スマレジEC（リピート・B2B）への不正アクセス（管理画面ログイン機能の脆弱性悪用、利用企業4社の顧客・受注情報に閲覧・取得の可能性）
公表日
ネットショップを作るためのサービス「スマレジEC」が、管理画面のログイン機能の弱点を突かれて不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。このサービスを使う4社のお客様の情報や注文の情報が、見られたり取られたりした可能性があります。
対象者は？
「スマレジEC・リピート」または「スマレジEC・B2B」でネットショップを運営する4社のお客様と、その4社の担当者です（社名と件数は公表されていません）。お客様の会社名・氏名・住所・電話番号・メールアドレス・性別・年齢・購入回数・累計購入金額、注文の送付先、4社の管理者のログインIDと暗号化されたパスワードなどが対象です。クレジットカード情報は、このシステムでは保存しない仕組みのため対象外です。
影響の可能性がある4社には、スマレジから個別に連絡されています。連絡を受けていない利用企業は、現時点で影響は確認されていないとされています。4社の社名が公表されていないため、買い物をした個人が自分で対象かどうかを確かめる方法は案内されていません。
いますぐできること
- ネットショップを名乗るメールで、購入回数や注文内容を示されても、リンクは開かず、ショップの公式サイトから確認する
- スマレジECを使っている事業者は、管理画面と連携しているWordPressのパスワードやプラグインの秘密鍵を変更し、不審なログインがないか確かめる
- スマレジを名乗る連絡で、パスワードの入力などを求められても応じない
何が起きたのか
スマレジは、自社のシステムで不審なアクセスを見つけて調査を始めました。その結果、ネットショップの運営者が使う管理画面のログイン機能に弱点（脆弱性）があり、それを悪用して第三者が一部の環境に入り込んでいたことが分かりました。会社は2026年9月18日にこの弱点を直し、不正に置かれたファイルなどを無効にしました。記録（ログ）を調べた結果、4社の環境で情報が見られたり取られたりした可能性があるとして、9月25日に公表しました。
なぜ起きたのか・なぜ広がったのか
ログイン機能の弱点がどのようなものだったかは、まだ公表されていません。管理画面は多くの利用企業が共通で使う仕組みのため、弱点は利用企業全体に関わるものでした。また、利用企業のWebサイト（WordPress）とつなぐためのパスワードや秘密鍵もスマレジEC側に保存されていたため、それも対象に含まれていました。
いまの状況2026-09-25 時点続報待ち
弱点は修正され、対象の4社への個別連絡と、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。が行われました。いつから不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。されていたか、4社の社名と件数、弱点の詳しい内容は、まだ発表されていません。2026年10月10日時点で続報は出ていません。
企業として考えたいこと
自社が使っているクラウドサービスに、自社サイトや他のシステムにつなぐためのパスワードや鍵を預けていないでしょうか。そのサービスが侵害されたとき、どの鍵を変えればよいか一覧になっているでしょうか。
技術的な要約
株式会社スマレジは2026年9月25日、EC構築SaaS『スマレジEC』（スマレジEC・リピート、スマレジEC・B2B）の一部の顧客環境に第三者による不正アクセスがあったと公表した。不審なアクセスの検知を受けて調査した結果、お客さま管理画面のログイン機能の脆弱性が悪用されていたことが判明し、9月18日に修正を本番環境へ適用、不正に配置されたファイル等を無効化した。ログ調査の結果、両サービスを利用する4社の環境で、顧客情報（氏名・住所・電話・メール・性別・年齢・購入回数・累計購入金額等）、受注情報、管理者のログインID・暗号化済みパスワード・氏名、連携するWordPressのログインID・暗号化済みパスワード・プラグインの秘密鍵が閲覧・取得された可能性があるとした。クレジットカード情報はシステム内に保持しない仕様で対象外。検知日・侵入期間、脆弱性の技術的内容、4社の社名と件数は非公表で、2026年10月10時点で続報は出ていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認公式発表（9/25、両サイトとも同文）では『当社システムにおいて不審なアクセスを検知し調査を開始したところ、お客さま管理画面のログイン機能の脆弱性を悪用し、第三者が一部環境に不正アクセスしていた』とされる。認証回避か、ログイン処理のインジェクション等か、技術的内容・CVEは非公表で、自社開発コードの不具合か組込みコンポーネントの脆弱性かも明らかにされていない。対応として『不正に配置されたファイル等の無効化』が挙がっており、侵入後に何らかのファイルが配置されたことは公式に読み取れるが、ファイルの種類（Webシェル等）・実行の有無は非公表。
