こんにちは！３号機です。
夏頃、実家に帰ったときのこと。
郵便受けのダイヤル錠を見たら、番号が「0000」のままになってました。
「おかん、これ買うたときのまんまやん！」と言うたら、
「ええねん、うちの郵便受けなんか誰も狙わへんわ〜」
と、まさかの即答。
しかもよく見たら、その横の植木鉢の下に玄関の合鍵が置いてあるんです。
「ここ、泥棒さんが最初に見るとこランキング1位やで…」と言うたら、
「ほな2位はどこなん？」
知らんがな。
ということで、今回は「ECサイトの情報漏洩」についてのお話です。
実はこの「うちなんか誰も狙わへん」、ネットショップの現場でもめちゃくちゃよく聞くセリフなんです。
はじめに〜「うちは小さいから大丈夫」が通用しない時代〜
ここ最近、ニュースで「不正アクセス」「個人情報が流出したおそれ」という言葉を見ない週はない、と言ってもいいくらいですよね。
2026年は、EC業界にとっても大きな出来事がありました。
多くのネットショップが利用しているカートシステムで不正アクセスが発生し、約7,800店舗・延べ2,300万人規模の顧客情報に影響が及んだと公表されています。
出店していたショップの多くは、自分たちは何もミスをしていないのに「漏洩した側」として説明を求められることになりました。
ここがポイント
攻撃者は「有名だから」「大きいから」だけで狙うわけではありません。
「入りやすいところ」から、機械的に、片っ端から狙ってきます。
小さなショップほど対策が手薄になりやすく、むしろ狙われやすいのが現実です。
この記事では、ECの現場を支援している立場から、
- 最近どんな情報漏洩が起きているのか
- なぜ起きるのか
- ショップは何をすればいいのか
- もし起きてしまったらどう動くか
を、なるべく専門用語をかみ砕いてまとめてみます。
最近のEC関連の情報漏洩、どんなものがある？
まずは、公表されている事例をざっと見てみましょう。
（件数は各社の公表・報道をもとにした概数です。「最大」「おそれ」を含みます）
| 公表時期 | どんなところで | 原因のタイプ | 規模（概数） |
|---|---|---|---|
| 2024年 | 大手出版・IT企業 | ランサムウェア（身代金要求型ウイルス） | 約25万人 |
| 2024年 | 自治体・企業の印刷物を請け負う委託先 | 委託先のランサムウェア被害 | 約300万人 |
| 2025年 | ホビー系の大手ECサイト | 決済画面の改ざん（Webスキミング） | カード情報 約3万件 |
| 2026年 | ネットショップ向けカートシステム | システムの脆弱性を突いた不正アクセス | 約2,300万人・約7,800店舗 |
| 2026年 | 小売グループ傘下のECサイト | 決済画面の改ざん | 最大 約12万件 |
こうして並べると、原因がバラバラなのが分かると思います。
「ウイルス対策ソフトを入れてるから大丈夫」では、ぜんぜん足りないんですね。
泥棒さんの入り口は、玄関だけじゃないってことです。窓も、勝手口も、植木鉢の下も…！
なぜ情報漏洩は起こるのか〜ECサイトの「6つの入り口」〜
ECサイトの情報漏洩は、大きく分けると次の6つの入り口から起こります。
① 決済画面の改ざん（Webスキミング）
今、ECで特にやっかいなのがこれです。
サイトに不正なプログラムを仕込まれ、お客様がカード番号を入力した瞬間に、その情報が攻撃者にも送られてしまうという手口です。
例えるなら、レジの横に「ニセのカード読み取り機」をこっそり置かれている状態。
買い物自体はふつうに完了するので、お客様もショップも気づきません。
多くの場合、カード会社から「不正利用が多発しているので調べてください」と連絡が来て、はじめて発覚します。
その時点で、数か月〜数年にわたって盗まれ続けていた…というケースも少なくありません。
② システムの脆弱性（古いまま放置）
カートシステム、WordPressなどのCMS、プラグイン、サーバーのソフトウェア…。
どれも、あとから「ここに穴がありました」という弱点（脆弱性）が見つかります。
弱点が公表されると、攻撃者はその弱点が残っているサイトを自動で探して回ります。
