IMADEYA、サイバー攻撃で個人情報漏洩の恐れ

株式会社いまでやは2026年8月21日、同社が管理する顧客の注文情報について、外部の第三者へ流出した可能性が高いと公表しました。

8月20日夜、IMADEYAを装ったフィッシングメールを受信したとの問い合わせが顧客から約30件寄せられ、メール本文には受信者本人の氏名、注文番号、注文金額が正確に記載されていました。同社は、無作為なフィッシングではなく、自社が保有する注文情報を第三者が取得した可能性が高いと判断し、同日から調査と対応を開始しています。

流出した可能性が高い情報は、氏名、メールアドレス、注文番号、注文金額です。影響範囲や対象件数、原因はまだ特定されていません。

また、フィッシングサイト上でクレジットカード情報などを入力した顧客が2名確認されています。ただし、同社が保有していたクレジットカード情報そのものが流出したことや、カードの不正利用が発生したことは現時点で確認されていません。

IMADEYAの顧客情報流出可能性のサマリー

• 【確認済み】株式会社いまでやは2026年8月21日、「お客様情報の外部流出の可能性に関するお詫びとお知らせ（第1報）」を公表しました。
• 【確認済み】8月20日夜、IMADEYAを装ったフィッシングメールを受信したとの問い合わせが顧客から約30件寄せられました。
• 【確認済み】フィッシングメールには、受信者本人の氏名、注文番号、注文金額が正確に記載されていました。
• 【確認済み】いまでやは、自社が保有する注文情報を第三者が取得した可能性が高いと判断しています。
• 【確認済み】流出した可能性が高い情報は、氏名、メールアドレス、注文番号、注文金額です。
• 【確認済み】オンラインストア利用者だけでなく、会員情報を提示して実店舗で購入した顧客も対象となる可能性があります。
• 【確認済み】現時点で確認されたフィッシングメールは、直近数日以内に購入した顧客へ送られていました。
• 【確認済み】フィッシングサイト上でクレジットカード情報などを入力した顧客が2名確認されています。
• 【確認済み】IMADEYA ONLINE STOREは一時停止され、システム管理権限の縮小、全管理者のパスワード変更、二段階認証の設定、外部システムとのデータ連携停止などを実施しています。
• 【確認済み】個人情報保護委員会への報告は実施中です。
• 【確認できず】流出した顧客数・件数、影響期間、実際に流出した購入履歴の範囲は特定されていません。
• 【確認できず】原因や侵入経路は特定されていません。
• 【確認できず】Shopify、スマレジ、クロスモールなど、特定のサービスが侵害されたとは確認されていません。
• 【確認できず】いまでやが保有していたクレジットカード情報そのものが第三者に取得されたかは確定していません。
• 【確認できず】クレジットカードの不正利用など金銭的被害は公表されていません。

項目	内容
公表日	2026年8月21日
判明日	2026年8月20日夜
対象組織	株式会社いまでや
判明経緯	IMADEYAを装うフィッシングメールについて顧客から約30件の問い合わせ
確認された特徴	受信者本人の氏名、注文番号、注文金額が正確に記載
流出可能性	注文情報が第三者へ流出した可能性が高いと同社が判断
流出した可能性が高い情報	氏名、メールアドレス、注文番号、注文金額
対象件数	調査中
対象期間	調査中
対象	オンラインストア利用者、会員情報を提示して実店舗で購入した顧客
原因・侵入経路	調査中
クレジットカード情報	同社保有情報の流出有無は確定していない
二次被害	フィッシングサイトへカード情報などを入力した顧客2名を確認
カード不正利用	公表資料では確認できませんでした
対応	オンラインストア停止、管理権限縮小、全管理者パスワード変更、二段階認証、外部連携停止など
個人情報保護委員会への報告	実施中
警察への相談・申告	公表資料では確認できませんでした

