雑貨通販サイトのhitmart（ヒットマート）、不正アクセスによるサイバー攻撃で個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月13日更新日時: 2026年10月13日

雑貨通販サイト「hitmart（ヒットマート）」を運営する株式会社アズマは2026年10月8日、同社が管理するサーバーへの第三者による不正アクセスで、顧客の個人情報が閲覧されたおそれがあると公表しました。

同じサーバー上に残されていた使用終了済みWebサイトの自動アップデート時に、不正なプログラム（バックドア）が混入したと説明しています。このプログラムにより、別サイトであるヒットマートの情報にもアクセスできる状態になっていました。同社は9月28日に不正なプログラムを発見し、翌29日に削除しています。

アクセスログの保存期間を超える期間にわたって不正アクセスが可能な状態だったため、顧客情報が実際に閲覧・持ち出されたかどうかは確認できていません。対象人数も公表されていません。

ヒットマートの不正アクセス・情報漏えいのおそれの概要

公表日：2026年10月8日
運営会社：株式会社アズマ（大阪府東大阪市）
対象：2026年9月29日までにヒットマートで会員登録または注文した顧客
原因：使用終了済みの別Webサイトの自動アップデート時にバックドアが混入。同一サーバー内のデータにもアクセス可能となった
不正プログラムが混入した日：2026年4月7日（事後調査で判明）
発見日：2026年9月28日
影響：氏名、会社名、住所、電話番号、メールアドレス、注文履歴、暗号化されたログインパスワードなどが閲覧されたおそれ
漏えいの確認状況：実際の閲覧・持ち出しの有無は特定できず。対象人数は非公表
クレジットカード情報：対象外。購入・支払い画面の改ざんも確認されていない

項目	公表内容
対象サービス	hitmart（ヒットマート）
不正アクセスの起点	同一サーバー上に残存した使用終了済みのWebサイト
攻撃に用いられたもの	バックドアとされる不正プログラム
個人情報保護委員会への報告	2026年9月30日
公表時点の対応	不正プログラムと原因サイトの削除、管理画面・DBのパスワード変更、アクセス制限強化、顧客への個別メール通知

利用終了済みサイトの自動更新時にバックドアが混入

アズマによると、2026年4月7日に、ヒットマートとは別のWebサイトが自動更新された際、不正なプログラムが混入しました。そのWebサイトはすでに使用を終えていましたが削除されておらず、ヒットマートと同じサーバー上で管理されていました。

混入したバックドアは同一サーバー上の別のデータにもアクセス可能な状態を生みました。同社は今回の事案を「いわゆるサプライチェーン攻撃」と説明し、不要になったWebサイトを残していた管理上の不備を直接の原因としています。ただし、どの更新ファイルやソフトウェアが改ざんされたかなどの技術的な詳細は公表されていません。

この問題は、公開中のECサイト自体に直接侵入された経路だけでなく、同一サーバー上の別サイトが侵害の入口になり得ることを示しています。

顧客情報の対象範囲と漏えいの確認状況

漏えいのおそれがあるとされたのは、2026年9月29日までに会員登録または注文した顧客の情報です。情報項目には、氏名、会社名、住所、電話番号、メールアドレス、性別、職業、生年月日、お届け先、注文履歴、メールマガジン配信の可否、ログインパスワードが含まれます。

ログインパスワードは暗号化して保存されており、元のパスワードそのものは保存していないとの説明です。一方、保護されたパスワード情報も対象に含まれることから、同社は利用者にパスワード変更を求めています。

同社は、不正アクセスの期間がサーバーのアクセスログ保存期間を超えており、実際の閲覧や持ち出しを完全には調査できないとして、情報漏えいを確定事実ではなく「おそれ」として公表しました。データ改ざんの痕跡は確認されておらず、10月8日時点で顧客情報が不正利用されたとの報告も寄せられていないとしています。

クレジットカード情報は対象に含まれません。また、不正アクセスが可能だった期間に購入・支払い画面が改ざんされていないことを確認したと説明しています。

9月28日に発見、個人情報保護委員会へ報告

公表された対応の経過は次のとおりです。

日付	経過
2026年4月7日	別Webサイトの自動アップデート時にバックドアが混入
9月28日	定期的なデータ確認中に不正プログラムを発見
9月29日	原因となったWebサイトと不正プログラムを削除。サーバー全体を調査し、サーバー会社にも調査を依頼
9月30日	個人情報保護委員会へ報告
10月1～5日	データベースや管理画面などのパスワード変更、アクセス制限の強化、不要データの削除
10月8日	顧客情報漏えいのおそれを公表

同社は、調査範囲内で別の不正プログラムや不正な設定は見つかっていないとしています。対象となる顧客には順次メールで通知し、使用していない環境の点検・削除、ネットショップ用サーバーの分離、管理台帳や管理者への通知体制の見直しを進める方針です。

利用者への案内と情報システム部門が確認したい点

ヒットマートの利用者には、マイページからのパスワード変更が案内されています。他のサービスでも同じメールアドレスとパスワードの組み合わせを使っている場合は、そちらも変更するよう求めています。同社やカード会社を装う不審なメール、SMS、電話などにも注意を呼びかけています。

企業の情報システム部門では、稼働中のサイトだけでなく、停止・廃止予定のWebサイト、CMS、プラグイン、管理用アカウントが同一サーバーに残っていないかを確認する必要があります。特に、更新の自動化が有効なまま管理対象から外れたサイトは、更新内容の監視や異常検知が行われないまま残りやすいため、廃止時にデータ・実行環境・認証情報を撤去する手順を明確にすることが考えられます。

また、複数サイトを一つのサーバーで運用する場合は、サイトごとの権限分離、実行ユーザーの権限、アクセス可能なデータの範囲、バックアップ・ログの保持期間を点検することで、単一サイトの侵害が他サイトへ及ぶリスクを抑えられます。