まんだらけ、不正アクセスで通販注文者の個人情報漏えいの可能性　通販・オークション停止、カード・パスワードは対象外

株式会社まんだらけは2026年8月31日、同社サーバーへの第三者による不正アクセスにより、通販利用者の氏名、住所、電話番号、メールアドレスが漏えいした可能性があると公表しました。

同社は8月27日23時ごろに不正アクセスを確認し、個人情報漏えいの可能性があると判断して関係サーバーを停止しました。外部専門家を交えて原因と影響範囲を調査しており、8月30日には個人情報保護委員会へ報告するとともに、警察へ被害届を提出しています。

8月31日の更新では、漏えいした可能性がある範囲を「2026年8月28日6時までに注文した顧客の、注文時の氏名、住所、電話番号、メールアドレス」と明示しました。一方、対象人数や注文期間の始点は公表されていません。

クレジットカード情報は同社が保持していないため対象外で、会員情報のパスワード、買取会員情報についても漏えいはないとしています。宅配・店頭買取、オークション委託、落札者、同人誌等の委託者、eKYC関連データについても、8月31日公開のFAQで漏えい対象外と説明しています。

不正アクセスの影響で通販サイトとオークションサイトは停止しており、通販は9月2日、大オークションと毎日オークションは9月7日からの再開を予定しています。

まんだらけ不正アクセスのサマリー

• まんだらけは2026年8月27日23時ごろ、同社サーバーへの第三者による不正アクセスを確認しました。
• 個人情報漏えいの可能性があると判断し、関係サーバーを停止して外部専門家と調査を開始しました。
• 漏えいした可能性があるのは、8月28日6時までに注文した顧客の氏名、住所、電話番号、メールアドレスです。
• 対象人数と、対象となる注文期間の始点は公表されていません。
• 個人情報が実際に外部へ持ち出されたかどうかは公表資料から確認できず、「漏えいの可能性」の段階です。
• クレジットカード情報は非保持のため漏えい対象外です。
• 会員情報のパスワード、買取会員情報についても漏えいはないとしています。
• 宅配・店頭買取、オークション委託・落札者情報、委託同人誌等の委託者情報、eKYCデータも対象外としています。
• 8月30日に個人情報保護委員会へ報告し、警察へ被害届を提出しました。
• 通販サイトとオークションサイトを停止しており、通販は9月2日、各オークションは9月7日から再開予定です。
• 侵入経路、攻撃者、ランサムウェアの使用有無、漏えい件数は公表されていません。
• 同社は、まんだらけや関係者を装った不審なメール・電話への注意を呼び掛けています。

項目	内容
公表・更新日	2026年8月31日 11時37分
不正アクセス確認	2026年8月27日 23時ごろ
対象組織	株式会社まんだらけ
インシデント	サーバーへの第三者による不正アクセス
侵入経路	確認できませんでした
漏えいした可能性のある情報	注文時の氏名、住所、電話番号、メールアドレス
対象範囲	2026年8月28日6時までに注文した顧客。対象人数・期間始点は未公表
クレジットカード情報	非保持のため漏えい対象外
パスワード	会員情報のパスワードは漏えいなしと公表
買取関連	買取会員情報、宅配・店頭買取情報は漏えいなしと公表
情報流出	漏えいの可能性。実際の持ち出し・取得は公表資料では確認できず
業務影響	通販・オークションサイト停止、大オークション開催延期
通販再開予定	2026年9月2日
オークション再開予定	大オークション、毎日オークションとも9月7日
個人情報保護委員会への報告	2026年8月30日に報告
警察への届出	2026年8月30日に被害届を提出
攻撃者	確認できませんでした
ランサムウェア	確認できませんでした

8月27日23時ごろに不正アクセスを確認、関係サーバーを停止

まんだらけによると、不正アクセスを確認したのは8月27日23時ごろです。

同社は顧客の個人情報が漏えいした可能性があると判断し、被害拡大を防ぐため関係サーバーを停止しました。その後、外部専門家を交えて原因究明と影響範囲の調査を進めています。

