ZonExpertが受託運用するAmazonセラーセントラルへの不正アクセス（63事業者の購入者情報が閲覧され得る状態）
公表日
Amazon専門の運用代行会社ZonExpertが受託運用していたセラーセントラルのアカウントが第三者に不正変更され、63事業者のストアで購入者の氏名・住所・電話番号・注文履歴が閲覧され得る状態になっていました。
対象者は？
ZonExpertが運用を受託していた、公開PDFに列挙された63事業者のストアで買い物をした購入者が対象となり得ます。閲覧され得た情報は氏名、住所、電話番号、注文履歴です。クレジットカード情報は含まれていません。対象の購入者の人数は公表されていません。
公式のお知らせの内容は、本件の出典には含まれていません。購入したストアが公開PDFの63事業者に入っているかは、ZonExpertの公表をご確認ください。対象かどうかを個別に知らせる方法は、まだ発表されていません。
いますぐできること
- ZonExpert、Amazon、出品ストアを装った心当たりのない電話・メール・SMSには応じないようにする。
- そうした連絡で個人情報や支払い情報を求められても、教えない。
何が起きたのか
2025年8月8日から8月18日の間に、委託元から付与されたAmazonセラーセントラルのユーザーアカウントが第三者に不正に変更されました。複数の委託元の管理画面で購入者情報が閲覧され得る状態になっていました。ZonExpertは8月18日にこれを発見し、該当アカウントを削除するなどしました。8月22日には個人情報保護委員会に速報しました。2026年10月1日に公表しています。
なぜ起きたのか・なぜ広がったのか
第三者がどのような方法でアカウントを不正変更したのかは、まだ発表されていません。複数の委託元に影響が出た理由も、詳しくは公表されていません。
いまの状況2026-10-03 時点続報待ち
2026年10月1日時点で、情報の外部公開や悪用、二次被害は確認されていません。ただしAmazon側のアクセス記録を確認できていないため、実際に閲覧・取得されたかどうかは確認できていません。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の疑いがある全アカウントのパスワードは無効化され、再設定されています。対象購入者の人数や、個人情報保護委員会への確報の時期と内容は、まだ発表されていません。
企業として考えたいこと
自社が外部の運用代行会社に付与しているアカウントを、誰が何の権限で使っているか、変更があったときにすぐ気づけるかを、いま説明できますか。
技術的な要約
Amazon専門の運用代行・コンサルティング「アマブースト」を運営するZonExpert株式会社は2026年10月1日、委託元から付与されていたAmazonセラーセントラルのユーザーアカウントが第三者により不正に変更され、複数の委託元の管理画面で購入者情報が閲覧され得る状態になっていたと公表した。対象期間は2025年8月8日から8月18日で、不正変更は8月18日に発見され、該当アカウントの削除などが行われた。閲覧され得た情報は購入者の氏名、住所、電話番号、注文履歴で、クレジットカード情報は含まれない。対象ストアは公開PDFで63事業者分が列挙されているが、対象購入者の件数や総人数は公表されていない。Amazon側のアクセス記録を確認できておらず、実際の閲覧・取得は確認されておらず、2026年10月1日時点で外部公開・悪用や二次被害も確認されていない。具体的な侵入経路は公表されておらず、個人情報保護委員会への確報の時期や内容も示されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第三者がどのような方法でアカウントを不正変更したのか、認証情報の窃取、フィッシング、多要素認証の状態など、具体的な侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表は確認できない。
- データ
- おそれ上限 —確定 —氏名住所電話購入履歴閲覧され得る状態となった情報は購入者の氏名、住所、電話番号、注文履歴。クレジットカード情報は含まれない。各事業者の対象件数・総人数は未公表。Amazon側のアクセス記録を確認できておらず、実際の閲覧・取得は未確認。
- 波及先
- 63 事業者
- 金銭影響
- —
- サプライチェーン
- 委託元から付与されたセラーセントラルのユーザーアカウントが不正に変更され、複数の委託元（公開PDFで63事業者）の管理画面で購入者情報が閲覧され得る状態となった。ただし、攻撃者が複数の委託元を狙う目的でZonExpertを意図的に侵害したことや、ソフトウェア・更新経路を悪用したことは確認されていない。
時系列
- 2025-08-08公表された対象期間の開始。2
- 2025-08-18アカウントの不正変更を発見。該当アカウントの削除などの措置を実施。対象期間は同日まで。2
- 2025-08-18不正アクセスの疑いがある全アカウントのパスワードを無効化・再設定するなどの再発防止策を実施（実施日は公表に明記なし、発見後）。2
- 2025-08-22個人情報保護委員会へ速報。その後、継続報告、Amazonへの照会、警察への相談を実施。2
- 2026-10-01ZonExpertが、委託元付与のセラーセントラルのアカウントが不正変更され63事業者分の対象ストアで購入者情報が閲覧され得る状態だったと公表。2
- 2026-10-01同日時点で、対象情報の外部公開・悪用や二次被害は確認されていないと説明。2
- 2026-10-01同社、Amazon、出品ストアを装った心当たりのない電話・メール・SMSへの注意を呼びかけ。2
- 2026-10-03セキュリティ対策Labが本件を報道。個人情報保護委員会への確報の時期・内容は示されていないと指摘。2
技術解説
公表された事実の範囲 事実