- 脆弱性
- CVE 非公表公表で確認スマレジEC（リピート・B2B）顧客管理画面のログイン機能2026年9月18日に修正を完了し本番環境へ適用済みと公式発表。脆弱性の種類、CVE/JVN、悪用開始時期はいずれも非公表（2026-10-10時点）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の公表は確認できない。脆弱性修正（9/18）と不正配置ファイルの無効化は実施されたが、利用企業のEC運営への影響の有無は非公表。
- データ
- おそれ上限 —確定 —氏名住所電話メール性別購入履歴取引先情報会員IDその他（年齢、送付先住所、管理者・WordPressの暗号化済みパスワード、WordPressプラグインの秘密鍵）件数は非公表で、影響の可能性があるのは『スマレジEC・リピート』および『スマレジEC・B2B』を利用する4社の環境（サービス別の内訳は非公表）。個別連絡のない利用企業は『現時点で影響は確認されていない』とされる。顧客情報：会社名、氏名、電話番号、住所、メールアドレス、性別、年齢、初回購入日、最新購入日、購入回数、累計購入金額。受注情報：会社名、氏名、電話番号、住所、メールアドレス、送付先住所。管理者情報：ログインID、暗号化済みパスワード、氏名。WordPress情報：ログインID、暗号化済みパスワード、プラグインの秘密鍵。パスワードの『暗号化』方式（可逆暗号かハッシュか）は非公表のため、data_typesではハッシュ化PWとせず『その他』に記載。クレジットカード情報はシステム内に保持しない仕様のため対象外。会員IDは管理者・WordPressのログインIDを指す。
- 波及先
- 4 社（スマレジEC利用企業）
- 金銭影響
- —
- サプライチェーン
- スマレジはEC構築SaaSの提供者で、利用企業（EC事業者）が自社顧客の個人情報・受注情報をスマレジEC上で管理する構造。侵害はスマレジ側の共通コード（管理画面ログイン機能）の脆弱性によるもので、影響の可能性がある利用企業4社に波及した。さらに、利用企業が連携させているWordPressのログイン情報とプラグイン秘密鍵が対象に含まれるため、SaaS経由で利用企業自身のWebサイトへ二次的に侵入される経路が生じうる。4社の社名と、各社による顧客への通知・公表は確認できなかった。
時系列
- 2026-09
- 2026-09-18
- 2026-09
- 2026-09-25
- 2026-09-29
- 2026-10-05SmartScopeの情報漏えい一覧に『利用する4社の顧客環境（カード情報は持っていない）』として掲載4
技術解説
攻撃の構造：SaaS共通の管理画面ログイン機能 事実
公表によれば、悪用されたのはスマレジECの『顧客管理画面のログイン機能』の脆弱性で、スマレジは9月18日に修正を本番適用した。管理画面は利用企業ごとにインターネットへ公開されるマルチテナントの共通コードであり、ログイン処理の欠陥は理論上すべてのテナントに共通する。実際に影響の可能性が確認されたのは4社で、ログ調査（システム・アクセス・操作ログ）によって特定したとされる。侵入後には『不正に配置されたファイル等』があり無効化されたが、その種類・目的・実行有無、侵入開始時期、脆弱性の種類（認証回避、SQLインジェクション等）は非公表である。
WordPress連携情報：SaaS侵害が利用企業サイトへ波及する経路 解釈
漏えいの可能性がある項目に、利用企業が連携させているWordPressのログインID・暗号化済みパスワード・プラグインの秘密鍵が含まれる点が本件の特徴である。スマレジEC側が利用企業のWordPressへ接続するための資格情報を保持していたことを意味し、これが復号可能な形で取得されていれば、攻撃者は利用企業のWebサイト（CMS）を直接操作し、改ざんやスキミングスクリプトの埋め込みに進める。カード情報をSaaS内に保持しない設計でも、フロントのCMSを奪われれば決済画面の改ざんで情報を抜かれうる。『暗号化済み』の方式や鍵の保管場所が非公表のため、実際の悪用可能性は評価できない（解釈）。
公表の評価：件数・社名・開始時期が欠けている 解釈
