・住所・電話番号・メールアドレスが対象です。発表では最大73,213件のおそれとされ、流出が確定したわけではありませんが、一部のカードが不正に使われた可能性も確認されています。楽天の店舗や直営店の利用者は対象外です。
対象の方には、会社からメール（届かない場合は郵便）で個別に連絡が行われています。専用の問い合わせ窓口が公式のお知らせに載っています。
いますぐできること
- カードの利用明細を確認し、身に覚えのない支払いがあればカード会社に連絡する。カードの再発行手数料は利用者の負担にならないよう依頼されています
- 佐嘉平川屋を名乗るメールのリンクは開かず、カード番号などを入力しない
何が起きたのか
佐嘉平川屋の自社オンラインショップで、システムの弱点を突いた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、外部の委託先のサーバーに不正なファイルが置かれました。このファイルは、お客様が注文画面に入力した情報を外部に送っていました。2026年3月9日にカード会社から連絡を受けて分かり、同じ日にカード決済を止めました。3月27日に専門の調査会社による調査が終わり、6月15日に発表しました。報道によると、流出したカード情報を使って買い物をした人物が6月24日に佐賀県警に逮捕されましたが、システムに侵入した犯人は分かっていません。
なぜ起きたのか・なぜ広がったのか
システムのどの部分の、どのような弱点が悪用されたのか、いつ侵入されたのかは公表されていません。注文画面が書き換えられていたため、入力したそばから情報が抜き取られる状態が、カード情報では約1年続いていました。
いまの状況2026-09-10 時点続報待ち
自社のオンラインショップは止まったままで、楽天の店舗に案内しています。会社はシステムの対策と監視の強化を進めるとしていますが、具体的な内容は発表されていません。個人情報保護委員会と警察にも報告しています。9月10日には、佐嘉平川屋を装う不審なメールへの注意を呼びかけました。自社オンラインショップの再開時期は、まだ発表されていません。
企業として考えたいこと
自社のネットショップの決済画面が書き換えられていないか、誰がどのように確認しているでしょうか。運用を外部に任せている場合、その確認を委託先と取り決めているでしょうか。
技術的な要約
佐賀県武雄市の豆腐製造販売会社・佐嘉平川屋の自社ECサイトで、システムの一部の脆弱性を突いた不正アクセスによりペイメントアプリケーションが改ざんされ、委託先サーバー上に設置された不正ファイルが注文フォームの入力内容を外部へ送信していた。2026年3月9日にカード会社からの漏えい懸念の連絡で発覚し、同日カード決済を停止、3月27日に第三者調査機関の調査が完了した。6月15日の公表では、2025年3月21日〜2026年3月10日に決済した5,783名（6,303件）のカード情報（名義・番号・有効期限・セキュリティコード）と、2021年4月6日〜2026年3月10日に入力した30,170名（73,213件）の氏名・生年月日・住所・電話・メールが漏えいした可能性があるとし、一部カードの不正利用の可能性も確認した。報道では、流出カード情報で不正購入をした人物が6月24日に佐賀県警に逮捕されたが、侵入した実行犯は特定されていない。自社ECは2026年10月時点も再開しておらず楽天店へ誘導しており、9月10日には同社を装うフィッシングメールへの注意喚起を出している。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認公式：『佐嘉平川屋オンラインショップのシステムの一部の脆弱性を利用した第三者の不正アクセスにより、不正ファイルを設置された』『ペイメントアプリケーションの改ざんが行われた』。FAQでは『悪意のある第三者により委託先のサーバー上に不正なファイルが設置され、お客様が注文フォームに入力した情報を外部に送信する動作をしておりました』と説明（確定）。ECパッケージ名（EC-CUBE等）・脆弱性の種類・CVE・委託先名・送信先ドメインはいずれも非公表。報道（セキュリティ対策Lab）はこれをEスキミング（決済ページへの悪性コード注入）と位置づけるが、改ざんがサーバー側PHP等かクライアント側JavaScriptかは公表されていない。
- 脆弱性
- CVE 非公表公表で確認佐嘉平川屋オンラインショップのシステム（ECパッケージ・バージョンは非公表、委託先サーバー上で稼働）『システムの一部の脆弱性』とのみ公表。製品名・脆弱性種別（ファイルアップロード、管理画面の認証不備、既知CVE等）は非公表。改修後の再開日は未定とされ、2026-10-10時点で自社ECは『準備中』表示。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年3月9日に自社ECのクレジットカード決済を停止。その後自社オンラインショップ自体が停止し、トップページは『自社ECサイト準備中のため』楽天オンラインショップへ誘導。楽天店と直営店のカード決済は別システムのため継続。期間：2026年3月9日〜（2026-10-10時点で自社EC再開の告知なし。約7か月）
- データ
