ドズル社 公式ECストアで不正な決済ページへ誘導　原因は外部アプリ、カード情報入力者に確認・再発行を呼びかけ

株式会社ドズルは2026年9月12日、公式ECサイト「ドズル社ストア」で、商品購入手続きの際に正規の決済ページではない不正な外部ページへ利用者が誘導される事象が発生していたと公表しました。

発生推定期間は9月11日15時頃から17時50分までです。ドズル社とECプラットフォームを提供するShopifyが調査した結果、ストアに導入されていた外部アプリが不正ページへの誘導原因だったことを特定しました。原因となった外部アプリは同日20時23分に削除されています。

ドズル社は、発生推定期間中に購入手続きを行ったにもかかわらず注文確認メールが届いていない利用者や、不正なページでクレジットカード情報、決済サービスの認証情報、氏名・住所などを入力した利用者に確認と対応を呼びかけています。

9月12日時点で、ドズル社が保有する顧客情報への影響の有無は調査中です。原因となった外部アプリの名称や、外部アプリがどのような経緯で不正な誘導を行う状態になったのかは公表されていません。

ドズル社ストアの不正ページ誘導事象のサマリー

確認できている内容：

• 2026年9月11日、ドズル社ストアの購入手続きから正規ではない外部ページへ誘導される事象が発生しました。
• 発生推定期間は9月11日15時頃から17時50分です。
• 最も早く事象を確認した時刻は16時頃ですが、それ以前から発生していた可能性があるため、開始時刻は引き続き調査されています。
• 17時50分にドズル社ストアを緊急メンテナンスのため停止し、それ以降は同事象は発生していません。
• ドズル社とShopifyの調査で、ストアに導入されていた外部アプリが不正ページへの誘導原因だったことを特定しました。
• 原因となった外部アプリは9月11日20時23分に削除されました。
• ドズル社は、現在は正規の決済ページが正しく表示されることを確認しています。
• 不正なページで行われた支払いは、ドズル社ストアの注文として受け付けられていません。
• クレジットカード情報を入力した利用者には、カード会社への連絡、不正利用の確認、利用停止・再発行の相談を呼びかけています。
• 「shop」「PayPal」「G Pay」からパスワードや認証コードなどを入力した利用者には、パスワード変更と利用履歴確認を求めています。
• 氏名、住所、メールアドレス、電話番号などを入力した場合、第三者に取得された可能性があるとしています。

現時点で未確定の内容：

• ドズル社ストアで保有している顧客情報への影響の有無は調査中です。
• 原因となった外部アプリの名称は公表されていません。
• 外部アプリが不正ページへの誘導を行う状態になった経緯は公表されていません。
• 不正ページで情報を入力した利用者数や、実際にカード情報・認証情報が第三者へ取得された件数は公表されていません。
• 公式発表ではShopifyのEC基盤そのものが侵害されたとは説明されていません。

項目	内容
公表日	2026年9月12日
発生推定期間	2026年9月11日15時頃～17時50分
対象	ドズル社ストア
事象	購入手続き時に正規の決済ページではない不正な外部ページへ誘導
原因	ストアに導入されていた外部アプリ
ストア停止	9月11日17時50分
原因アプリ削除	9月11日20時23分
顧客情報への影響	調査中
不正ページで入力した情報	クレジットカード情報、決済サービスの認証情報、氏名・住所・メールアドレス・電話番号などが対象となる可能性
再発防止策	導入アプリの管理体制見直し、管理アカウントのセキュリティ強化

購入手続きから正規ではない外部ページへ誘導

ドズル社によると、ドズル社ストアで商品をカートに入れ、購入手続きへ進んだ際、正規の決済ページとは異なる外部ページへ誘導される状態になっていました。

同社が示した不正ページの主な特徴は次の3点です。

• ページ左上に「Checkout」と表示され、ドズル社ストアの名称やロゴが表示されない
• ページが英語表示となり、配送先の国・地域として「United States」があらかじめ選択されている
• 実際の商品価格と大きく異なる高額な金額が表示される

不正なページで行われた支払いは、ドズル社ストア上の正規注文としては受け付けられていません。

そのためドズル社は、9月11日15時頃から17時50分までの間に購入手続きを行ったにもかかわらず、ドズル社ストアから注文確認メールが届いていない利用者について、不正ページで決済や情報入力を行った可能性があるとしています。

9月11日17時50分にストア停止、20時23分に原因アプリを削除

ドズル社が事象を確認できた最も早い時刻は9月11日16時頃でした。

ただし、それ以前から不正ページへの誘導が発生していた可能性があるため、発生推定期間の開始を15時頃としています。正確な発生開始時刻については調査を継続しています。

同社は17時50分、緊急メンテナンスのためドズル社ストアを停止しました。公式発表では、ストア停止後は不正ページへの誘導は発生していないとしています。

その後、Shopifyと連携して原因を調査し、ドズル社ストアに導入されていた外部アプリが不正ページへの誘導原因だったことを特定しました。原因となった外部アプリは20時23分に削除されています。

