セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

株式会社Biophiliaは2026年8月4日、同社ブランド商品の台湾における正規販売代理店が運営する台湾向け公式ECサイトにおいて、第三者による不正アクセスが発生し、利用者の個人情報の一部が外部に流出した旨の報告を受けたと公表しました。 今回の事案は台湾向け公式ECサイト「和匠寵饗」で発生したもので、Biophiliaによれば、日本向けおよび香港向けECサイトとはシステムと顧客データベースが分離されており、日本・香港向けECサイトの利用者には影響はないとしています。 サマリー Biophiliaは2026年8月4日、台湾正規販売代理店が運営する台湾向け公式ECサイトで不正アクセスが発生したと公表しました。 台湾向けECサイト「和匠寵饗」では、氏名、住所、電話番号、メールアドレス、購入履歴が外部に流出したと説明されています。 クレジットカード情報はシステム上で保存しておらず、ログインパスワードも暗号化されているため、流出情報には含まれないとされています。 台湾側の告知では、2026年7月28日にシステム内の異常を検知し、7月31日に台湾のデジタル発展部へ通報したと説明されています。 日本向けおよび香港向けECサイトはシステム・顧客データベースが分離されているため、利用者への影響はないとされています。 事案の整理 項目 内容 公表日 2026年8月4日 公表企業 株式会社Biophilia 関連する販売代理店 一樂鶴股份有限公司、ILHA Co., Ltd. 対象サイト 台湾向け公式ECサイト「和匠寵饗」 被害企業 台湾正規販売代理店が運営するECサイト 発生した事象 外部からの不正アクセスにより、一部会員情報が外部に流出 漏えい情報の内容 氏名、住所、電話番号、メールアドレス、購入履歴 対象件数 公表資料では具体的な件数は確認できません 含まれないとされる情報 クレジットカード情報、ログインパスワード 日本・香港向けECサイトへの影響 システムと顧客データベースが分離されており、影響はないと公表 個人情報保護委員会への報告状況 日本の個人情報保護委員会への報告に関する記載は、公表資料上では確認できません 海外当局への報告状況 台湾側告知では、2026年7月31日に台湾のデジタル発展部へ通報したとされています 対応状況 アクセスキー変更、特定IPアドレスの遮断、ネットワーク制限強化、監視強化、会員パスワードのリセットなどを実施 何が起きたか Biophiliaの発表によると、同社ブランド商品の台湾における正規販売代理店である一樂鶴股份有限公司が運営する台湾向け公式ECサイト「和匠寵饗」において、第三者による不正アクセスが発生しました。Biophiliaと同代理店に資本関係はないと説明されています。 台湾側の告知では、オンラインストアのシステムが外部から不正に侵入され、同サイトで注文時に登録された会員情報の一部が外部に流出したとされています。対象となる情報は、氏名、住所、電話番号、メールアドレス、購入履歴です。一方、クレジットカード情報は同社システムで保存しておらず、ログインパスワードも暗号化されているため、今回の流出情報には含まれないと説明されています。 Biophiliaは、本件が台湾向け公式ECサイトで発生した事象であり、日本向けおよび香港向けECサイトとはシステム・顧客データベースが分離されているため、日本向けおよび香港向けECサイトの利用者には影響がないとしています。 発覚から公表までの経緯 台湾側の告知では、2026年7月28日にシステム内の異常を検知し、システム提供事業者から通報を受けたとされています。その後、7月29日から30日にかけて影響範囲と影響程度の調査を行い、7月31日に台湾のデジタル発展部へ本件を通報したと説明されています。 Biophiliaは2026年8月4日、日本語のリリースで、台湾向け正規販売代理店から個人情報の一部が外部に流出した旨の報告を受けたと公表しました。台湾向け公式ECサイトの利用者には、同代理店から個別案内と注意喚起が行われているとしています。 原因 台湾側の告知では、オンラインストアシステムに対して外部から不正侵入が行われたと説明されています。ただし、侵入した第三者の身元は特定されておらず、情報流出の詳細原因については第三者調査機関を通じて調査中とされています。 このため、本稿執筆時点では、脆弱性の種類、認証情報の漏えい有無、設定不備、運用上の問題など、具体的な原因は公表資料からは確認できません。原因が未特定の段階では、単に外部攻撃を受けたという説明だけでなく、管理画面、API、ECパッケージ、クラウド設定、委託先の運用権限など、複数の可能性を切り分ける必要があります。 漏えいした可能性がある情報 台湾向けECサイトの告知では、今回外部に流出した情報として、会員が公式サイトで注文時に登録した氏名、住所、電話番号、メールアドレス、購入履歴が挙げられています。 