TSUKU TSUKUへの不正アクセスによるクレジットカード情報等の漏洩懸念（最大約38万件）
公表日
TSUKU TSUKU株式会社が運営するECモール「ツクツク!!!」への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。により、クレジットカード情報最大19,115件が外部送信された痕跡が確認され、個人情報最大362,750件についても流出の可能性が公表されました。
対象者は？
2025年5月10日〜9月9日に「ツクツク!!!」でクレジットカードの新規登録を行った利用者（カード情報19,115件）、および同サービスに登録された個人情報（362,750件）の対象者。登録済みのカードを変更せず利用していた利用者はカード情報の対象に含まれません。
TSUKU TSUKU株式会社から対象者へ個別に電子メールで連絡が行われています。また、利用中のクレジットカードの利用明細に身に覚えのない請求がないか確認してください。
いますぐできること
- クレジットカードの利用明細に身に覚えのない請求がないか確認し、不審な取引があれば速やかにカード会社へ問い合わせてください。
- 「ツクツク!!!」のログインパスワードを変更し、他のWebサービスでも同じパスワードを使い回している場合はそちらも速やかに変更してください。
- カード会社からメールやSMS等で案内が届いた場合は、案内に従ってクレジットカードの差し替え（再発行）手続きを行ってください。
何が起きたのか
2025年9月にカード会社から不正利用の懸念連絡を受けたTSUKU TSUKU社は、クレジットカード決済を停止して調査を開始しました。その結果、システムの脆弱性を悪用した不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。により、カード情報入力画面に不正プログラムが仕掛けられていたことが判明しました。2025年5月10日から9月9日までの間にカードを新規登録した利用者のカード情報19,115件が外部へ転送されていた痕跡が確認されたほか、登録されていた個人情報362,750件についても漏えいの可能性が否定できないとして、2026年10月26日に公表されました。
なぜ起きたのか・なぜ広がったのか
同社が管理するシステムの一部に脆弱性が存在し、第三者によって決済入力画面に不正なプログラムが設置されたためです。利用者が入力したカード名義人、番号、有効期限、セキュリティコードがリアルタイムに外部へ送信される仕組みになっていました。
いまの状況2026-10-28 時点続報待ち
システムの脆弱性修正と不正プログラムの除去は完了し、VisaとMastercardによる決済は再開されましたが、JCB、American Express、Diners Clubの決済は停止が継続しています。対象の利用者には個別にメールで連絡が行われており、各カード会社による不正利用監視の強化やカード差し替え対応が行われています。
企業として考えたいこと
自社のWebサイトで利用者が入力する画面に、不正なスクリプトが勝手に埋め込まれたり外部へデータを送信したりしていないか、検知・遮断する対策はできていますか？
技術的な要約
TSUKU TSUKU株式会社が運営するECモール「ツクツク!!!」において、システム脆弱性を悪用した第三者の不正アクセスにより、カード情報入力ページに不正なプログラムが設置された。外部専門機関の調査により、2025年5月10日から9月9日の間にクレジットカードを新規登録した利用者のカード情報19,115件が外部へ転送されていた痕跡が確認された。また、氏名や住所、ログインID・パスワードなどを含む個人情報362,750件についても外部送信の痕跡はないものの漏えいの可能性を完全には否定できないとされている。同社は2025年9月9日に事案を認知してクレジットカード決済を停止したのち、関係各所との確認・調整に時間を要したとして認知から約1年1カ月後の2026年10月26日に公表した。脆弱性修正と不正プログラム除去を経てVisaおよびMastercardの決済は再開されたが、一部カードブランドの決済停止は継続している。
攻撃の分類
- 侵入口
- 不明同社が管理するシステムの脆弱性を悪用されカード情報入力ページに不正プログラムを設置されたとされるが、具体的な侵入口や脆弱性の種別は公表されていない。