- おそれ上限 73,213確定 —件クレカ氏名生年月日住所電話メール公表文PDFの冒頭は『個人情報(73,213件)および、クレジットカード情報(6,303件)』、本文は人数で『カード情報5,783名』『その他の個人情報30,170名』と記載（件数と人数の差の説明はない）。records_max には公表上の最大値 73,213件を入れた。カード情報（2025/3/21〜2026/3/10に決済した顧客）：カード名義人名・カード番号・有効期限・セキュリティコード。個人情報（2021/4/6〜2026/3/10に入力した顧客）：氏名・生年月日・住所・電話番号・メールアドレス。パスワードへの言及なし。調査で『一部のお客様のクレジットカード情報が不正利用された可能性』を確認（件数・金額は非公表）。楽天店・実店舗の利用者は対象外。
- 波及先
- —
- 金銭影響
- 金額は非公表。カード再発行手数料を顧客負担としないようカード会社に依頼済み。報道によれば、流出カード情報で5,500円相当のヘアブラシを不正購入した疑いで1名が逮捕（被害総額は不明）。
- サプライチェーン
- 不正ファイルが設置されたのは『委託先のサーバー』上と公式FAQが説明しており、ECの構築・運用を外部に委託していたとみられるが、委託先名や委託先側の他の顧客への影響は公表されていない。他組織への波及の公表はない。
時系列
- 2021-04-06
- 2025-03-21
- 2026-01-22流出カード情報（東京都の60代女性名義）でネット通販のヘアブラシ（5,500円相当）が不正購入される（後の逮捕報道による）8
- 2026-03-09
- 2026-03-10
- 2026-03-12
- 2026-03-27
- 2026-06-15
- 2026-06-24佐賀県警が、流出カード情報で不正購入した疑い（私電磁的記録不正作出・同供用、窃盗）でベトナム国籍の22歳女性を逮捕（佐賀新聞報道を引用した記事による）。侵入した実行犯は未特定8
- 2026-07-13専用問い合わせ窓口の電話番号を 0120-35-4112 に変更1
- 2026-09-10同社を装う不審メール（フィッシング詐欺）への注意喚起を掲載（漏えいとの関連は記載なし）3
技術解説
攻撃の構造：決済フォームの入力値を外部へ送る不正ファイル 事実
公式FAQによれば、第三者がオンラインショップのシステムの一部の脆弱性を突いて委託先のサーバー上に不正なファイルを設置し、顧客が注文フォームに入力した情報を外部に送信させていた。公表文はこれを『ペイメントアプリケーションの改ざん』と表現している。漏えい項目にセキュリティコードが含まれ、かつ同社は『カード情報を保有していない』と説明しているため、保存データの窃取ではなく、入力時点で値を横取りするリアルタイム型のスキミングであったことが分かる。一方で、改ざん対象がサーバー側の決済処理コードなのか、ブラウザで動くJavaScriptなのか、EC製品名、脆弱性の種類、送信先は公表されていない。発覚は自社の監視ではなく、カード会社からの漏えい懸念の連絡によるもので、決済を止めた翌日（3/10）まで漏えい対象期間が続いている。
対象期間が2つある意味（推測） 解釈
カード情報の対象期間は2025年3月21日からの約1年だが、氏名・住所等の個人情報は2021年4月6日からの約5年分が対象とされた。セキュリティコードは保存されない値なので、カード情報は改ざん稼働中の入力しか取れない。これに対し、改ざん以前に入力された個人情報まで対象になっているのは、攻撃者が顧客データベースまたは注文データにも到達できた（あるいはその可能性を否定できなかった）ためと考えられる。2021年4月6日はサイトの構築・リニューアル時期など、データ保持の起点にあたる日付の可能性がある。報道（セキュリティ対策Lab）も、DBへのアクセスが決済改ざんより前からあった可能性を指摘しているが、いずれも推測で、侵入日は公表されていない。侵入から改ざん開始まで潜伏期間があった場合、2025年3月以前の侵入痕跡やログ保存期間が論点になる。
発覚から公表まで約3か月：小規模ECの典型的な時間配分 事実
3月9日の決済停止・警察への申告、3月12日の個人情報保護委員会への報告、3月27日の調査完了までは速いが、公表は6月15日で、調査完了から約2.5か月かかった。この間、対象者への個別連絡（メール、不達時は書状）、専用窓口、FAQ、カード会社との調整（楽天カード・セゾンカードは公表同日に告知）が準備されている。カード情報漏えいでは、カード会社が対象カードのモニタリングや差し替えを準備する時間を取ってから公表する運用が一般的で、本件もその流れに沿っている。ただしその間も漏えいした情報は悪用可能で、報道では2026年1月22日の不正購入で使用者が6月24日に逮捕されており、公表前に実害が出ていた。
なぜ被害が大きくなったか：1年間気づけない構造 解釈
カード情報の窃取は約1年続き、顧客側の不正利用が積み上がってカード会社が気づくまで、事業者側では検知されなかった。改ざんが委託先サーバー上で行われたため、事業者自身にはファイル変更やWAFのログを見る手段や体制がなかった可能性が高い。日本のカード情報非保持化（リンク型・トークン型決済）は保存データの漏えいは防げるが、決済画面の手前にある注文フォームや、加盟店ページ上で動くスクリプト型決済が改ざんされると入力値は奪われる。小規模の食品メーカーが運営するECでは、パッケージの更新やプラグイン管理、改ざん検知を委託先任せにしがちで、その委託契約にセキュリティ監視が含まれていたかどうかが損害の大きさを決める。以上は公表内容からの解釈である。
対応
- 封じ込め
