ソフト９９公式オンラインショップへの不正アクセス（最大13.6万人の個人情報流出のおそれ）
公表日
ソフト９９コーポレーションは、公式通販サイトの問い合わせ機能から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、顧客最大136,968人分の個人情報が流出した可能性があると発表しました。
対象者は？
2026年11月5日までに「ソフト９９公式オンラインショップ」で会員登録や商品購入を行った利用者（最大136,968人）。流出の可能性がある情報は氏名、住所、メールアドレス、電話番号、生年月日、性別、購買情報、お届け先情報、クレジットカード情報の一部（下4桁、有効期限、名義人）です。カード番号の全桁流出は確認されていません。
同社および委託先による詳細な調査が進められています。公表情報や今後の連絡を確認し、身に覚えのない不審な連絡に注意してください。
いますぐできること
- ソフト９９や関係者を名乗る不審なメール、SMS、電話に警戒し、記載されたリンクを不用意に開かない
- クレジットカードの利用明細に身に覚えのない請求がないか確認する
何が起きたのか
2026年11月5日、運営委託先が不審な動きを検知してソフト９９コーポレーションへ連絡しました。調査の結果、問い合わせフォームの画像添付機能を通じて不正なプログラムが送信され、サーバー内に命令を送るファイルが置かれて設定ファイルの読み取りなどが行われていたことがわかりました。同社はサイトを停止して遮断措置を行い、11月9日に個人情報保護委員会へ報告、11月10日に事実を公表しました。
なぜ起きたのか・なぜ広がったのか
問い合わせフォームの画像添付機能において、画像以外のプログラムファイルの送信を許容してしまう不備があり、外部から命令を実行できる仕組みを作られたことが原因です。このファイルを通じてサーバー内の探索や設定ファイルの確認が行われました。
いまの状況2026-11-10 時点続報待ち
公式オンラインショップは停止されており、アクセス制限の強化などの対策が取られています。外部のセキュリティ専門家を交えて影響範囲や原因の詳細な調査が進められており、公表時点で二次被害は確認されていません。
企業として考えたいこと
自社のWebサイトにある問い合わせフォームなどの添付機能は、危険なプログラムが送り込まれて実行されない仕組みになっていますか。
技術的な要約
株式会社ソフト９９コーポレーションは2026年11月10日、公式オンラインショップが第三者による不正アクセスを受け、顧客の個人情報が最大136,968人分外部へ流出した可能性があると発表した。2026年11月5日に運営委託先から不審な動きの連絡を受けて調査したところ、問い合わせフォームの画像添付機能を通じて不正なプログラムファイルがアップロードされていたことが判明した。外部からサーバー内に命令を送り込めるファイルが設置され、サーバー内の調査や設定ファイルの読み取りが行われていた。流出の可能性がある情報には氏名、住所、電話番号、購買情報のほか、クレジットカード情報の一部（カード番号下4桁、有効期限、名義人）が含まれる。同社はオンラインショップを一時停止してアクセス経路を遮断し、個人情報保護委員会への報告を行うとともに、外部専門家を交えた調査を進めている。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認問い合わせフォームの画像添付機能を通じてプログラムファイルがアップロードされ、外部から命令を送信できるファイルが設置された。
- 脆弱性
- CVE 非公表公表で確認問い合わせフォーム画像添付機能公式発表では具体的なソフトウェア名やCVE番号は開示されていないが、問い合わせフォームの画像添付機能においてプログラムファイルのアップロードを許容する不備が悪用された。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 公式オンラインショップを一時停止し、アクセス経路を遮断する措置を実施した。期間：調査中
- データ
- おそれ上限 136,968確定 —人氏名住所メール電話生年月日性別購入履歴クレカその他2026年11月5日までに公式オンラインショップで会員登録および買い物をした顧客最大136,968人が対象。流出した可能性がある項目は、氏名、住所、メールアドレス、電話番号、生年月日、性別、購買情報、お届け先情報、クレジットカード情報（カード番号下4桁、有効期限、カード名義人）。カード番号全桁の流出を確認した発表ではない。
- 波及先
- 0 件
- 金銭影響
- 業績への影響は調査中
- サプライチェーン
- 公式オンラインショップの運営委託先から不審な動きの連絡を受けて検知したが、攻撃経路はオンラインショップの問い合わせフォーム機能の悪用であり、サプライチェーン起点とはされていない。
時系列
- 2026-11-05
- 2026-11-05
- 2026-11-05
- 2026-11-05
- 2026-11-05
- 2026-11-09
- 2026-11-10
- 2026-11-10
技術解説
問い合わせフォーム悪用による侵入とサーバー内調査の経緯 事実
