山元紙包装社、パッケージショップJPの不正アクセスで個人情報3,973件・カード情報1,395件が漏洩の可能性|セキュリティとECのニュース-セキュリティ対策Lab

投稿日時: 2026年01月29日更新日時: 2026年01月29日

株式会社山元紙包装社は2026年1月28日、同社が運営するECサイト「パッケージショップJP」が第三者による不正アクセスを受け、顧客の個人情報3,973件とクレジットカード情報1,395件が漏えいした可能性があると発表しました。対象となる可能性がある顧客には、同日から電子メールおよび書面で個別連絡を開始したとしています。

1 影響の可能性がある情報
2 発覚から公表までの経緯
3 原因は「脆弱性を突いた不正アクセス」と決済機能の改ざん
4 公表が遅れた理由
5 顧客へのお願いと同社の対応
6 再発防止と今後
7 漏洩に関する想定リスク

影響の可能性がある情報

発表によると、個人情報の漏えい可能性があるのは、2021年6月4日〜2025年1月17日に同サイトでクレジットカード決済を利用した顧客3,973人で、漏えいの可能性がある情報はメールアドレス、パスワード、電話番号です。

また、クレジットカード情報の漏えい可能性があるのは同期間にカード決済をした顧客1,395人で、カード番号、名義人名、有効期限、セキュリティコードが含まれる可能性があるとしています。

発覚から公表までの経緯

同社は2025年9月5日、一部クレジットカード会社から「同サイト利用者のカード情報漏えい懸念」の連絡を受け、同日中にサイトでのカード決済を停止しました。並行して第三者調査機関による調査を開始し、2025年9月17日に調査が完了。2021年6月4日〜2025年1月17日に購入した顧客のカード情報が漏えいし、一部で不正利用の可能性があることを確認したとして、今回の公表に至ったと説明しています。

原因は「脆弱性を突いた不正アクセス」と決済機能の改ざん

原因について同社は、サイトシステムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーション（決済関連機能）の改ざんが行われたためとしています。

公表が遅れた理由

漏えい懸念の把握（2025年9月5日）から今回の案内まで時間を要した点について同社は、不確定情報の公開が混乱を招く可能性があること、顧客への迷惑を最小化するための対応準備が必要だったことから、調査会社の結果およびカード会社との連携を待って告知する判断をしたと説明しました。

顧客へのお願いと同社の対応

同社はカード会社と連携して、漏えいの可能性があるカードによる取引のモニタリングを継続しているとし、顧客に対しても利用明細に身に覚えのない請求がないか確認するよう呼びかけています。万一不審な請求があれば、カード裏面に記載のカード会社へ連絡するよう案内しました。
また、カード差し替えを希望する場合、カード再発行手数料が顧客負担にならないよう同社からカード会社へ依頼しているとしています。

再発防止と今後

同社は調査結果を踏まえ、セキュリティ対策および監視体制の強化を進める方針です。サイトの再開時期は、改修後に決定次第Webサイトで告知するとしています。なお、個人情報保護委員会への報告と警察への被害申告はいずれも2025年9月9日に実施済みで、今後の捜査にも協力するとしています。

漏洩に関する想定リスク

実際に漏洩しているか不明ですがカード情報の不正利用による被害が第一のリスクです。あわせて、氏名・住所・連絡先などの組み合わせは、なりすまし連絡や精度の高いフィッシングの材料になり得ます。長期にわたる入力期間が対象に含まれるため、他件の漏えいデータと名寄せされることで詐欺の成功率が高まる懸念があります