環境機器「虫退治ドットコム」に不正アクセス、15人の個人情報漏えいの可能性 6人はカード情報も対象|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月26日更新日時: 2026年08月26日

環境機器株式会社は2026年8月22日、同社が運営する通販サイト「虫退治ドットコム」が第三者による不正アクセスを受け、決済ページに不正なプログラムが設置されていたと公表しました。

同社は、EC-CUBE用Amazon Pay決済プラグインの脆弱性が悪用され、管理者権限が不正に取得されたものと現時点で判断しています。不正プログラムは8月11日14時49分から8月18日14時00分まで稼働し、この間に決済ページへ到達した15人について、氏名や住所、電話番号、メールアドレス、注文情報などが漏えいした可能性があります。

15人のうちクレジットカードを利用した6人については、カード番号、有効期限、セキュリティコード、カード名義人が取得された可能性があります。ただし、サーバーの記録から実際に情報が外部へ送信されたかどうかは確認できず、環境機器は「漏えいした可能性がある」として対応しています。

「虫退治ドットコム」不正アクセスのサマリー

確認済み：環境機器は2026年8月22日、「虫退治ドットコム」への不正アクセスを公表しました。
確認済み：決済ページに第三者が設置した不正プログラムが存在していました。
調査結果：EC-CUBE用Amazon Pay決済プラグインの脆弱性が悪用され、管理者権限が不正取得されたものと現時点で判断しています。
確認済み：不正プログラムの稼働期間は2026年8月11日14時49分から8月18日14時00分までです。
確認済み：漏えいのおそれがある顧客は合計15人です。
確認済み：15人の内訳は、クレジットカード利用者6人、カード以外の支払方法利用者8人、注文未完了で決済ページへ到達した1人です。
確認済み：氏名、住所、電話番号、メールアドレス、注文情報などが漏えいした可能性があります。
確認済み：カード利用者6人については、カード番号、有効期限、セキュリティコード、カード名義人が取得された可能性があります。
未確認：サーバー記録では、対象情報が実際に外部へ送信されたかどうかを確認できませんでした。
確認済み：不正プログラムの除去と原因となった脆弱性への対策は8月18日に完了しています。
確認済み：8月22日の公表時点で、本件に関連する新たな不正アクセスや改ざんは確認されていません。
確認済み：決済代行会社と個人情報保護委員会への報告を進めています。
未確認：悪用された脆弱性のCVE番号、プラグインの対象バージョン、攻撃者の属性は公表されていません。

項目	内容
公表日	2026年8月22日
対象組織	環境機器株式会社
対象サービス	通販サイト「虫退治ドットコム」
インシデント	不正アクセス、決済ページへの不正プログラム設置
不正プログラム稼働期間	2026年8月11日14時49分～8月18日14時00分
侵入経路	EC-CUBE用Amazon Pay決済プラグインの脆弱性悪用と現時点で判断
権限	管理者権限が不正取得されたものと判断
漏えいのおそれがある顧客	15人
カード情報対象	6人
その他の支払方法	8人
注文未完了	1人
漏えいの可能性がある情報	氏名、住所、電話番号、メールアドレス、注文情報など
カード利用者で対象となる情報	カード番号、有効期限、セキュリティコード、カード名義人
外部送信	実際に送信されたかは確認できず
対応	不正プログラム除去、脆弱性対策、対象顧客への個別連絡
個人情報保護委員会	報告を進めている
CVE	公表されていません

EC-CUBE用Amazon Pay決済プラグインの脆弱性を悪用

環境機器によると、不正アクセスを調査した結果、EC-CUBE用Amazon Pay決済プラグインの脆弱性が悪用され、第三者に管理者権限を不正取得されたものと現時点で判断しています。

その後、通販サイトの決済ページへ不正なプログラムが設置されました。

今回の公表では、悪用されたプラグインの具体的なバージョン、脆弱性の技術的内容、CVE番号は明らかにされていません。

EC-CUBE公式サイトが公開している脆弱性一覧にも、8月25日時点で今回の事案に対応すると特定できる2026年のAmazon Pay決済プラグインの脆弱性情報は確認できませんでした。このため、過去に公開された別のEC-CUBE脆弱性やCVEを今回の侵入原因と結び付けることはできません。

また、「Amazon Pay決済プラグインの脆弱性」が悪用されたという発表であり、Amazon PayのサービスやAmazonアカウント自体への侵害が確認されたという意味ではありません。

不正プログラムは約7日間稼働

不正プログラムが稼働していた期間は、8月11日14時49分から8月18日14時00分までです。

この期間中、決済ページへ到達した顧客が調査対象となっています。

環境機器は8月18日に不正プログラムを除去し、原因となった脆弱性への対策も完了しました。8月22日の公表時点では、本件に関連する新たな不正アクセスや改ざんは確認されていません。

不正アクセスそのものがいつ始まったのか、脆弱性がいつから存在していたのか、不正プログラムの設置時刻と管理者権限の取得時刻が同一かどうかについては、公表資料から確認できません。