ソフト９９コーポレーションの公表によると、2026年11月5日に公式オンラインショップの運営委託先から不審な動きに関する連絡があり、調査が行われた。その結果、問い合わせフォームの画像添付機能を通じて不正なプログラムファイルがアップロードされていたことが判明した。攻撃者はこのファイルを足がかりとして、外部からサーバー内に命令を送信できるファイルを設置していた。さらに、サイトのプログラムが持つ権限を利用してサーバー内の調査や設定ファイルの読み取りが行われていたことが確認されている。同社は事態の把握後、公式オンラインショップを一時停止してアクセス経路を遮断し、アクセス制限の強化を実施した。その後、11月9日に個人情報保護委員会へ報告を行い、11月10日に最大136,968人の個人情報が流出した可能性がある旨を公表した。
ファイルアップロード機能の不備とWebシェル設置のリスク 解釈
本件で悪用された攻撃手口は、Webアプリケーションにおけるファイルアップロード機能の検証不備を突いた典型的な侵害とみられる。画像添付機能において拡張子やMIMEタイプ、ファイルヘッダなどの厳格なバリデーションや実行防止措置が不十分であった場合、攻撃者は悪意あるスクリプト（Webシェル）を直接配置することが可能になる。設置されたスクリプトがWebサーバープロセス権限で実行されると、外部からの遠隔操作によってローカルファイルシステムの探索や、データベース接続設定を含む設定ファイルの奪取が行われる。公表にある「設定ファイルの読み取り」が行われていた事実は、攻撃者がデータベース等に格納された顧客情報にアクセスするための資格情報を入手した可能性を示唆しており、これが最大13万件超という広範な流出懸念につながったと考えられる。
情報流出範囲の評価とクレジットカード情報の取り扱い 解釈
流出の可能性がある項目には、氏名や住所などの基本属性に加え、購買情報やクレジットカード情報の一部（番号下4桁、有効期限、名義人）が含まれている。公表ではカード番号全桁の流出は確認されていないと明記されており、カード番号完全体やセキュリティコードを保持しない非保持化措置自体は講じられていたことがうかがえる。一方で、下4桁や有効期限といった照合用・管理用データであっても、氏名や電話番号、メールアドレスと結びついて漏えいした場合には、それらを組み合わせた高度なフィッシング詐欺やなりすまし連絡（ソーシャルエンジニアリング）に悪用される危険性が残る。同社が公表段階でなりすまし連絡への警戒を呼びかけている対応は、こうした二次被害リスクを考慮したものとして妥当な初期対応と評価できる。
対応
- 封じ込め
- 公式オンラインショップを一時停止してアクセス経路を遮断し、アクセス制限の強化その他必要なセキュリティ対策を実施した。
- 公表の仕方
- 2026年11月10日に「ソフト９９公式オンラインショップへの不正アクセスによる 個人情報漏えいの可能性に関するお詫びとお知らせ」を公表し、顧客に対してなりすましメールや電話、SMSへの注意喚起を行った。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ファイルアップロード機能における検証不備はWebシェル設置の直接的な原因となる | 許可する拡張子をホワイトリストで制限するだけでなく、MIMEタイプ検証やマジックバイト検査を実施し、画像ファイルをサーバー側で再エンコードして不正な実行コードを除去する。 |
| アップロードディレクトリでのスクリプト実行許可が被害拡大を招く | アップロード先ディレクトリでサーバーサイドスクリプトの実行権限をWebサーバー設定で無効化し、可能であれば独立したオブジェクトストレージや別ドメインから配信する設計にする。 |
| Webサーバープロセスの権限が過大だと設定ファイルや機密データが窃取される | Web実行ユーザーの権限を最小化し、データベース接続文字列等の機密設定ファイルはパーミッション制限（chmod 400等）やWeb公開領域外での管理、環境変数・シークレット管理ツールの活用によって隔離する。 |
| 委託先における不審挙動検知と初動対応の連携が重要となる | 委託先環境を含むWebアクセスログやファイル整合性の監視アラートを定義し、異常検知時に速やかにサービス停止や遮断判断を下せるインシデント連絡フローを平時から定めておく。 |
自組織などでの確認項目
- 自組織のWebサイトやフォームにある添付機能で、画像以外のプログラムファイルがアップロード・実行されない構成になっているか。
- ユーザーがファイルを保存できる公開ディレクトリにおいて、実行権限が無効化されているか。
- データベース接続情報などが記載された設定ファイルへの読み取り権限が、Webサーバー実行ユーザーに対して必要最小限に制限されているか。
未解明点
- 攻撃者がアップロード制限を迂回した具体的な技術的手法（拡張子偽装、Content-Type不備、パストラバーサル等）はどのようなものであったか。
- 流出の可能性があるとされる最大136,968人のうち、実際にサーバー外へ持ち出されたことが確定したデータ件数および範囲の最終調査結果はどうなっているか。
出典
- 1日本インタビュ新聞社2026-11-10報道本文確認済
- 2NHKニュース2026-11-10報道本文確認済
- 3セキュリティ対策Lab2026-11-10報道本文確認済
- 4日本インタビュ新聞社2026-11-10報道本文確認済
- 5日本経済新聞2026-11-10報道本文確認済
- 6ソフト９９コーポレーション2026-11-10公式本文確認済