9月1日時点でも公式メンテナンスページでは「通販・オークションサイトを閲覧できません」と案内されており、サービス停止が継続しています。

不正アクセスに使用された脆弱性、認証情報、リモートアクセス経路などの詳細は公表されていません。

攻撃者の特定や、ランサムウェアによる暗号化・身代金要求についても記載がなく、本件をランサムウェア攻撃と判断できる情報はありません。

8月31日、漏えい可能性のある情報範囲を追加

8月31日の更新で、個人情報への影響範囲が具体化しました。

まんだらけが「流出の可能性がある範囲」としているのは、2026年8月28日6時までに注文した顧客が注文時に入力した次の情報です。

• 氏名
• 住所
• 電話番号
• メールアドレス

ただし、何人分の注文情報が対象なのかは公表されていません。

また、「8月28日6時まで」という終点は示されていますが、何年何月以降の注文が対象なのかという期間の始点も明らかにされていません。

このため、対象人数や影響規模を推測することはできません。

もう一つ確認点となるのが時系列です。

同社は8月27日23時ごろに不正アクセスを確認して関係サーバーを停止したと説明する一方、影響範囲の基準時刻は翌28日6時までとしています。この約7時間の差がどのようなシステム構成や調査結果に基づくものかについて、現時点の公表では説明されていません。

今後の続報では、影響期間の始点と対象件数に加えて、この基準時刻の根拠も確認ポイントになります。

「漏えいした可能性」であり、実流出は現時点で確定していない

まんだらけは公式発表で、一部の顧客情報が「漏えいした可能性」があるとしています。

一方、8月31日時点の公表には、第三者が対象データを実際に閲覧した、ダウンロードした、外部へ送信したとする記載はありません。

したがって、本件について「顧客情報が流出した」「○件が漏えいした」と断定することはできません。

不正アクセスによって個人情報へアクセスできた可能性が確認され、漏えいのおそれがあるため調査・報告・サービス停止を行っている段階と整理する必要があります。

クレジットカード情報は非保持、パスワードも対象外

今回の公表では、影響を受けていない情報も明示されています。

クレジットカード情報については、まんだらけが非保持化しており、自社システムで保持していないため漏えいはないとしています。

会員情報のパスワードについても、現時点で漏えいは確認されていません。

ECサイトの不正アクセスでは、氏名・住所だけでなく決済情報や認証情報への影響が問題になることがありますが、本件では少なくとも現在の調査結果上、カード情報と会員パスワードは影響範囲から除外されています。

クレジットカード情報を自社で保持しない設計が、今回のインシデントで決済情報への影響範囲を限定した形です。

買取、オークション委託、eKYCなども漏えい対象外

8月31日に公開されたFAQでは、通販注文情報以外のサービスについても影響範囲を説明しています。

宅配買取については、宅配買取ID、パスワード、振込先口座情報等の漏えいはないとしています。

店頭買取時に記入した個人情報も漏えい対象外です。

オークションについては、商品委託時の個人情報と落札者情報のいずれも漏えいしていないと説明しています。

委託同人誌、ARK、シール横丁に登録している委託者の個人情報も対象外です。

eKYCについては、データをまんだらけ側で保持していないことから、漏えいしていないとしています。

このように、現在確認されている影響は通販注文時の個人情報に限定されています。

通販は9月2日、オークションは9月7日再開予定

サイバーインシデントは個人情報への影響だけでなく、同社のオンライン事業にも直接影響しています。

まんだらけは古書籍・古物店の運営や自社出版物の販売を手掛け、通販サイトと独自オークションを展開しています。

不正アクセスを受け、通販サイトとオークションサイトを停止しました。

8月31日時点で示された再開予定は次の通りです。

• 通販：9月2日
• 大オークション：9月7日
• 毎日オークション：9月7日

当初9月1日から予定していた「大オークション大会」は延期されました。



毎日オークションについては、停止期間中に落札日を迎える商品は9月7日以降へ延長して再開します。中野店アニメ館の出品商品は9月7日以降に改めて出品し直し、それ以外は落札日を変更して再開するとしています。