- 脆弱性
- CVE 非公表報道・研究者同社が管理するシステムの一部に存在した脆弱性とされているが、対象製品やCVE識別子は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年9月9日にクレジットカード決済を一時停止。脆弱性修正と不正プログラム除去の完了後、VisaおよびMastercardの決済は再開されたが、JCB、American Express、Diners Clubの決済は停止中となっている。期間：2025-09-09から継続中（一部ブランドは再開）
- データ
- おそれ上限 381,865確定 —件クレカ氏名生年月日住所電話性別メール会員IDその他クレジットカード情報（カード名義人、カード番号、有効期限、セキュリティコード）19,115件について外部転送の痕跡が確認され漏えい可能性が極めて高いとされる。これとは別に個人情報（氏名、生年月日、住所、電話番号、性別、メールアドレス、ログインID、ログインパスワード、配送先情報、職業、既婚・未婚）362,750件についても外部送信の痕跡はないものの漏えい可能性を否定できないとされている。合計で最大381,865件。
- 波及先
- —
- 三菱UFJニコス、イオンカード、楽天カード、ユーシーカードなどのカード会社が不正使用検知システムによる監視強化、会員への明細確認の呼びかけ、対象カードの差し替え対応（再発行手数料の負担対応等）を実施。
- 金銭影響
- —
- サプライチェーン
- ECモール「ツクツク!!!」の脆弱性が悪用されたことで、モール利用者のカード情報および個人情報が漏えい懸念の対象となり、提携カード会社各社において不正利用監視やカード差し替え対応が発生した。
時系列
技術解説
攻撃手法と漏えい対象データの範囲 事実
TSUKU TSUKU株式会社が運営するECモール「ツクツク!!!」において、システム脆弱性を悪用した第三者の不正アクセスが発生した。通販やウェブチケットサイトのカード情報入力ページに不正なプログラムが埋め込まれ、2025年5月10日から9月9日までの間にクレジットカードの新規登録処理を行った利用者のカード情報19,115件について、外部へ転送されていた痕跡が外部専門機関の調査で確認された。漏えいした可能性が極めて高いカード情報には、カード名義人、カード番号、有効期限、セキュリティコードが含まれる。これとは別に、氏名、生年月日、住所、電話番号、性別、メールアドレス、ログインID・パスワード、配送先情報、職業、既婚・未婚といった個人情報362,750件についても漏えいの可能性を完全には否定できないと公表された。ただし、これら個人情報362,750件については外部送信の痕跡は確認されていない。
検知から公表までに要した期間と調整の課題 解釈
本件では、クレジットカード会社が不正利用の懸念を検知した2025年9月4日、決済代行会社からの連絡を受けた9月5日を経て、TSUKU TSUKU社が9月9日に事案を認知しカード決済を停止した。個人情報保護委員会への報告（9月11日）や警察への相談（9月12日）は速やかに行われたものの、最終的な公表が行われたのは認知から約1年1カ月が経過した2026年10月26日であった。同社は公表遅延の理由について、利用者への案内方法やカード再発行に関する対応など、関係各所との確認・調整に想定以上の時間を要したためと説明している。ECサイトにおける漏洩事案ではフォレンジック調査の実施、カード会社や決済代行会社との協議、不正利用監視体制の確立など多岐にわたる調整が必要となるが、1年以上にわたって公表が行われなかったことで、利用者が早期に明細確認などの自衛策を講じる機会が遅れた側面がある。
Webスキミングの脅威と決済再開プロセスの段階性 解釈
本インシデントで悪用されたのは、決済入力画面に不正なコードを埋め込んで入力データをリアルタイムに窃取するWebスキミング（フォームジャッキング）の手法とみられる。ECサイト側でカード情報を保持しない非保持化対応を行っていても、利用者がブラウザ上で入力したカード情報やセキュリティコードが決済処理の前に攻撃者へ送信されるため、非保持化だけでは防御が困難な典型例である。また、事案判明後の復旧状況において、脆弱性の修正と不正プログラムの除去が完了したとされながらも、公表時点で利用可能なブランドがVisaとMastercardに限られ、JCB、American Express、Diners Clubの決済が停止継続となっている点は注目される。決済ブランドやアクワイアラーごとに求められる安全基準の再審査や接続再開条件が異なり、インシデントからの全面復旧には多段階の手続きを要する実態を示している。
