ビューティガレージ、サイバー攻撃によるフォレンジック調査を継続-クレジットカード決済停止は2か月半超に|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月28日更新日時: 2026年04月28日

株式会社ビューティガレージ（東証プライム：3180）は2026年4月下旬、ECサイトへの不正アクセスに伴うクレジットカード決済停止に関する第5報を公表しました。第3報・第4報で「2026年4月中旬頃」としていたフォレンジック調査の完了見込みが達成できず、調査の過程でさらなる広範な調査が必要であることが判明したとして、調査を継続中であることが明らかになりました。クレジットカード決済の停止は2026年2月6日から続いており、2か月半以上の停止となっています。

この記事のサマリー

第3報・第4報で「2026年4月中旬頃」としていたフォレンジック調査の完了見込みについて、調査の過程でさらなる広範な調査が必要であることが判明し、現在も継続中です。完了時期は「相応の期間を要する見込み」とされており、具体的な時期は示されていません。
カード情報を含む個人情報の漏洩が確認された場合には、対象となる顧客へ個別に連絡するとしています。現時点で漏洩の確認有無は公表されていません。
クレジットカード決済の再開は、調査完了後にシステム改修および再発防止措置を講じた上での対応となるため、再開までにさらに一定の期間を要する見込みとしています。再開時期は改めて案内するとしています。
過去にECサイトでクレジットカード決済を利用した顧客に対して、引き続き利用明細の確認と、不審な請求があればカード発行会社への連絡を呼びかけています。
ECサイト上でのクレジットカード決済は停止中ですが、全国9拠点のショールーム・ストアでは店頭でのクレジットカード決済が引き続き利用可能です。

1 第1報からの全経緯
2 注目すべきポイント
- 2.1 クレジットカード決済停止中の代替支払い方法
3 情シス・セキュリティ担当者へのポイント
4 よくある質問（FAQ）
- 4.1 参考情報

第1報からの全経緯

時期	内容
2026年2月6日	カード会社からクレジットカード情報漏洩の可能性について連絡を受け発覚。同日23時よりECサイトのクレジットカード決済を停止。外部専門機関によるフォレンジック調査を開始
第2報	フォレンジック調査中。調査完了は2026年3月末頃を予定と発表
第3報	サーバーログデータの分析に期間を要しており、調査完了見込みを2026年4月中旬頃に延期
第4報	フォレンジック調査継続中。4月中旬完了に向けて対応中
第5報（今回）	「さらなる広範な調査が必要」と判明。調査継続中・完了時期は未定。クレジットカード決済再開も未定

注目すべきポイント

今回の第5報で特に注目すべきは「調査の過程において、さらなる広範な調査が必要であることが判明した」という表現です。

フォレンジック調査の延長にはいくつかのパターンが考えられます。当初想定よりも侵害範囲が広い可能性が発覚したこと、想定外の攻撃手法や侵入経路が判明し追加分析が必要になったこと、対象となるサーバーログのデータ量が膨大で分析に時間を要していること、などが一般的な要因として挙げられます。

「さらなる広範な調査」という表現は、事案の影響範囲・深刻度が当初の想定よりも拡大している可能性を示唆しており、続報において漏洩件数や対象期間の具体的な公表が行われる可能性があります。

クレジットカード決済停止中の代替支払い方法

クレジットカード決済停止期間中は、以下の代替支払い方法が案内されています。

月末締め・翌月末請求書払い（コンビニ払込票またはスマホアプリ決済の場合は手数料無料、銀行振込の場合は銀行所定の振込手数料がかかります）が主な代替手段です。また、5,000円（税別）以上の注文では代引手数料が無料となる代金引換（商品到着時支払い）も利用可能で、小物商品のご注文については商品到着時にクレジットカード決済が可能です。なお全国9拠点のショールーム・ストアでは店頭でのクレジットカード決済が引き続き利用できます。

情シス・セキュリティ担当者へのポイント

本件はECサイトへのフォレンジック調査が第1報から2か月半以上経過しても完了していないという点で、調査の複雑さを示すケースとして注目に値します。

ECサイトへの不正アクセス事案では、決済システム（カード情報を処理するサーバー）・アプリケーション層・インフラ層のそれぞれのログを横断的に分析し、どのような手法で侵入したか・どの期間に情報が抜き取られたか・どの顧客が対象かを特定する必要があります。ログの保存期間が不十分な場合や、ログ形式の複雑さによっては分析に数か月を要することは珍しくありません。

今回の事案は「カード会社からの連絡を契機に発覚」という点が特徴的です。これはECサイト側が能動的に不正アクセスを検知したのではなく、外部（カード会社）からの指摘を受けて初めて認識したことを意味します。リアルタイムの侵害検知（IDS/WIDS・WAF・EDRの活用）と定期的なペネトレーションテストによる先手の脆弱性把握が、被害を最小化するための基本的な対策となります。