RIZAP、APORITOオンラインストア 不正アクセスの第二報　サイト閉鎖を継続、カード情報流出の詳細や再開時期は調査中

RIZAP株式会社は2026年8月18日、同社が運営する「APORITOオンラインストア」への不正アクセスについて第二報を公表しました。

第二報では、外部の第三者専門調査機関と連携した被害状況の全容解明と原因特定を継続していることを明らかにし、APORITOオンラインストアについても引き続き一時閉鎖するとしています。技術的な調査結果やサイトの再開時期については、安全性の確認が完了した後に改めて公表する方針です。

8月10日の第一報では、2026年5月1日から8月5日までに同ストアで注文または情報入力を行った利用者について、氏名、住所、電話番号、メールアドレスに加え、クレジットカード番号、有効期限、セキュリティコードが外部へ流出した可能性があると公表されていました。

ただし、第二報でも対象件数や実際に流出した情報の範囲は確定していません。RIZAPは利用者に対し、カード利用明細を継続して確認するとともに、同社や警察、カード会社などを装った電話・メール・SMSによる二次被害にも注意するよう呼びかけています。

APORITOオンラインストア不正アクセス第二報のサマリー

• RIZAPは2026年8月18日、「APORITOオンラインストア」への不正アクセスについて第二報を公表しました。
• 外部の第三者専門調査機関と連携し、被害状況の全容解明と原因特定を継続しています。
• APORITOオンラインストアは8月5日から一時閉鎖されており、第二報時点でも閉鎖を継続しています。
• システムのセキュリティ強化や監視体制の見直しを進め、安全性を確認したうえで再開する方針です。
• サイトの再開時期は8月18日時点で未定です。
• 第一報では、2026年5月1日から8月5日までに注文または情報入力した利用者の個人情報とクレジットカード情報が流出した可能性があると公表されていました。
• 流出した可能性がある情報は、氏名、住所、電話番号、メールアドレス、カード番号、有効期限、セキュリティコードです。
• クレジットカード情報が流出した可能性のある利用者には、8月8日付で個別連絡を実施しています。
• 第二報では、影響を受けた人数・件数、実際に流出した情報、技術的な侵入経路について新たな確定情報は公表されていません。
• 利用者には、カード利用明細に身に覚えのない請求がないか継続して確認するよう呼びかけています。
• RIZAPや警察、カード会社などを装い、暗証番号や個人情報を聞き出そうとする電話・メール・SMSにも注意が必要です。
• 個人情報保護委員会には、第一報の時点で速報として報告済みです。

項目	内容
第二報公表日	2026年8月18日
第一報公表日	2026年8月10日
対象組織	RIZAP株式会社
対象サービス	APORITOオンラインストア
発覚日	2026年8月5日
インシデント	第三者による不正アクセス。不審な外部送信プログラムを確認
影響対象期間	2026年5月1日～8月5日に注文または情報入力した利用者
流出した可能性がある情報	氏名、住所、電話番号、メールアドレス、カード番号、有効期限、セキュリティコード
対象件数	公表されていません
実際の漏えい範囲	調査中
侵入経路・技術的原因	調査中
サイト状況	8月5日15時30分から一時閉鎖を継続
再開時期	未定。調査と安全性確認後に公表予定
調査体制	外部の第三者専門調査機関と連携
個人情報保護委員会への報告	第一報で速報として報告済み
利用者対応	カード利用明細の継続確認、不審な電話・メール・SMSへの注意を呼びかけ

第二報でも被害範囲と原因の調査を継続

8月18日の第二報でRIZAPが明らかにしたのは、被害状況の全容解明と原因特定に向けた調査を引き続き行っていることです。

同社は外部の第三者専門調査機関と連携し、技術的な調査を進めていますが、第二報では新たな侵入経路や脆弱性、攻撃者の特定、対象件数などは公表していません。

そのため、現時点で確認できるのは、APORITOオンラインストアが第三者から不正アクセスを受け、第一報で個人情報とクレジットカード情報が外部流出した可能性が示されたという段階までです。

