カルビー「プロ野球チップス」モチーフのオリジナルカードサービスに不正アクセス-クレジットカード 情報漏えいの恐れ

カルビー株式会社は2026年9月17日、「プロ野球チップス」をモチーフとしたオリジナルカードなどを注文できるサービス「PhotoGoods」で、利用者の個人情報等が漏えいした可能性があると公表しました。

「PhotoGoods」を運営する大興印刷株式会社によると、第三者による不正アクセスが確認され、決済画面などへ入力されたクレジットカード情報を不正に取得する機能を持つプログラムが設置されていました。

不正プログラムは2026年8月6日から9月11日まで設置されていたことが確認されています。この期間にPhotoGoodsの決済画面へカード情報を入力した利用者は、商品の購入を完了していない場合も対象となる可能性があります。

漏えいした可能性があるのは、カード番号、有効期限、セキュリティコードのほか、氏名、住所、電話番号、メールアドレス、会員パスワードに関する情報です。

ただし、対象人数と実際の漏えい範囲は2026年9月17日時点で確定していません。

今回の対象は「プロ野球チップス」そのものを店頭などで購入した顧客ではなく、大興印刷が運営するECサービス「PhotoGoods」の利用者です。カルビーは、PhotoGoods利用者の個人情報を直接取得・保有していないと説明しています。

カルビー「プロ野球チップス」関連サービス不正アクセスのサマリー

確認できている内容：

• カルビーは2026年9月17日、業務提携先が運営する「PhotoGoods」で個人情報等が漏えいした可能性を公表しました。
• PhotoGoodsでは、カルビー「プロ野球チップス」をモチーフにした「カルビー公認オリジナル野球カード」などを注文できます。
• PhotoGoodsの運営・販売は大興印刷です。
• 大興印刷は2026年9月16日、PhotoGoodsへの第三者による不正アクセスを公表しました。
• 9月11日、PhotoGoodsで不審な外部プログラムが読み込まれているとの連絡を受け、調査を開始しました。
• 調査で、決済画面などに入力されたクレジットカード情報を不正に取得する機能を持つプログラムが確認されました。
• 不正プログラムは8月6日から9月11日まで設置されていました。
• システム上の脆弱性とファイルアップロード機能の悪用による不正アクセスが確認されています。
• カード番号、有効期限、セキュリティコードが漏えいした可能性があります。
• 氏名、住所、電話番号、メールアドレスも漏えいした可能性があります。
• 会員パスワードそのものではなく、直接読み取れない形式に変換して保存した情報も対象となる可能性があります。
• 対象人数と実際の漏えい範囲は調査中です。
• PhotoGoodsは停止中で、再開時期は未定です。
• カルビーはPhotoGoods利用者の個人情報を直接取得・保有していません。

項目	内容
カルビー公表日	2026年9月17日
大興印刷公表日	2026年9月16日
対象サービス	PhotoGoods
関連商品・サービス	「プロ野球チップス」をモチーフとしたカルビー公認オリジナル野球カードなど
運営会社	大興印刷株式会社
インシデント	第三者による不正アクセス、不正プログラム設置
不正プログラム設置期間	2026年8月6日～9月11日
侵入経路	システム上の脆弱性、ファイルアップロード機能の悪用
カード情報	カード番号、有効期限、セキュリティコードが漏えいした可能性
個人情報	氏名、住所、電話番号、メールアドレスが漏えいした可能性
パスワード	直接読み取れない形式に変換した情報が対象となる可能性
対象人数	調査中
実際の漏えい範囲	調査中
サービス状況	停止中、再開時期未定
カルビーの個人情報保有	PhotoGoods利用者情報は大興印刷が直接取得・保有。カルビーは取得・保有せず

「プロ野球チップス」をモチーフにしたカルビー公認オリジナル野球カード

PhotoGoodsでは、「プロ野球チップス」をモチーフにしたカルビー公認のオリジナル野球カードを作成できます。

大興印刷が公開している商品ページでは、利用者が写真をアップロードし、チーム名、選手名、背番号、プロフィールなどを入力して、カルビーロゴ入りのカードを注文できるサービスとして案内されています。

カードは7種類のデザイン、5色のカラーから選択でき、8枚、16枚、48枚、100枚の単位で販売されています。

関連商品として「カルビー公認 BASEBALL CARD HOLDER」も案内されています。

一方、今回のインシデントは、カルビーが通常販売している「2026プロ野球チップス」そのものの購入者情報が漏えいしたという発表ではありません。

対象となる可能性があるのは、大興印刷が運営する「photo-goods.com」のECサイトを利用した顧客です。

カルビーの商品ページや一般店舗で「プロ野球チップス」を購入しただけの利用者が今回の漏えい対象になるとの発表はありません。

9月11日に不審な外部プログラムを確認

大興印刷によると、2026年9月11日、PhotoGoods内で不審な外部プログラムが読み込まれているとの連絡を受けました。

同社は直ちにシステム管理会社による調査を開始しました。

その結果、決済画面などへ入力されたクレジットカード情報を不正に取得する機能を持つプログラムが設置されていたことが確認されています。

不正プログラムは8月6日から9月11日に除去されるまで設置されていました。

不正アクセスそのものは確認されていますが、どの利用者の情報が実際に第三者へ送信されたのかについては、最終調査が続いています。

システムの脆弱性とファイルアップロード機能を悪用

大興印刷は、不正アクセスについて「システム上の脆弱性およびファイルアップロード機能の悪用」が確認されたと説明しています。

ただし、2026年9月16日の公表では、次の技術情報は明らかにされていません。

• 脆弱性が存在した製品やCMSの名称
• CVE番号
• 脆弱性の具体的な種類
• 攻撃者が最初に侵入した日時
• 不正プログラムを設置した具体的な手順
• 攻撃主体
• 外部送信先
• 実際に窃取されたデータ件数

