ゼビオ HD子会社GALLERY・2のECサイトに不正アクセス、最大約12.8万件の個人情報漏えいの可能性　決済画面の改ざんも確認

ゼビオホールディングス（東証プライム、証券コード8281）は2026年10月23日、連結子会社のGALLERY・2が利用するECプラットフォーム「Commerble（コマーブル）」に第三者が不正アクセスし、購入者情報などが外部に漏えいした可能性があると公表しました。

10月17日に顧客データベースへの不正アクセスと顧客情報の表示操作が行われ、翌18日にはECサイトの支払入力画面が改ざんされたことを確認しています。影響する可能性があるのは、購入者名・メールアドレス最大約12万8,000件、住所・電話番号など最大約12万2,000件、注文確認メールなどの送信履歴最大約15万8,000件です。外部へのデータ持ち出しは、公表時点で確認されていません。

GALLERY・2への不正アクセスのサマリー

• 公表日：2026年10月23日
• 対象：ゼビオホールディングス連結子会社「株式会社GALLERY・2」のECサイト
• 利用基盤：株式会社Commerbleが運営するECプラットフォーム「Commerble」
• 10月16日：プラットフォーム運営側のシステム管理用認証情報が不正取得される
• 10月17日：管理用クラウド環境経由で顧客データベースへの不正アクセスと、顧客情報を表示する操作を確認
• 10月18日：ECサイトの支払入力画面の改ざんを確認し、同日サイトを停止
• 漏えいの可能性がある情報：購入者情報最大約12.8万件、住所情報最大約12.2万件、メール送信履歴最大約15.8万件
• 件数の扱い：3区分には重複があり、単純合計は漏えい件数や人数を表さない
• 情報持ち出し：外部に持ち出された事実は確認されていない
• 対象データ：クレジットカード番号およびログインパスワードは含まれない
• 対応状況：ECサイト停止、管理機能の外部公開停止、認証情報・接続情報の変更、アクセス制限と権限の見直し
• 個人情報保護委員会：GALLERY・2が10月21日付で報告

管理用認証情報を不正取得、顧客DBへのアクセスから決済画面改ざんへ

ゼビオホールディングスは、Commerble運営会社の親会社であるシグマコンサルティングから受け取った報告書に基づき、不正アクセスの経緯を説明しています。

最初に確認されたのは、10月16日のCommerble側システム管理用認証情報の不正取得です。17日にはプラットフォームの管理用クラウド環境を経由してGALLERY・2の顧客データベースにアクセスし、顧客情報を表示する操作が実行されました。18日にはECサイトの支払入力画面の改ざんが確認され、サイトを停止しました。

運営会社側からは、システムのアクセス制限に関する設定不備などが悪用されたとの報告を受けています。具体的な侵入原因と外部流出の範囲については、Commerbleとシグマコンサルティングが調査を継続しています。

購入者情報・住所情報・メール送信履歴に影響のおそれ

これらはそれぞれの情報区分について公表された最大件数です。3区分の情報は重複するため、合算した約40万8,000件が流出した、あるいは同数の顧客が被害に遭ったと解釈することはできません。また、顧客データベースで情報を表示する操作は確認されていますが、外部への持ち出しが確認されたわけではありません。

同社によると、上記対象情報にクレジットカード番号やログインパスワードは含まれていません。10月23日時点では、本件に起因する個人情報の不正利用や金銭的被害など、具体的な二次被害も確認されていません。

決済入力画面の改ざんとカード情報への影響は分けて判断

今回の事案では、顧客データベースへの不正アクセスだけでなく、ECサイトの支払入力画面が改ざんされたことが確認されています。

過去の注文データや顧客データベースにクレジットカード番号が含まれていないことと、改ざんされた決済画面を通じて入力された情報に影響がなかったことは、同じ意味ではありません。一般に決済画面が改ざんされた場合、画面上の入力内容や遷移先が変更されるリスクがあります。ただし、今回の公表資料はカード情報の外部取得、改ざん画面が表示されていた期間、影響した決済件数を確認したものではありません。

ECサイトの利用者は、公式発表や個別通知を確認するとともに、心当たりのないカード利用や不審な請求がないか利用明細を点検できます。不審な取引がある場合は、カード会社の正式な窓口に連絡し、利用停止・調査などの対応を相談してください。確認されていない漏えいを前提に、全利用者へ一律のカード再発行が必要と断定することは適切ではありません。

ECで決済画面が改ざんされる別事例として、ドズル社の公式ECストアで不正な決済ページへ誘導された事案があります。今回のGALLERY・2と侵入経路や影響範囲が同一だと示すものではありません。

ECサイト停止、認証情報変更とアクセス制限の是正を実施

GALLERY・2は10月18日にECサイトを停止しました。Commerbleとシグマコンサルティングからは、管理用機能の外部公開停止、認証情報・接続情報の変更、アクセス制限の是正、権限見直しなどの被害拡大防止措置を講じたとの報告を受けています。

対象となる顧客への個別通知と注意喚起は準備中です。安全性を確認した上でサイトの段階的な再開を検討する方針で、ゼビオホールディングスもグループ内の外部クラウドサービスの管理・監督体制を点検するとしています。

GALLERY・2は、同社を装う不審なメールに記載されたリンクへアクセスしたり、個人情報・決済情報を入力したりしないよう注意を呼び掛けています。問い合わせ窓口は「G2-セキュリティ窓口」（[email protected]）です。

EC事業者と利用者が確認したい事項

EC事業者の情報システム部門では、外部プラットフォームの管理用アカウントとサービスアカウントについて、多要素認証の適用状況、アクセス許可元、過剰権限の有無、認証情報の保管方法を点検することが考えられます。委託先が提供する管理機能であっても、自社の顧客データにアクセスできる場合は、誰がどの情報を閲覧・出力できるのか、操作ログをどこまで取得できるのかを契約・運用の両面で確認する必要があります。

また、顧客情報を表示した操作と、ファイルの出力・外部送信の操作は別々に検証する必要があります。決済画面についても、不正なコード変更や外部送信先の追加を検知する仕組み、変更履歴の保全、決済事業者との切り分け手順を確認できます。

利用者側では、注文情報を知っているかのような配送・返金・決済確認メールにも注意が必要です。不審な案内に記載されたリンクから決済情報を入力せず、公式サイトやカード会社の正規窓口から状況を確認してください。被害が疑われる注文や決済があれば、注文日時、支払方法、不審な通知の内容を記録して問い合わせることができます。

出典

• ゼビオホールディングス「第三者が運営するECプラットフォームで発生した不正アクセスによる当社連結子会社の個人情報漏えいの可能性に関するお知らせ」（2026年10月23日、TDnet・PDF）