実際に何人分の情報が影響を受けたのか、対象期間中に入力された情報のうちどの項目が外部へ送信されたのか、すべての利用者が同じ影響を受けたのかについては確定していません。

第二報は、被害規模を確定した報告ではなく、調査と封じ込め、安全性確認を継続していることを知らせる進捗報告と位置付けるのが適切です。

第一報では個人情報とカード情報が流出した可能性を公表

RIZAPは8月10日の第一報で、8月5日にAPORITOオンラインストアのシステム内から不審な外部送信プログラムを発見したと説明しています。

同社は二次被害の拡大を防ぐため、同日15時30分にオンラインストアを一時閉鎖しました。

影響が及ぶ可能性があるのは、2026年5月1日から8月5日までの期間に、APORITOオンラインストアで注文した、または情報を入力した利用者です。

流出した可能性がある情報として、氏名、住所、電話番号、メールアドレスのほか、クレジットカード番号、有効期限、セキュリティコードが挙げられています。

クレジットカード情報が流出した可能性のある対象者には、8月8日付で電子メールによる個別連絡を実施しています。

一方、第一報の時点では対象件数は公表されておらず、専門調査会社による被害状況と影響範囲の調査が続いていました。

セキュリティ対策Labでは、第一報と同時期にRIZAPグループで公表された別のインシデントを含め、「RIZAPグループで不正アクセスが相次いで発覚、APORITOはカード情報流出の恐れ、REXTはランサムウェア被害」で整理しています。

今回の第二報は、そのうちRIZAP株式会社が運営するAPORITOオンラインストアへの不正アクセスに関する続報です。

APORITOオンラインストアは閉鎖を継続、再開時期は未定

APORITOオンラインストアは、8月5日に不審な外部送信プログラムが見つかって以降、一時閉鎖が続いています。

第二報でも、RIZAPは「お客様の安全を最優先」とし、サービスを引き続き閉鎖すると説明しました。

現在は調査と並行して、システムのセキュリティ強化や監視体制の見直しなどを進めています。

再開時期については日付を示しておらず、専門機関による調査と安全性の確認が完了した後、確定した事実関係や技術的な調査結果とともに改めて公表するとしています。

ECサイトのインシデントでは、原因となった問題を修正しただけで再開できるとは限りません。

侵害された可能性がある範囲、外部通信、管理者アカウント、ソースコードや設定ファイル、決済画面周辺の改ざん有無などを確認し、安全性を検証したうえで再開する必要があります。

ただし、RIZAPが具体的にどの技術的対策を実施しているかは第二報では公表されていないため、個別の対策内容を推測することはできません。

第二報でも対象件数は公表されず

今回の第二報でも、個人情報やクレジットカード情報が流出した可能性のある利用者の総数は公表されていません。

第一報では対象期間を2026年5月1日から8月5日としていましたが、その期間に注文または情報入力した人数や、クレジットカード情報を入力した人数は明らかにされていません。

また、「流出した可能性がある情報」と「実際に流出したことが確認された情報」も分けて考える必要があります。

第二報は確定した技術調査結果をまだ公表しておらず、対象件数、実際に外部送信されたデータ、影響を受けた個々の利用者の範囲についても、引き続き調査段階です。

そのため、「何万件が漏えいした」といった件数を現時点で推計することはできません。

利用者にはカード利用明細の継続確認を要請

RIZAPは第二報でも、対象となる利用者に対してクレジットカードの利用明細を継続して確認するよう求めています。

身に覚えのない利用項目が確認された場合には、カード裏面などに記載された発行会社の窓口へ速やかに連絡するよう案内しています。

カード情報の不正利用は、情報が取得された直後に発生するとは限りません。一定期間を置いて利用される場合もあるため、第一報を受けて一度確認した利用者も、しばらく継続して明細を確認することが重要です。