「SQLインジェクション」や「クロスサイトスクリプティング（XSS）」といった、昔からある手口もまだまだ現役です。
アップデートを「あとで」にしている期間は、鍵の壊れたドアを開けっぱなしにしているのと同じです。
③ 委託先・サービス提供会社（サプライチェーン）
カートシステム、決済代行、配送、メール配信、受注管理ツール、制作会社…。
ECはたくさんの外部サービスの組み合わせで成り立っています。
冒頭のカートシステムの事例のように、自社がしっかりしていても、使っているサービス側から漏れることがあります。
しかもお客様から見れば、「どこから漏れたか」は関係ありません。「あのショップで買ったら漏れた」と受け止められます。
④ ID・パスワード（なりすましログイン）
よそのサイトから流出したIDとパスワードの組み合わせを使って、ログインを試してくる手口（リスト型攻撃）です。
狙われるのは、お客様のマイページだけではありません。
- ショップの管理画面
- カートシステムやモールの店舗管理画面
- サーバーやドメインの管理パネル
ここに入られると、顧客データの持ち出しも、決済画面の改ざんも思いのままです。
使い回しのパスワードや、退職したスタッフのアカウントが残ったまま、という状態は特に危険です。
⑤ 人と設定のミス
攻撃されなくても漏れることがあります。
- メールの宛先を「TO」や「CC」で一斉送信してしまった
- 顧客リストのCSVを、誰でも見られる場所に置いてしまった
- バックアップファイルや設定ファイルを、サーバーの公開フォルダに残したままにしていた
- クラウドの共有設定が「リンクを知っている全員」になっていた
どれも「ちょっとだけ」「あとで消すつもりで」から起こります。
⑥ 持ちすぎ（古いデータが残っている）
見落とされがちですが、ECの専門家としてわれわれが一番伝えたいのがここです。
冒頭のカートシステムの事例では、すでにそのサービスの利用をやめた過去の店舗の顧客データまで影響範囲に含まれていたと報じられています。
「何年も前のお客様」「もう使っていない会員データ」「昔のキャンペーンの応募者リスト」…。
持っているだけで、漏れるリスクだけは毎日しっかり発生しています。
ECの専門家として思うこと〜一番強い対策は「持たない」こと〜
ここからは、日々ネットショップの運営をお手伝いしている立場からの見解です。
見解1：持っていない情報は、漏れない
セキュリティ対策というと「守りを固める」ことばかり考えがちですが、いちばん確実なのは、そもそも持たないことです。
カード情報は自社で持たない（決済代行に任せる）、不要になった顧客データは消す、利用をやめたサービスにはデータを残さない。
これだけで「漏れたときの被害の上限」がぐっと下がります。
見解2：ECは「信頼」を売っている商売
お客様は、商品だけでなく「このお店なら住所やカード番号を預けても大丈夫」という安心にお金を払っています。
情報漏洩の本当の損失は、調査費用やお詫びの費用よりも、リピーターが戻ってこないことです。
見解3：「丸投げ」と「任せる」は違う
カートシステムや制作会社に任せるのは正しい判断です。でも、何をどこに預けているかを自社で把握していない状態は「丸投げ」です。
任せる部分と、自社で見ておく部分を分けておくことが大切です。
今日からできる対策〜ショップのタイプ別〜
ショップの形態によって、自社でやるべきことは変わります。
モール出店（楽天市場・Yahoo!ショッピング・Amazonなど）
システム自体はモール側が守ってくれています。
ショップ側の主な守備範囲は「人」と「アカウント」と「ダウンロードしたデータ」です。
- 店舗管理画面のアカウントは一人ひとつ。共有アカウントをやめる
- 二段階認証を必ず設定する
- 退職者・外部パートナーのアカウントはすぐに削除
- 受注データをCSVでダウンロードしたら、使い終わったら消す（個人のパソコンやUSBに残さない）
- 連携している外部ツール（受注管理・メール配信など）を一覧にしておく
カートシステム（ASP・SaaS型）で自社サイト
モール出店の対策に加えて、「どのサービスに何を預けているか」の把握が大事になります。