通販の入金期限がサービス停止期間中に迫っている注文については、通販ページ復旧後に改めて5日以内の期限を設定すると案内しています。

ただし、再開日は調査や復旧状況によって変更される可能性があります。

8月30日に個人情報保護委員会へ報告、警察に被害届

まんだらけは8月30日、個人情報保護法に基づき個人情報保護委員会へ本件を報告しました。

同日、サーバー攻撃について警察にも被害届を提出しています。

個人情報保護委員会は、不正アクセスによる個人データの漏えいや、そのおそれが発生した場合を報告対象の例として示しています。

今回のように個人情報が保存されたサーバーへ第三者による不正アクセスが確認され、漏えいのおそれが生じた場合、実際のデータ流出が完全に確定する前の段階でも報告が必要になる場合があります。

まんだらけは外部専門家による調査を継続しており、今後新たに公表すべき事実が判明した場合にはWebサイトなどで知らせるとしています。

氏名・住所・電話番号・メールアドレスを使った二次被害に注意

まんだらけは、今回のインシデントに関連して同社や関係者を装った不審なメールや電話が行われる可能性があるとして注意を呼び掛けています。

現時点でフィッシングや詐欺などの二次被害が確認されたとの発表はありません。

一方、氏名、住所、電話番号、メールアドレスが第三者へ取得されていた場合には、注文や配送に関する連絡を装ったフィッシング、本人確認を名目とした詐欺電話、まんだらけを装った不審なメールなどに利用される可能性があります。

今回パスワードの漏えいはないとされていますが、不審なメールから偽サイトへ誘導し、そこで認証情報や決済情報を入力させる攻撃は別途想定できます。

利用者は、サービス復旧や返金、注文確認を装った連絡が届いた場合、メール本文のリンクや記載された電話番号だけで判断せず、公式サイトの案内と照合することが重要です。

情報システム・EC運営部門への示唆

今回の事案では、個人情報への影響とオンラインサービス停止が同時に発生しています。

第一に、ECサイトで保持する個人情報を最小化する必要があります。

通販業務では配送のため氏名、住所、電話番号などの保持が必要になりますが、注文完了後にどの情報をどの期間保持するのかを整理し、不要なデータを削除・分離することで侵害時の影響範囲を抑えられます。

第二に、決済情報を自社で保持しない設計は重要です。

今回、まんだらけはクレジットカード情報を非保持化していたため、現在公表されている影響範囲にカード情報は含まれていません。決済代行サービスやトークン化を利用し、EC事業者自身が生のカード番号を保持しないことは、侵害時の被害低減につながります。

第三に、サービス停止を前提とした業務継続計画が必要です。

通販やオークションでは、停止中にも注文、入金期限、落札期限、出品者・落札者対応などの業務が継続します。復旧だけでなく、期限延長、再出品、利用者通知などを含む手順をあらかじめ設計しておく必要があります。

第四に、侵入経路の特定と再発防止を分けずに進める必要があります。

WAFやEDRの追加だけではなく、Webアプリケーション、管理画面、認証、OS・ミドルウェア、委託先アカウント、クラウド設定、ソースコード管理まで含めて侵入経路を確認する必要があります。

第五に、インシデント公表後のなりすまし対策も対応計画へ含めます。

顧客情報の漏えい可能性を公表すると、その公表自体を利用したフィッシングが発生する可能性があります。公式連絡で利用するドメインや連絡手段、顧客へ要求しない情報を明示し、不審な連絡を報告できる窓口を設けることが重要です。

第六に、「影響なし」と判断したデータについても根拠を維持します。

今回のFAQでは、買取、オークション、委託、eKYCなど複数のデータが対象外とされています。システム分離や非保持化など、なぜ影響がないと判断できたのかを構成管理やデータフローとして把握しておくことが、迅速なインシデント調査と対外説明につながります。

セキュリティ対策Labでは、EC・通販サイトで発生した不正アクセスや情報漏えいの事例と対策を「ECサイト(通販サイト)で発生した情報漏洩の事例とセキュリティ対策」でも整理しています。

出典

• 不正アクセスによる個人情報漏えいの可能性、通販サイトのサービス停止および「大オークション大会」開催延期のお知らせとお詫び – 株式会社まんだらけ
• 会社概要 – 株式会社まんだらけ
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• 不正アクセス対策 – 警察庁
• ECサイト(通販サイト)で発生した情報漏洩の事例とセキュリティ対策 – セキュリティ対策Lab