対応
- 封じ込め
- 2025年9月9日にクレジットカード決済を一時停止。システムの脆弱性修正および不正プログラムの除去を完了し、外部専門機関によるフォレンジック調査を実施した。公表時点でVisaとMastercardによる決済は再開されたが、一部カードブランドは停止中となっている。
- 公表の仕方
- 事案認知から約1年1カ月が経過した2026年10月26日に公表。公表が遅れた理由について、利用者への案内方法やカード再発行に関する対応など関係各所との確認・調整に想定以上の時間を要したためと説明している。対象利用者へ個別に電子メールで連絡し、利用明細の確認やパスワード変更を推奨している。
- 当局対応
- 個人情報保護委員会
- 所轄警察署
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ECサイトにおける入力画面改ざん（Webスキミング）を早期に検知・防御する | Content Security Policy（CSP）を設定して不審な外部ドメインへのデータ送信をブラウザ側で遮断するとともに、Subresource Integrity（SRI）の活用やWeb改ざん検知ツールの導入によって、決済入力ページのスクリプト変更をリアルタイムに監視する。 |
| カード情報非保持化に過信せず、Webアプリケーションの脆弱性管理を徹底する | トークン決済や外部決済画面を導入している場合でも、サイト自体の脆弱性を突かれれば入力画面が改ざんされるリスクがあるため、定期的な脆弱性診断の受診と依存コンポーネントの迅速なアップデートを運用体制に組み込む。 |
| インシデント検知時の初動対応とステークホルダー調整プロセスを迅速化する | 決済会社からの不正利用懸念通知を受けた際の調査体制、フォレンジック専門機関の選定、決済一時停止判断の手順をあらかじめ定めておき、公表やカード差し替え調整が長期化しないようエスカレーション手順を策定しておく。 |
| アカウント情報漏えいに備えた認証防御策の強化 | ログインパスワードの強固なハッシュ化（ソルト付き多重ストレッチング等）はもちろん、多要素認証（MFA）の導入や、他サービスからのパスワード使い回し攻撃（クレデンシャルスタッフィング）を防ぐためのログイン試行監視を実装する。 |
自組織などでの確認項目
- 自社のECサイトやWebサービスにおいて、決済画面や重要情報入力ページに不正な外部スクリプトが挿入・実行されないよう、CSPや改ざん検知の仕組みが導入されているか。
- 決済代行会社やカード会社から不正利用疑いの連絡を受けた際、決済停止の判断やフォレンジック調査の開始を速やかに行えるインシデント対応手順書が整備されているか。
- 重大なインシデントが発生した場合に、関係各所（決済代行会社、当局、カード会社等）との調整を迅速に進め、利用者への告知が遅延しないよう広報・法務・開発の連携フローが定義されているか。
未解明点
- システムの一部に存在したとされる脆弱性の具体的な種類（製品脆弱性か自社開発アプリの不備か）や、不正プログラムが設置された侵入経路の詳細は公表されていない。
- 停止が継続している一部カードブランド（JCB、American Express、Diners Club）の決済再開時期や、再開に向けたセキュリティ要件の進捗状況は明らかにされていない。
出典
- 1三菱UFJニコス2026-10-26公式本文確認済
- 2ABEMA TIMES2026-10-27報道本文確認済
- 3テレ朝news2026-10-27報道本文確認済
- 4セキュリティ対策Lab2026-10-27報道本文確認済
- 5ABEMA TIMES2026-10-27報道本文確認済
- 6イオンフィナンシャルサービス2026-10-28公式本文確認済
- 7ポイ探ニュース2026-10-27報道本文確認済
- 8楽天カード株式会社2026-10-27公式本文確認済
- 9ユーシーカード株式会社2026-10-26公式本文確認済