- カード決済は、カード番号がショップのサーバーを通らない方式（リンク型・トークン方式など）になっているか確認
- EMV 3-Dセキュア（本人認証）が有効になっているか確認（EC加盟店は2025年3月末までの導入が求められました）
- サイトに追加しているタグやスクリプト（計測・広告・チャットなど）を把握し、不要なものは外す
- サービス提供会社からのセキュリティのお知らせを見逃さない（担当者を決めておく）
- カートシステムを乗り換えたら、旧サービスに残っている顧客データの削除を依頼する
WordPress（WooCommerceなど）で自社構築
自由度が高いぶん、守る範囲もいちばん広いのがこのタイプです。
- WordPress本体・PHP・テーマ・プラグインを定期的に更新（「あとで」をやめる）
- 使っていないプラグイン・テーマは停止ではなく削除
- 管理画面のログインに二段階認証、管理者アカウントは最小限に
- サーバーの公開フォルダに、バックアップファイルや設定ファイルの控えを置かない
- WAF（不正な通信を止める仕組み）を有効にする（レンタルサーバーの標準機能で使えることも多いです）
- 決済まわりのページのファイルが勝手に書き換えられていないかを定期的にチェック
WordPressの更新手順については、別の記事でくわしくまとめています。「あとで」になっている方はぜひ…！
共通チェックリスト
| チェック項目 | なぜ大事？ |
|---|---|
| カード情報を自社で保存していない | 持っていなければ漏れない |
| 管理画面はすべて二段階認証 | パスワードが漏れても入られにくい |
| アカウントは一人ひとつ・退職者は即削除 | 「誰が入ったか」が分かり、穴が残らない |
| パスワードを使い回していない | よそで漏れたパスワードで入られない |
| システム・プラグインを定期的に更新 | 既知の弱点をふさぐ |
| 使っている外部サービスの一覧がある | 何かあったとき、すぐ影響範囲が分かる |
| 不要な顧客データ・CSVを消している | 漏れたときの被害を小さくする |
| バックアップを取り、戻し方も分かっている | ランサムウェアや改ざんから復旧できる |
| 「もしも」のときの連絡先・手順を決めている | 初動の遅れを防ぐ |
もし漏れてしまったら〜初動が信頼を左右する〜
どれだけ対策しても、リスクはゼロにはなりません。
大事なのは、起きたときに慌てず動けるかです。
- 止める：被害が広がらないよう、該当の機能やカード決済を一時停止する
- 残す：原因調査のため、ログやデータを消さずに保全する（慌てて再インストールしない）
- 連絡する：カード会社・決済代行会社、カートシステムやサーバーの会社、制作会社へ
- 報告する：カード情報の漏洩や不正アクセスによる漏洩などは、個人情報保護委員会への報告が義務です（速報は発覚からおおむね3〜5日以内が目安）
- お知らせする：お客様への通知、サイトでの公表、問い合わせ窓口の設置
- 再発を防ぐ：原因をふさいでから再開する
お知らせは「早く・正直に・具体的に」
お客様がいちばん不安になるのは、情報が出てこないことです。
「何が起きたか」「何が漏れた可能性があるか」「お客様にお願いしたいこと（カード明細の確認、パスワード変更など）」を、分かっている範囲で早めに伝えることが、信頼を守ることにつながります。
さいごに〜「うちなんか」をやめるところから〜
情報漏洩は、特別な会社だけに起きる事件ではなくなりました。
攻撃は自動化されていて、ショップの大きさに関係なく、すきのあるところに来ます。
とはいえ、いきなり完璧を目指す必要はありません。
- 二段階認証を入れる
- いらないアカウントとデータを消す
- 更新を「あとで」にしない
この3つだけでも、守りはぐっと固くなります。
ちなみに実家のおかんは、あのあと郵便受けの番号を変えてくれました。
「なんにしたん？」と聞いたら、
「1111や。0000より強いやろ」
…オカン、それはアカン。
※2026年11月時点の情報です。事例の件数は各社の公表・報道をもとにした概数で、その後の調査で変わる場合があります。最新の情報は各公的機関・各社の発表をご確認ください。