ZonExpert株式会社は2026年10月1日、委託元から付与されたAmazonセラーセントラルのユーザーアカウントが第三者により不正に変更され、複数の委託元の管理画面で購入者情報が閲覧され得る状態になっていたと公表したと報じられている。対象期間は2025年8月8日から8月18日で、不正変更は8月18日に発見され、該当アカウントの削除などが行われた。閲覧され得た情報は購入者の氏名、住所、電話番号、注文履歴で、クレジットカード情報は含まれない。対象ストアは公開PDFで63事業者分が列挙されている。ここで示される63は列挙された事業者の数であり、購入者の件数ではない。
実際の閲覧が確認できていない点 事実
ZonExpertはAmazon側で管理するアクセス記録を確認できていないため、第三者が実際に購入者情報を閲覧・取得した事実までは確認できていないとされる。2026年10月1日時点で、対象情報の外部公開・悪用や二次被害も確認されていない。各事業者について何件の購入者情報が対象となったのか、対象購入者の総人数も公表されていない。したがって本件の影響は「閲覧され得る状態」という「おそれ」の段階にあり、流出が確定した件数は示されていない。数値として確定しているのは、列挙された事業者数が63であることだけである。
侵入経路と対応の公表状況 事実
第三者がどのような方法でアカウントを不正変更したのか、認証情報の窃取、フィッシング、多要素認証の状態など、具体的な侵入経路は公表されていない。また、攻撃者が複数の委託元を狙う目的でZonExpertを意図的に侵害したことや、ソフトウェア・更新経路を悪用したことも確認されていないとされる。対応としては、不正アクセスの疑いがある全アカウントのパスワードを無効化して再設定するなどの再発防止策が講じられた。個人情報保護委員会へは2025年8月22日に速報し、その後も継続報告、Amazonへの照会、警察への相談を行っている。確報の時期や内容は今回のリリースでは示されていない。
委託運用モデルが持つ構造的な性質 解釈
本件は、委託元が運用代行事業者にセラーセントラルのユーザーアカウントを付与するという形態が舞台になっている。この形態では、受託側のアカウントが1つ不正に変更されると、受託側が運用する複数の委託元の管理画面に影響が及び得る。この点が63事業者という広がりと関係している可能性はあるが、侵入経路が公表されていないため、どの要因が影響したかは断定できない。これは公表された事実からの推論であり、事実としては確認されていない。受託側の認証管理が委託元全体のリスクに直結しうる、という一般的な構図を示す事例として読むことができる。
公表時期についての見方 解釈
不正変更の発見は2025年8月18日、公表は2026年10月1日であり、公表までに約1年1か月の間がある。この間にAmazonへの照会や委託元との調整、個人情報保護委員会への継続報告が行われていたと公表されているが、公表が遅れた理由そのものは示されていない。したがって、時期の妥当性を評価する材料は不足している。購入者への注意喚起の観点では、閲覧され得た情報が氏名・住所・電話番号・注文履歴であり、偽の連絡に悪用される余地があるため、周知の時期や方法が重要になるという見方もできる。ただし、これも解釈であり、個別の判断を責める趣旨ではない。
対応
- 封じ込め
- 2025年8月18日に不正変更を発見し、該当アカウントの削除などを実施。不正アクセスの疑いがある全アカウントについてパスワードを無効化し再設定した。
- 公表の仕方
- 2026年10月1日に公表。対象ストアは公開PDFで63事業者分を列挙。侵入経路や対象購入者数は未公表。同社、Amazon、出品ストアを装った電話・メール・SMSへの注意を呼びかけた。
- 当局対応
- 個人情報保護委員会（2025年8月22日に速報、その後継続報告）
- 警察（相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に付与するアカウントは、委託元から見ると自社の管理画面への入口になる。 | 委託先ユーザーを一覧化し、権限を最小化する。四半期ごとに棚卸しし、不要なアカウントと権限は削除する。 |
| アカウントの不正変更は、発見までの間に気づかれにくい。 | ユーザー追加・権限変更・メールアドレス変更・パスワード再設定の通知を複数の担当者に送る。変更履歴を定期的に確認する。 |
| プラットフォーム側のアクセス記録を確認できないと、閲覧の有無を判断できず、影響範囲が「おそれ」のまま残る。 | 提供されるログの種類と保存期間を事前に確認する。取得できる記録は定期的にエクスポートして自社で保管する。 |
| 購入者の氏名・住所・電話番号は、偽の連絡に悪用される可能性がある。 | 対象者への周知文面と問い合わせ窓口を事前に用意する。公表時に、偽の電話・メール・SMSへの注意喚起を併せて出せる体制にする。 |
| 侵入経路が公表されないと、委託元や同業者は自社の対策を検討しにくい。 | 公表時に、確認できた範囲と未確認の範囲を分けて示し、続報の予定を明記する。委託契約には、事故時の報告項目と期限を定めておく。 |
自組織などでの確認項目
- 自社が外部の運用代行事業者に付与しているアカウントを、全て一覧にできているか。権限は業務に必要な範囲に絞られているか。
- 委託先アカウントの追加・権限変更・パスワード再設定を、自社がすぐに検知できる仕組みはあるか。
- 利用しているプラットフォームのアクセス記録を、自社で確認・保管できるか。保存期間は十分か。
- 委託先で事故が起きた場合、自社に報告される項目と期限は契約で決まっているか。購入者や顧客への周知を誰が担うかも決まっているか。
未解明点
- 第三者がどのようにアカウントを不正変更したのか（認証情報の窃取、フィッシング、多要素認証の状態など）。
- 各事業者の対象購入者の件数と総人数。
- 個人情報保護委員会への確報の時期と内容。
- 発見から公表まで約1年1か月を要した理由と、その間の委託元・購入者への通知状況。
- Amazon側のアクセス記録により、実際の閲覧・取得の有無が確認できるのか。
出典
- 1ECのミカタ（株式会社ミカタ）報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-03報道本文確認済