クレジットカード情報については、システム内に保存していないため含まれないとされています。ログインパスワードについても、暗号化されているため流出情報には含まれないと説明されています。ただし、台湾側では安全確保のため、購入時に設定された会員パスワードをリセットし、利用者に再設定を求めています。 購入履歴が含まれる点は、単なる連絡先情報の漏えいよりも注意が必要です。購入商品や購入時期、配送先住所、メールアドレスが組み合わされることで、本人に違和感を抱かせにくいフィッシングメールや偽の配送通知、ブランドを装った返金・再決済案内に悪用される可能性があります。 対応状況 台湾側の告知では、外部の情報セキュリティ専門家や社内システムチームと協議し、各種システムのアクセスキー変更、特定IPアドレスの迅速な遮断、ネットワーク制限の強化、システム全体の監視強化を実施したと説明されています。 利用者に対しては、今回パスワード自体の流出は発生していないとしつつも、会員パスワードをリセットし、再設定を求めています。あわせて、電話、SMS、メールを通じてATM操作、インターネットバンキング操作、クレジットカード番号、身分証番号、ワンタイムパスワードの提供を求めることはないとして、不審な連絡への注意を呼びかけています。 Biophilia側も、同代理店と連携して事実関係と対応状況の確認を継続し、再発防止策の実施状況や販売代理店における個人情報管理体制の確認・見直しを定期的に実施するとしています。 ECサイト運営企業が見るべきポイント 今回の事案で目を引くのは、日本本体のECサイトではなく、海外の正規販売代理店が運営するブランド公式ECサイトで発生した点です。日本向け・香港向けECサイトに影響がないと説明されている一方で、利用者から見ると同じブランド名で提供される公式サイトであるため、ブランド全体の信頼に影響します。 ECサイトの不正アクセスでは、過去にも管理画面やECシステムの脆弱性、認証情報の不正利用、委託先や外部サービスの管理不備が起点となる事例が繰り返されています。セキュリティ対策Labでも、ECサイト(通販サイト)で発生した情報漏洩の事例とセキュリティ対策として、国内外のECサイト被害を整理しています。 たとえば、靴 販売のAKAISHI 公式通販サイトで不正アクセス、顧客の個人情報漏洩の可能性や、NSバイオジャパン オンラインショップで顧客の個人情報漏洩の恐れでも、ECサイトに保存される会員情報や購入履歴が利用者リスクに直結する点が共通しています。ECサイト運営では、決済情報を保存しない設計に加え、購入履歴や問い合わせ履歴をどこまで保存するか、どの権限から出力できるかを継続的に見直す必要があります。 情報システム部門への示唆 情報システム部門としては、自社が直接運営するECサイトだけでなく、海外販売代理店、フランチャイズ、業務委託先、ブランド別ECサイトまで含めた管理対象の棚卸しが重要です。システムと顧客データベースが分離されていても、利用者から見たブランドは一体であり、事故発生時の説明責任や顧客対応は本社側にも及びます。 実務面では、代理店や委託先が運営するECサイトについて、管理画面の多要素認証、接続元制限、アクセスキーの管理、ログ保全、脆弱性診断、ECパッケージやプラグインの更新状況を定期的に確認する体制が必要です。契約時にPマークやISMSの有無だけを見るのではなく、個人データの出力権限、データ保持期間、インシデント発生時の通知期限、外部調査機関の起用基準まで具体化しておくべきです。 利用者保護の観点では、漏えい情報に購入履歴が含まれる場合、商品名や注文情報を悪用したフィッシング、偽配送通知、返金手続き詐欺、なりすまし連絡が発生しやすくなります。ECサイト運営企業は、利用者に対して、公式窓口が求めない情報、正規URLの確認方法、パスワード再利用時の変更方法を明確に案内する必要があります。 海外拠点や海外代理店を持つ企業では、各国当局への報告要件も見落とせません。今回の台湾側告知では台湾のデジタル発展部への通報が記載されていますが、日本の個人情報保護委員会への報告に関する記載はBiophiliaのリリースおよび台湾側告知からは確認できませんでした。越境ブランドで発生する個人情報漏えいでは、どの法人が個人データ取扱主体にあたるのか、どの国・地域の通知義務が発生するのかを、平時から整理しておくことが欠かせません。 出典 台湾向け販売代理店における公表内容に関しまして - 株式会社Biophilia 關於因未經授權存取導致會員資訊外洩之致歉聲明及密碼變更通知 - 和匠寵饗 ECサイト(通販サイト)で発生した情報漏洩の事例とセキュリティ対策 - セキュリティ対策Lab 靴 販売のAKAISHI 公式通販サイトで不正アクセス、顧客の個人情報漏洩の可能性 - セキュリティ対策Lab NSバイオジャパン オンラインショップで顧客の個人情報漏洩の恐れ - セキュリティ対策Lab

ブログ