- 2026/3/9にカード決済を停止し、その後自社オンラインショップを停止（10月時点も楽天店へ誘導）。第三者調査機関によるフォレンジック（3/27完了）。カード会社と連携した取引モニタリング、カード再発行手数料の顧客負担なしの依頼。再発防止策として『システムのセキュリティ対策と監視体制の強化』を挙げるが具体策は非公表。警察（所轄署・佐賀県警サイバー犯罪対策課）の捜査に協力。
- 公表の仕方
- 6/15に告知ページとPDFで公表し、対象者へメール（不達時は書状）で個別通知。PDF冒頭の件数（73,213件／6,303件）と本文の人数（30,170名／5,783名）が併記され、差の説明はない。原因については『委託先のサーバー上に不正なファイルが設置』とFAQで踏み込んで説明した一方、EC製品名・委託先名・侵入日は非公表。9/10に同社を装うフィッシングメールへの注意喚起。
- 当局対応
- 個人情報保護委員会：2026/3/12に報告
- 警察：2026/3/9に所轄警察署へ被害申告、佐賀県警察本部生活安全部サイバー犯罪対策課へも報告。6/24に流出カード情報の不正使用者を佐賀県警が逮捕（報道）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済・注文フォームの改ざんが約1年間検知されなかった | ECの公開ディレクトリとテンプレート、決済関連のPHP・JSにファイル整合性監視（AIDE/Tripwire、またはgit管理下のデプロイとの差分監視）を入れ、変更を即時通知。外部から決済ページを定期取得して読み込まれるスクリプトのハッシュとドメインを比較する監視を併用する |
| 注文フォームの入力値が外部ドメインへ送信された | Content-Security-Policy の connect-src・script-src・form-action を許可した決済代行ドメインに限定し、report-to で違反を収集。サードパーティスクリプトには Subresource Integrity を付ける（PCI DSS v4.0 の要件6.4.3・11.6.1に相当） |
| カード番号とセキュリティコードを加盟店ページ上で入力させていた | 決済代行会社のリダイレクト（リンク）型またはホスト型iframeに切り替え、カード情報の入力欄が自社サーバー由来のHTML/JSに存在しない構成にする。3-Dセキュア2.0を必須化し、盗まれた番号の非対面利用を抑える |
| EC基盤の脆弱性と運用を委託先任せにしていた | 委託契約にECパッケージ・プラグインの更新期限（例：重要度High以上は14日以内）、管理画面のIP制限と多要素認証、WAF導入、ログ保存期間（1年以上）、インシデント時の報告期限を明記し、年1回の脆弱性診断結果の提出を求める |
| 改ざん以前に入力された約5年分の個人情報まで対象になった | 注文から一定期間（例：2年）を過ぎた顧客情報は削除または別DBへ退避し、Webサーバーから直接読めるDBに長期データを置かない。DBユーザーは用途別に分け、Webアプリの権限で全件SELECTできない設計にする |
| 漏えい公表後に自社を装うフィッシングが発生した | SPF・DKIMを設定したうえでDMARCをp=quarantine以上で運用し、公表時点で『当社から送るメールの差出人・内容』を明示しておく。漏えいした連絡先への注意喚起は公表と同時に行う |
自組織などでの確認項目
- 自社（またはクライアント）のECで、カード番号の入力欄はどのドメインのHTML/JSが描画しているか。決済代行のリンク型に切り替えた場合、注文フォームのどこにまだ改ざんの余地が残るか。
- ECの構築・運用を外部に委託している場合、決済ページのファイルが書き換えられたことを誰が何時間以内に検知できる契約・体制になっているか。
- カード会社から『漏えいの懸念』の連絡が来たとき、決済停止・証拠保全・委託先への連絡を誰の判断で何時間以内に行うか決まっているか。
- 5年前の顧客の住所や生年月日を、今もWebサーバーから読める場所に保持し続ける業務上の理由はあるか。
未解明点
- 侵入日と侵入経路の詳細（ECパッケージ名・バージョン、悪用された脆弱性の種類、管理画面経由かどうか）
- 改ざんがサーバー側コードかクライアント側JavaScriptか、不正ファイルの送信先
- 委託先の名称と、同じ委託先・同じサーバー上の他の事業者のECへの影響の有無
- 個人情報の対象期間が2021年4月6日からとされた根拠（DB全体の窃取か、可能性を否定できないための範囲か）
- 公表冒頭の件数（73,213件・6,303件）と本文の人数（30,170名・5,783名）の関係
- 不正利用の件数・金額、逮捕事案以外の被害
- 自社ECの再開時期と再開後の決済方式
出典
- 1佐嘉平川屋2026-06-15公式本文確認済
- 2佐嘉平川屋2026-06-15公式本文確認済
- 3佐嘉平川屋2026-09-10公式本文確認済
- 4楽天カード2026-06-15公式本文確認済
- 5クレディセゾン（セゾンカード）2026-06-15公式本文確認済
- 6ScanNetSecurity2026-06-26報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-06-16報道本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-06-30報道本文確認済