氏名・注文番号・注文金額が一致したフィッシングメール

今回の事案は、サーバー障害や管理画面の不審なログインから発覚したものではありません。

2026年8月20日夜、IMADEYAを装った不審なメールを受信した顧客から約30件の問い合わせが寄せられたことが発端です。

メールには、受信者本人の氏名、注文番号、注文金額が正確に記載されていました。

このため、いまでやは単に大量送信されたフィッシングメールではなく、同社が保有する注文情報を第三者が取得した可能性が高いと判断しました。

実在する氏名や直近の注文番号、購入金額を含むメールは、一般的なばらまき型フィッシングよりも受信者が信用しやすくなります。

とくに購入直後に「配送ラベル発行のため、お届け先の確認が必要」といった連絡を受け取れば、実際の注文に関連する正規通知と誤認する可能性があります。

今回の事案では、情報流出の可能性と、それを利用したとみられるフィッシングがほぼ同時に表面化した点が特徴です。

流出した可能性が高いのは4項目、件数は未特定

いまでやは、現時点で外部へ流出した可能性が高い情報として、次の4項目を挙げています。

• 顧客の氏名
• メールアドレス
• 注文番号
• 注文金額

対象件数は公表されていません。

また、影響を受けた購入履歴の期間も特定されていません。

同社によると、現時点で確認されているフィッシングメールはいずれも直近数日以内に商品を購入した顧客へ送られています。

一方、これが流出範囲そのものを意味するわけではありません。

Shopifyで管理する購入履歴のうち、実際にどの期間・どの顧客情報が第三者へ取得されたのかについて、外部専門調査機関が調査を続けています。

そのため、現段階で「直近数日分のみが流出した」と判断することはできません。

オンラインストアだけでなく実店舗購入者も対象の可能性

対象となる可能性があるのは、IMADEYA ONLINE STOREの利用者だけではありません。

実店舗で会員情報を提示して購入した顧客も対象に含まれるとしています。

対象店舗は以下の7店舗です。

• 千葉本店
• GINZA SIX
• 錦糸町PARCO
• 千葉エキナカ
• 清澄白河
• 軽井沢
• 松坂屋名古屋

いまでやが保有する飲食店情報、取引先情報、生産者情報などは、本件の対象外と考えているとしています。

オンラインと実店舗の購入情報が共通の顧客・注文管理基盤や連携システムへ集約されている場合、一つの侵害が複数の販売チャネルへ影響する可能性があります。

ただし、本件でどのシステムが侵害されたかはまだ判明していません。

Shopify、スマレジ、クロスモールなどを含め原因調査

いまでやは、原因について「現時点で特定できていない」としています。

同社は、自社が利用するシステムに加え、スマレジ、クロスモールなどの外部連携サービスへの不正アクセスの可能性を含めて調査を開始しました。

また、影響範囲については、Shopifyで管理する購入履歴のうち、実際に流出した範囲を外部専門調査機関が調査しています。

ここで注意したいのは、Shopify、スマレジ、クロスモールのいずれかが侵害されたことが確認されたわけではない点です。

いまでや自身も「可能性を含めて調査」としており、8月23日時点で今回のIMADEYA事案について、これら各サービスの侵害を確認する公開情報は確認できませんでした。

そのため、「Shopifyから流出」「スマレジへの不正アクセス」「クロスモールが原因」といった表現は現段階では不適切です。

今後、どのシステムやアカウントが侵害されたのか、APIや外部連携が関係したのか、管理者アカウントが悪用されたのかが重要な確認ポイントになります。

フィッシングサイトでカード情報などを入力した顧客2名

今回の事案では、情報流出の可能性だけでなく、すでにフィッシングサイトへ情報を入力した顧客が確認されています。

いまでやによると、フィッシングサイト上でクレジットカード情報などを入力した顧客が2名いました。

同社は対象者へ個別に連絡し、対応を進めています。

この2名について「クレジットカード情報が流出した」という意味では、入力先が攻撃者側のフィッシングサイトであった場合、入力情報が第三者に渡った可能性を考える必要があります。

一方、クレジットカードの不正利用や金銭的被害が実際に発生したとの公表はありません。

いまでやは、フィッシングサイトへカード情報などを入力した顧客に対し、カード会社へ連絡して利用停止・再発行の手続きを行い、利用明細に身に覚えのない請求がないか確認するよう求めています。

「カード情報は流出していない可能性」は現時点の推定

クレジットカード情報については、表現に注意が必要です。

いまでやは、今回のフィッシングサイトが顧客にカード情報の入力を求めていたことから、同社側で保有するクレジットカード情報そのものは第三者に取得されていない可能性があると説明しています。

攻撃者がすでにカード番号を取得していれば、改めて偽サイトで入力を求める必要性が低いという推定です。

ただし、同社自身も「現時点での推定」であり、確定的なことは言えないとしています。

したがって、現時点で「カード情報は流出していない」と断定することはできません。

逆に、「IMADEYAからカード情報が流出した」と表現する根拠もありません。

今後のフォレンジック調査や決済関連システムの確認結果を待つ必要があります。

IMADEYA ONLINE STOREを停止、外部連携も遮断

いまでやは8月20日の事案把握後、複数の緊急対応を実施しています。

実施済みの主な措置は以下です。

• IMADEYA ONLINE STOREの一時停止
• コーポレートサイトの一時クローズ
• システム管理権限の縮小
• 全管理者のパスワード変更
• 二段階認証の設定
• 外部システムとのデータ連携停止
• 利用システム提供事業者への事象共有と調査依頼
• 直近購入者とメールマガジン会員への注意喚起
• Webサイト、公式SNSでの注意喚起
• フィッシングサイト停止に向けた関係機関への通報

一方、外部専門調査機関による原因究明、影響範囲の特定、個人情報保護委員会への報告は継続中です。

第1報の段階で管理者パスワード変更、二段階認証、外部連携停止まで実施していることから、同社は侵害経路が確定する前に、認証情報や連携経路を広く封じ込める対応を取っています。