15人の個人情報に漏えいのおそれ

環境機器は、不正プログラムが稼働していた期間に決済ページへ到達した15人について、情報漏えいの可能性があるとしています。

内訳は以下のとおりです。

対象	人数
クレジットカード情報が漏えいした可能性がある顧客	6人
クレジットカード以外の支払方法を利用した顧客	8人
注文未完了で決済ページへ到達した顧客	1人
合計	15人

漏えいした可能性がある情報には、氏名、住所、電話番号、メールアドレス、注文情報などが含まれます。

ここで重要なのは、15人全員について「情報漏えいが確認された」と公表されているわけではない点です。

環境機器は、サーバーの記録から対象情報が実際に外部へ送信されたか否かを確認できないため、対象者について「漏えいした可能性がある」として対応しています。

カード利用者6人は番号・有効期限・セキュリティコードも対象

15人のうち、クレジットカードを利用した6人については、より慎重な対応が必要です。

環境機器が漏えいの可能性があるとしているカード情報は以下です。

カード番号
有効期限
セキュリティコード
カード名義人

決済ページに不正プログラムが設置されていたことから、通常の決済処理とは別に、入力された情報が取得された可能性があるとみられます。

ただし、同社のサーバー記録では、これらが実際に第三者へ送信されたかまでは確認できません。このため、「カード情報6人分が流出した」と断定するのではなく、「6人のカード情報が漏えいした可能性がある」とする必要があります。

カード情報の不正利用が実際に確認されているかについては、8月22日付リリースでは明らかにされていません。

Amazon Pay利用者のAmazonアカウント侵害を示す発表ではない

今回の原因として「EC-CUBE用Amazon Pay決済プラグイン」が挙げられているため、Amazon Payそのものが侵害されたと誤解しないよう注意が必要です。

EC-CUBE公式のAmazon Payプラグインは、EC-CUBE上の通販サイトとAmazon Payを連携するためのソフトウェアです。

環境機器の発表は、このEC-CUBE用プラグインの脆弱性が侵入に悪用されたとの判断を示したもので、Amazon Payの基盤やAmazonアカウントから情報が流出したとはしていません。

また、環境機器は「虫退治ドットコム」でクレジットカード、代金引換、銀行振込、後払い、Amazon Payなど複数の支払方法を提供しています。

今回カード情報の漏えい可能性がある6人について、具体的にどの決済方式を利用していたかまでは公表されていません。

不正プログラム除去と脆弱性対策は8月18日に完了

環境機器は8月18日、不正プログラムの除去と原因となった脆弱性への対策を完了しました。

8月22日時点では、本件に関連する新たな不正アクセスや改ざんは確認されていません。

同社は対象となる顧客へ個別に連絡するとともに、決済代行会社と個人情報保護委員会への報告を進めています。

「報告済み」ではなく「報告を進めている」とされているため、8月22日の公表時点で個人情報保護委員会への報告手続きが完了したとまでは確認できません。

環境機器を装ったフィッシングにも注意

環境機器は、個別通知を受け取った顧客に対し、通知内容を確認して必要な対応を取るよう求めています。

また、本件に便乗して環境機器を装い、カード情報やパスワードなどを聞き出そうとする不審な電話やメールにも注意するよう呼びかけています。

氏名、メールアドレス、注文情報などが攻撃者に取得されていた場合、実際の購入内容を踏まえた説得力の高いフィッシングやなりすまし連絡に悪用される可能性があります。

ただし、こうした二次被害が実際に確認されたとの発表はありません。現段階では今後想定されるリスクとして注意する必要があります。

情報システム部門・EC運営者への示唆

今回の事案は、ECサイト本体だけでなく、決済プラグインなど追加コンポーネントも攻撃対象になることを改めて示しています。

EC-CUBEのような拡張可能なEC基盤では、本体、テーマ、決済、配送、会員連携など複数のプラグインが稼働します。脆弱性管理ではEC-CUBE本体のバージョンだけを確認するのではなく、導入中の全プラグインについて製品名、提供元、バージョン、サポート状況、更新履歴を資産台帳として管理する必要があります。

特に決済ページは、カード情報や個人情報を扱うため、改ざんされた場合の影響が大きくなります。ファイルやJavaScriptの変更監視、管理画面へのアクセス制限、管理者権限の最小化、WAFやログ監視などを組み合わせ、不正な変更を早期に検知できるようにすることが重要です。

また、インシデント後に「情報が外部送信されたか」を判断できるログが残っているかも重要です。今回、環境機器はサーバー記録から外部送信の有無を確認できませんでした。Webサーバーだけでなく、WAF、CDN、プロキシ、DNSなどを含め、決済画面から不審な外部通信が行われた場合に追跡できるログ設計を検討する必要があります。

セキュリティ対策Labでは、ECサイトへの不正アクセスとカード情報漏えいの事例を「2025年に発生した ECサイト/通販サイトへのサイバー攻撃の事例と対策」でも整理しています。