WASABI SWITCH(ワサビスイッチ)への不正アクセスによるサイバー攻撃、テンプレートのPHP機能悪用が判明―全アカウント強制変更・2段階認証を導入へ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月19日更新日時: 2026年10月19日

EC一元管理サービス「WASABI SWITCH（ワサビスイッチ）」を運営する株式会社ワサビは、2026年10月18日付の第5報で、不正アクセスの調査により「コンテンツテンプレート」で使用できるPHPの機能が攻撃に悪用されていたと公表しました。同社は同日18時29分にテンプレート内のPHP利用を停止し、全アカウントのパスワード強制変更とメールによる2段階認証の設定を発表しました。

同日公表の第4報では、複数回の不正アクセスを受けた対策として、受注・買取・顧客の各取引情報をWASABI SWITCH上から一時的に削除する方針も示されました。事前にデータを保存していると説明する一方、サービス上での注文処理や買取処理、顧客情報の確認ができなくなると案内しています。

WASABI SWITCH第4報・第5報のサマリー

第5報の公表：2026年10月18日19時15分。株式会社ワサビが認証強化とテンプレート機能の変更を発表。
新たに確認された事実：コンテンツテンプレートで利用可能だったPHP機能が今回の不正アクセスで悪用されていた。
PHP利用停止：同日18時29分に仕様を変更。PHPを使用する既存テンプレートは該当部分が動作しなくなる。
認証強化：WASABI SWITCHの全アカウントのパスワードを事業者側で強制変更し、メールによる2段階認証を設定すると公表。
認証変更の実施予定：10月18日20時30分～23時30分。作業時にはログイン中の全アカウントが強制ログアウトとなる。
対象サービス：WASABI SWITCH、STOCK SWITCH、STOCK SWITCH EDITモード、POSレジスイッチ。
第4報の公表：同日、受注情報・買取情報・顧客情報をサービス上から一時削除する方針を発表。事前保存したデータの返却方法と時期は追って案内すると説明。
影響調査：情報流出の範囲について、外部専門会社による分析を継続。店舗数や購入者数の確定結果は公表されていない。

項目	公式発表の内容
事業者	株式会社ワサビ
サービス	WASABI SWITCHほか関連サービス
第4報	2026年10月18日：取引情報の一時削除、登録情報暗号化、認証強化を案内
第5報	2026年10月18日：PHP機能の悪用判明、PHP利用停止、パスワード強制変更・2段階認証を発表
PHP利用停止	10月18日18時29分に実施したと説明
パスワード変更・2段階認証	10月18日20時30分～23時30分に実施予定と案内
取引情報の扱い	受注・買取・顧客情報を一時削除する方針。事前保存した情報を後日返却予定
調査状況	外部セキュリティ専門会社と調査を継続

コンテンツテンプレートのPHP機能を攻撃に悪用、18日18時29分に停止

ワサビの第5報で新たに明らかになったのは、WASABI SWITCHの「コンテンツテンプレート」で利用できたPHP機能が今回の不正アクセスに悪用されていたという点です。同社は再発防止策として、テンプレート内でPHPを利用できない仕様へ変更しました。

この措置は2026年10月18日18時29分に実施したと説明しています。その結果、コンテンツテンプレートでPHPを利用していた店舗では、該当する部分が動作しなくなる可能性があります。同社は対象店舗に担当サポートへの相談を案内しました。

公式発表はPHPの機能が悪用された事実を明示していますが、具体的なコードの実行方法や、どの段階の侵入で使われたのか、PHP本体の既知の脆弱性が原因だったのかまでは説明していません。したがって、今回の事案を特定のCVEの悪用や、PHPの未修正脆弱性による侵入と断定することはできません。

パスワードを全件強制変更、4サービスにメールでの2段階認証

第5報によると、調査の過程で「メンバーIDがWASABI SWITCHの利用ドメインと同じ文字列のアカウント」や「推測されやすい簡易なパスワードを設定したアカウント」に対する不正ログインの試みが確認されました。

ワサビは10月16日の第2報で、全アカウントの一時非稼働と利用者によるパスワード変更を案内していましたが、さらなる対策として全アカウントのパスワードを事業者側で強制的に変更する方針へ踏み込みました。併せて、WASABI SWITCH、STOCK SWITCH、STOCK SWITCH EDITモード、POSレジスイッチの各ログインに、登録メールアドレスへ送る確認コードを用いた2段階認証を設定するとしています。

設定作業の予定時間は10月18日20時30分～23時30分。作業時には利用中の全アカウントを強制ログアウトさせるため、保存していない作業が失われることも案内されました。10月19日現在、今回参照した第5報には全利用店舗への切り替え完了を確定する追記はありません。

変更後の仮パスワードは店舗の代表者によるサポート窓口への申し出を受け、Googleチャットで案内する方式としています。新しいパスワードをメールで送ることはないと明記しており、パスワード再設定を装うメール内リンクを開かないよう警告しています。

第3報では、店舗の正規メールアカウントの情報が窃取され、そのアドレスから不審メールが送信されたことも明らかになっていました。2段階認証用コードの送信先となるメールアカウント自体の保護も必要であり、ワサビはメールサービス側のパスワード変更を改めて求めています。

第4報では受注・買取・顧客情報を一時削除へ、店舗業務に制限

10月18日に公表された第4報では、不正アクセスが複数回確認されたことから、サービス上の受注情報・買取情報・顧客情報を一時的に削除する方針が示されました。同社は削除前に情報を保存済みで、整理後に店舗へ返却すると説明しています。ただし、返却方法と時期は別途案内する予定です。

この措置により、WASABI SWITCH上での注文処理、買取処理、顧客情報の確認ができなくなると案内されました。第4報は10月18日中の削除実施を予告していますが、この告知だけで全対象データの削除作業が完了したと判断することはできません。

同社は各ECモールの認証情報、外部連携用FTPアカウント、メールアカウント、会社設定に登録された認証情報、WASABI SWITCH API情報を暗号化して保存する対応も進めています。反映予定を10月18日中と説明していましたが、完了時点については別途案内するとしています。

また、STOCK SWITCHやPOSレジスイッチについては、認証機能の正式版アプリへの反映が間に合っていないため、開発環境向けアプリの暫定利用を店舗へ案内しています。利用店舗は、公式サポートから案内された経路と対象端末を確認する必要があります。

利用店舗が確認したい認証情報と業務対応

今回の第4報・第5報で、影響は情報流出への対応に加え、店舗の受注・買取業務、アカウント管理、テンプレートの動作に及ぶことが明らかになりました。利用店舗では、次の項目を確認する必要があります。

再稼働させる担当者のログインIDと登録メールアドレスを確認し、ワサビが案内する正規のサポート経路で仮パスワードを受け取る。メールに記載された再設定リンクは使用しない。
メールアカウントのパスワードをメールサービス側で変更し、送信履歴・自動転送設定に不審な変更がないかを確認する。
受注、買取、顧客情報の閲覧・処理停止が自社業務に与える影響を確認し、必要な顧客連絡は既存の正規窓口で行う。
PHPを利用したコンテンツテンプレートが停止していないか点検し、影響がある場合はワサビのサポートへ連絡する。
利用中の関連サービスや外部連携アカウントを洗い出し、暗号化の適用状況、API認証情報の更新要否、再接続手順について公式案内を確認する。

初期の不正アクセスから管理者パスワードの悪用による再侵入、店舗メールアカウントからの不審メール送信に至る経緯は、セキュリティ対策LabのWASABI SWITCHへの再侵入とメール情報窃取に関する既報で整理しています。