なお、第二報では、不正利用が新たに確認された件数や、カード会社との補償状況については公表されていません。

RIZAPや警察、カード会社を装う二次被害にも注意

RIZAPは、今回の事案に便乗した電話、メール、SMSにも注意するよう呼びかけています。

想定されるのは、RIZAPやAPORITO、警察などの公的機関、クレジットカード会社を装い、「カードが不正利用された」「確認のため本人情報が必要」などとして暗証番号や個人情報を聞き出そうとする手口です。

RIZAPは、同社から顧客へ暗証番号などを尋ねることはないと明記しています。

現時点で、本件を利用したフィッシングや詐欺が実際に発生したとの公表はありません。二次被害については、今後想定されるリスクとして注意する必要があります。

利用者は、メールやSMSに記載されたリンクからカード会社のサイトへアクセスするのではなく、カード裏面の電話番号、公式アプリ、普段利用しているブックマークなど、信頼できる経路から確認することが重要です。

第一報と第二報で変わったこと、変わっていないこと

第二報では、利用者にとって重要な新しい被害件数や流出確定情報は示されていません。

変わったのは、RIZAPが外部の第三者専門調査機関と連携した調査を継続し、サイト再開に向けてセキュリティ強化と監視体制の見直しを進めていることを改めて明示した点です。

一方、第一報から引き続き未確定なのは、対象件数、具体的な侵入経路、実際に外部へ流出したデータの範囲、サイトの再開時期です。

論点	第一報	第二報
不正アクセス	公表済み	調査継続
不審な外部送信プログラム	8月5日に発見	技術調査継続
個人情報・カード情報	流出の可能性を公表	確定範囲は引き続き調査中
対象期間	5月1日～8月5日	変更の公表なし
対象件数	未公表	未公表
サイト	一時閉鎖	閉鎖継続
再開時期	未定	未定
専門調査	調査会社と連携	第三者専門調査機関と調査継続
再発防止	今後検討・公表	セキュリティ強化、監視体制見直しを進行

情報システム・EC運営部門への示唆

今回の第二報からは、ECサイトへの不正アクセスでは、初動でサイトを停止した後も、調査・安全性確認・再開判断に時間を要することが分かります。

EC事業者にとって特に重要なのは、カード決済を決済代行会社へ委託している場合でも、自社サイト側の入力画面やJavaScript、外部スクリプト、タグ管理、管理画面などが攻撃対象になり得る点です。

今回の具体的な侵入経路や改ざん方法はまだ公表されていませんが、第一報で「不審な外部送信プログラム」が確認された以上、EC運営組織では自社サイトから外部への通信やスクリプト変更を検知できる体制があるかを確認する契機になります。

また、サイト停止の判断基準も事前に整理しておく必要があります。

決済情報や個人情報が外部送信されている可能性がある場合、売上を維持するためにサービスを継続することが、被害範囲を広げる結果になる可能性があります。停止権限を誰が持つのか、決済機能だけを切り離せるのか、顧客通知やカード会社との連携をどの順番で行うのかを平時から決めておくことが重要です。

さらに、技術調査と顧客対応を並行して進める体制も必要です。

フォレンジック調査では影響範囲の確定に時間がかかる一方、利用者にはカード利用明細の確認や不審な連絡への注意を早い段階で案内する必要があります。

第一報で「可能性」として公表した情報と、後の調査で「確認された」情報を明確に分けることも重要です。インシデント対応では、情報が更新されるたびに対象件数や流出項目、原因、二次被害の有無を更新し、推測と確認済み事実が混在しないよう管理する必要があります。

APORITOオンラインストアについては、今後公表される技術調査結果、対象件数、情報流出の確定範囲、再発防止策、サイト再開時期が次の確認ポイントになります。

関連記事

RIZAPグループで不正アクセスが相次いで発覚、APORITOはカード情報流出の恐れ、REXTはランサムウェア被害

出典

• 「APORITOオンラインストア」への不正アクセスに関するお詫びとご報告（第2報） – RIZAP株式会社
• 「APORITOオンラインストア」への不正アクセスに関するお詫びとご報告 – RIZAP株式会社