ファイルアップロード機能の悪用が確認されていますが、具体的な侵入手法や脆弱性製品を推測することはできません。

カード番号・有効期限・セキュリティコードが漏えいした可能性

大興印刷が公表した、漏えいした可能性のあるクレジットカード情報は次の3項目です。

• クレジットカード番号
• 有効期限
• セキュリティコード

対象となる可能性があるのは、2026年8月6日から9月11日までにPhotoGoodsの決済画面へカード情報を入力した利用者です。

大興印刷は、商品の購入を完了しなかった場合でも、決済画面へカード情報を入力していれば対象となる可能性があると説明しています。

現時点では、カード情報が実際に何件外部へ送信されたのかは公表されていません。

氏名・住所・電話番号・メールアドレスも対象

クレジットカード情報以外では、PhotoGoods利用者の次の情報が漏えいした可能性があります。

• 氏名
• 住所
• 電話番号
• メールアドレス

さらに、会員パスワードに関する情報も対象です。

ただし、大興印刷はパスワードそのものではなく、元のパスワードを直接読み取ることができない形式へ変換して保存した情報だと説明しています。

変換方式やハッシュアルゴリズムなどの詳細は公表されていません。

カルビーはPhotoGoods利用者の個人情報を保有せず

カルビーは9月17日の公表で、PhotoGoods利用者の個人情報は大興印刷が直接取得・保有しており、カルビー自身は取得・保有していないと説明しています。

このため、個別の利用状況や個人情報の状況について、カルビーでは確認できないとしています。

本件に関する個別の問い合わせ先も、大興印刷のPhotoGoods問い合わせ窓口です。

ブランドや商品デザインはカルビーに関連していますが、ECサービスの運営と個人情報管理は業務提携先が担当していた構造です。

PhotoGoodsを停止、不正管理者アカウントも無効化

大興印刷は、事案判明後に次の対応を実施しています。

• PhotoGoodsのサービス停止
• 不正プログラムの停止・削除
• 不正アクセスに利用された仕組みの隔離
• 不正な管理者アカウントの無効化
• 外部からのアクセス制限
• システムおよびログの調査・保全

現在は、安全な環境へのシステム再構築、認証情報の変更、脆弱性対策を進めています。

安全性が確認できるまでサービスを再開しない方針で、2026年9月16日時点の再開時期は未定です。

大興印刷は、本件の影響範囲はPhotoGoodsに限定され、同社が提供するその他のサービスへの影響はないとしています。

PhotoGoods利用者はカード利用明細と不審メールを確認

大興印刷は、クレジットカードを利用した顧客に対し、今後の利用明細を確認するよう案内しています。

身に覚えのない利用があった場合は、カード会社へ問い合わせるよう求めています。

また、流出した可能性のある情報にはメールアドレスや氏名なども含まれるため、大興印刷やPhotoGoodsを装ったフィッシングメール、SMS、電話にも注意を呼びかけています。

メールやSMSから誘導されたページでカード情報やパスワードを入力せず、公式窓口から確認する必要があります。

クレジットカード情報が漏えいした場合の不正利用リスクと確認事項は、以下の記事でも整理しています。

クレジットカードが不正利用される原因を解説

情報システム部門・EC事業者への示唆

今回の公表では、システム上の脆弱性とファイルアップロード機能が悪用され、決済画面へ入力された情報を取得する不正プログラムが設置されていました。

EC事業者やWebサービス運営企業では、次の項目を確認できます。

• ECサイト、CMS、プラグイン、フレームワークの脆弱性を定期的に把握しているか
• ファイルアップロード機能で、拡張子、MIMEタイプ、保存先、実行権限を制限しているか
• Web公開領域へアップロードされたファイルがサーバー上で実行可能になっていないか
• 決済画面のHTML、JavaScript、外部スクリプトの変更を検知できるか
• 不審な管理者アカウントの追加を検知できるか
• 管理画面へのアクセス元を制限しているか
• Webサーバー、WAF、管理操作、決済画面のログを調査可能な期間保存しているか
• 業務提携先や委託先が運営するブランド連携サービスのセキュリティ責任分界を把握しているか
• インシデント時に、自社ブランド利用者への告知と運営事業者による調査・問い合わせ対応を連携できるか

今回の事例では、カルビーが個人情報を直接保有していなくても、「プロ野球チップス」をモチーフとしたサービスとしてカルビー側からも利用者へ告知しています。

ブランド提供や業務提携型のECサービスでは、個人情報の保有主体だけでなく、インシデント発生時の公表、問い合わせ、顧客通知を誰が担うかまで事前に整理しておく必要があります。

ECサイトへの不正アクセスとカード情報漏えいの事例については、以下の記事でも確認できます。

トータル WEB SHOP、不正アクセスでクレジットカード情報を含む個人情報漏えいの可能性

出典

• 当社業務提携先における個人情報等の漏えいの可能性について – カルビー株式会社
• 「PhotoGoods」への不正アクセスによる個人情報等の漏えい可能性に関するお詫びとお知らせ – 大興印刷株式会社
• カルビー公認オリジナル野球カード – PhotoGoods／大興印刷株式会社
• カルビーオリジナル野球カード作成について – カルビー お客様相談室