ドズル社は削除後、正規の決済ページが正常に表示されることを確認しました。一方、安全性の確認が完了するまではストアのメンテナンスを継続するとしています。

原因は外部アプリ、アプリ名や不正化した経緯は未公表

今回の事象で確認されている原因は、ドズル社ストアに導入されていた外部アプリです。

一方、9月12日の公表では、原因となったアプリの名称や提供元、アプリがどのような経緯で不正な外部ページへ誘導する状態になったのかは明らかにされていません。

このため、現時点で「外部アプリ自体が侵害された」「管理アカウントが乗っ取られた」「悪意あるアプリが導入された」など、具体的な侵害経路を断定することはできません。

ドズル社は再発防止策として、ストアに導入するアプリの管理体制を見直すほか、管理アカウントのセキュリティを強化するとしています。

また、今回の公式発表は、ShopifyのEC基盤そのものへの侵害を公表したものではありません。ドズル社とShopifyによる調査で、ドズル社ストアに導入されていた外部アプリが原因として特定されたという内容です。

クレジットカード情報を入力した利用者はカード会社へ連絡

ドズル社は、不正ページで入力した情報に応じて利用者へ対応を呼びかけています。

クレジットカード情報を入力した場合は、利用しているカード会社へ連絡し、不正利用の有無を確認したうえで、カードの利用停止や再発行について相談するよう案内しています。

「shop」「PayPal」「G Pay」のボタンから各サービスのログイン情報やパスワード、認証コードなどを入力した場合は、速やかにパスワードを変更し、利用履歴を確認するよう求めています。身に覚えのない利用が確認された場合は、それぞれのサービスの問い合わせ窓口への連絡が必要です。

氏名、住所、メールアドレス、電話番号などを入力した場合については、入力情報が第三者に取得された可能性があると説明しています。ドズル社や決済会社、配送業者などを装った不審なメール、SMS、電話への注意も呼びかけています。

どのページで情報を入力したか判断できない場合でも、発生推定期間中に購入手続きを行い、注文確認メールが届いていない利用者は確認対象になります。

コンビニ決済、ペイディ、PayPay、メルペイは不正ページに表示されず

ドズル社は、不正な外部ページにはコンビニ決済、あと払い（ペイディ）、PayPay、メルペイが表示されていなかったことを確認しています。

これらの方法で支払い手続きを行い、ドズル社ストアから注文確認メールを受信している場合は、正規の注文として受け付けられているとしています。

また、同社がDMなどを通じてクレジットカード情報、個人情報、決済サービスのログイン情報を確認することはないとして、ドズル社を装った連絡にも注意を呼びかけています。

ドズル社が保有する顧客情報への影響は調査中

今回の不正ページは購入手続きの途中で利用者を外部へ誘導するものでしたが、ドズル社ストア側で既に保有している顧客情報への影響については、9月12日時点で結論が出ていません。

同社は「当社が保有するお客様情報への影響の有無」について引き続き調査しており、新たな事実が判明した場合は公表するとしています。

したがって現時点では、「ドズル社ストアの顧客情報が漏えいした」と断定することはできません。

一方、不正な外部ページに利用者自身が氏名や住所、メールアドレスなどを入力した場合は、ドズル社が「第三者に取得された可能性がある」と説明しているため、ストアが保有していた顧客情報への影響とは分けて整理する必要があります。

ECサイト運営企業が確認したい外部アプリの管理

ECプラットフォームでは、決済、マーケティング、分析、レビュー、配送などの機能を追加するため、複数の外部アプリを利用する場合があります。

今回の事象では、ドズル社とShopifyの調査により、導入済みの外部アプリが不正ページへの誘導原因として特定されました。具体的な侵害経路は公表されていませんが、ECサイト運営企業では次の項目を確認できます。

• 現在導入している外部アプリと提供元を一覧化しているか
• 使用していないアプリや検証用アプリが残っていないか
• 各アプリに許可している権限が業務上必要な範囲に限定されているか
• 新規アプリの導入を担当者単独で実施できる状態になっていないか
• アプリの追加・削除・権限変更を記録し、後から確認できるか
• ストア管理アカウントに多要素認証を適用しているか
• 管理者権限を持つアカウント数を把握し、退職者や異動者の権限を速やかに削除しているか
• 購入手続きや決済画面の外部リダイレクトを監視できるか
• 異常発生時にストア停止、アプリ無効化、利用者への告知を行う手順を用意しているか

今回の事例では、ストア本体だけでなく、追加導入した外部アプリもECサイトの攻撃対象・障害要因になり得ることが確認できます。

今後の続報では、原因となった外部アプリの詳細、顧客情報への影響、不正ページで情報を入力した利用者の範囲、発生開始時刻の確定などが確認ポイントになります。

出典

• 【重要】ドズル社ストアにおける不正なページへの誘導に関するお知らせとお詫び – 株式会社ドズル