スマレジは修正から1週間後に公表し、専門チームの発足、対象4社への個別連絡とPPC報告を明らかにした。項目は具体的に列挙されており、利用企業が自社で取るべき対応（パスワード・秘密鍵の変更）を判断する材料にはなる。一方で、各社の影響件数、侵入開始時期、検知日、脆弱性の内容は示されておらず、他の利用企業が『自社は本当に無関係か』を検証する手掛かり（IoCや該当期間）は提供されていない。4社側の公表も確認できず、エンドユーザーは自分が対象かを知る手段が乏しい。共通コードの脆弱性である以上、対象外とされたテナントにも、該当期間のログ確認を促す情報開示が望ましかった（解釈）。
対応
- 封じ込め
- 不審なアクセスの検知後に調査を開始し、9月18日に顧客管理画面ログイン機能の脆弱性を修正して本番環境へ適用。公式発表によれば、重要なセキュリティインシデントと認識して専門チームを発足し、不正に配置されたファイル等の無効化、システム・アクセス・操作ログによる影響範囲の調査、対象顧客への個別連絡と調査結果の共有、個人情報保護委員会への報告を実施。今後は原因の検証、セキュリティ対策とインシデント対応体制の強化を進めるとする（具体策は非公表）。
- 公表の仕方
- 9月25日にスマレジEC・リピート／B2Bの両サイトに同一の『スマレジECにおける不正アクセスについて』を掲載（両ページとも本調査で原文確認）。対象4社へ個別連絡済みで、連絡のない顧客は影響未確認とした。本件に便乗したフィッシングや同社を装う連絡への注意喚起も含む。件数・社名・検知日・侵入期間・脆弱性の詳細は非公表。2026年10月10日時点でリピートのお知らせ一覧に続報はない。
- 当局対応
- 個人情報保護委員会：報告（報告日・受理状況は未公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| SaaS共通の管理画面ログイン機能の脆弱性が全テナントの入口になる | 管理画面ログインにはMFA（TOTP/WebAuthn）を必須化し、IP許可リストやSSO（SAML/OIDC）を選べるようにする。ログイン処理はフレームワーク標準の認証・プリペアドステートメントに限定し、認証まわりはリリースごとにDAST・コードレビューの必須項目にする |
| 利用企業のWordPress資格情報・プラグイン秘密鍵をSaaS側が保持していた | 外部CMS連携はパスワードではなくスコープを絞ったApplication Password/OAuthトークンで行い、KMSで暗号化して鍵をアプリDBと分離。トークンは定期ローテーションし、漏えい時に利用企業側で一括失効できる手順を提供する |
| 侵入後にファイルが配置されたが、種類・実行有無が不明 | Webルート・アップロード領域のファイル整合性監視（FIM）と実行権限の剥奪、コンテナのread-onlyファイルシステム化を行い、新規ファイル生成や想定外プロセス起動をEDRで即時アラート化する |
| 利用企業側が自社影響を検証できる情報が少ない | SaaS提供者は、テナント別の管理画面ログイン履歴・データエクスポート履歴を利用企業が自分で確認できる監査ログ画面/APIを提供し、インシデント時は該当期間とIoC（IP・UA・ファイル名）を全テナントに共有する |
自組織などでの確認項目
- 自社が使うEC・CRM SaaSに、自社サイト（WordPress等）や他SaaSの資格情報・APIキーを預けていないか。預けているなら、そのSaaSが侵害された日に何を失効させればよいか一覧化できているか。
- 利用中のSaaSの管理画面はMFA・IP制限が可能か。可能でも有効化していない管理者アカウントは何個あるか。
- SaaS提供者から『貴社は影響の可能性がある4社に含まれない』と連絡が来たとき、それを自社で検証するために何のログを見ればよいか。
未解明点
- 脆弱性の種類（認証回避、SQLインジェクション等）とCVE/JVN、自社コードか組込みコンポーネントか
- 不正アクセスの開始時期と検知日時、検知の契機
- 不正に配置されたファイルの種類（Webシェル等）・目的・実行の有無
- 影響の可能性がある4社の社名と各社の件数、実際に取得された範囲
- パスワードの『暗号化』方式と、WordPressプラグイン秘密鍵の悪用有無
- 他テナントへの影響がないと判断した根拠と、再発防止策
出典
- 1株式会社スマレジ2026-09-25公式本文確認済
- 2株式会社スマレジ2026-09-25公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-09-29報道本文確認済
- 4SmartScope2026-10-05報道本文確認済
- 5ScanNetSecurity2026-09-29報道本文確認済