個人情報保護委員会への報告は「実施中」

個人情報保護委員会への対応については、8月21日のリリースで「報告」と記載されているものの、対応状況の区分は「実施中」です。

そのため、記事では「個人情報保護委員会への報告済み」とはせず、「報告を実施中」と整理します。

また、警察への被害届や相談については公表されていません。

フィッシングサイトの停止に向けて関係機関へ通報したことは確認されていますが、その通報先が警察であるかどうかはリリースから確認できません。

注文情報を使ったフィッシングは見破りにくい

今回のフィッシングで重要なのは、攻撃者が正確な注文情報を利用している点です。

通常のフィッシングでは、「アカウントが停止されます」「配送できません」といった一般的な文面が大量送信されます。

一方、

「あなたの注文番号は○○です」
「注文金額は○○円です」
「配送ラベルの発行に追加確認が必要です」

など、本人しか知らないと思われる情報が含まれていると、受信者は正規連絡と判断しやすくなります。

この種の攻撃は、情報流出そのものが次の攻撃の信頼性を高める材料になります。

氏名やメールアドレスだけでなく、注文番号、購入金額、購入時期、店舗などのトランザクション情報も、フィッシングやソーシャルエンジニアリングでは価値のある情報です。

今回、実際に2名がフィッシングサイトへカード情報などを入力していることからも、実在する注文情報を組み込んだ攻撃の危険性が表れています。

公式ドメインは「imadeya.co.jp」

いまでやは、同社の公式ドメインは「imadeya.co.jp」であり、それ以外のドメインから送信されたメールは同社が発信したものではないと注意を呼びかけています。

また、同社がメールでクレジットカード情報の入力を求めることはないとしています。

今回確認されている「配送ラベル発行のため、お届け先の確認が必要」などとしてカード情報を入力させるメールは、IMADEYAとは無関係です。

不審メールを受信した場合はリンクを開かず削除し、すでにリンクを開いても情報を入力していなければ、同社は直ちに被害が生じるものではないと説明しています。

ただし、メールの送信元表示は偽装される場合もあるため、表示名だけで正規メールと判断せず、リンク先ドメインや連絡内容も確認する必要があります。

ECでは「顧客情報の流出」と「その情報を使った二次攻撃」を一体で考える

ECサイトへのサイバー攻撃では、クレジットカード番号の窃取だけがリスクではありません。

氏名、メールアドレス、注文番号、購入金額、住所、電話番号、購入商品などの情報も、フィッシングやなりすましの精度を高める材料になります。

セキュリティ対策Labでは、EC・通販分野で発生した不正アクセスや情報漏えいについて、2025年に発生したECサイト/通販サイトへのサイバー攻撃の事例と対策で事例と対策を整理しています。

また、外部連携サービスを介して店舗会員情報が影響を受けた別事案として、釜浅商店、スマレジ連携の外部アプリへの不正アクセスで個人情報漏洩の恐れもあります。

ただし、釜浅商店の事案と今回のIMADEYA事案に技術的な関連が確認されたわけではありません。今回の原因は調査中です。

情報システム・EC運営部門への示唆

今回の事案で最も重要なのは、流出元がまだ判明していない状態でも、取得された可能性のある注文情報がすでにフィッシングへ利用されている点です。

EC事業者では、情報漏えい調査とフィッシング対策を別々のインシデントとして扱わず、同時並行で進める必要があります。

第一に確認したいのは、注文情報へアクセスできる経路の棚卸しです。

ShopifyなどのEC基盤だけでなく、POS、受注管理、在庫管理、配送、CRM、メール配信、分析、外部アプリなど、注文情報と連携するシステムをすべて確認する必要があります。

特にAPIトークン、管理者アカウント、外部アプリの権限は重点的な確認対象です。

第二に、侵害が疑われる段階で認証情報をローテーションし、不要な連携を止めることが重要です。

今回、いまでやが管理権限縮小、全管理者パスワード変更、二段階認証、外部連携停止を実施したのは、侵入経路が確定するまでの封じ込めとして参考になります。

第三に、情報流出後の二次攻撃を想定した顧客対応です。

漏えいの有無を完全に確定するまで注意喚起を待つと、その間にフィッシング被害が増える可能性があります。

今回のいまでやは、調査完了を待たず第1報を公表し、直近購入者やメールマガジン会員へ注意喚起しています。

第四に、トランザクション情報を機微情報として捉える必要があります。

注文番号や購入金額だけでは直接決済できませんが、本人しか知らないと思われやすい情報であるため、攻撃メールの信頼性を大きく高めます。

EC事業者は「カード番号を保存していないからリスクは低い」と考えるのではなく、注文履歴や配送情報もフィッシング、なりすまし、詐欺に利用される可能性を前提に保護する必要があります。

今後の続報では、実際に流出した顧客数と期間、流出した情報項目、侵入経路、Shopifyや外部連携サービスとの関係、クレジットカード情報への影響、再発防止策が主な確認ポイントになります。

出典

• お客様情報の外部流出の可能性に関するお詫びとお知らせ（第1報） – 株式会社いまでや
• 2025年に発生したECサイト/通販サイトへのサイバー攻撃の事例と対策 – セキュリティ対策Lab
• 釜浅商店、スマレジ連携の外部アプリへの不正アクセスで個人情報漏洩の恐れ – セキュリティ対策Lab