「駿河屋」で8月に把握の不正アクセス、カード情報漏えいは約3万件。インシデント発生後の対応＋対策＋経緯まとめ

駿河屋は12月4日、ECサイト「駿河屋.jp」が第三者不正アクセス攻撃を受け、クレジットカード情報および顧客情報が漏えいした恐れがあると公表していた件について、外部専門家によるフォレンジック調査の結果、約3万件のカード情報や顧客情報が流出した可能性があると発表した。

駿河屋によると、不正アクセス攻撃を受けた期間は2025年7月23日から8月8日まで。この期間中に「駿河屋.jp」でクレジットカード決済を利用した顧客が対象。漏えいの可能性がある件数は、クレジットカード情報が3万431件、付随する顧客情報が2万9932人分。対象情報は、カード名義人名、カード番号、有効期限、セキュリティコード、カードブランドのほか、氏名、住所、電話番号、メールアドレス、領収書、但し書きなどが含まれる。

フォレンジック調査ではサーバーへの不正アクセスが確認されたものの、12月4日時点では決済ページ以外から個人情報が持ち出された証跡は確認されていないという。

駿河屋は8月8日時点でクレジットカード決済を停止し、個人情報保護委員会および警察へ報告を実施。対象顧客にはメールや書面で個別連絡をし、カード会社・決済代行会社と連携して不正利用の監視を進めている。再発防止策として、改ざん検知の強化、アクセス制御の多層防御、定期的な第三者診断の導入などを掲げており、カード決済の再開は対策の実装と外部確認が完了した後になる見込みだ。

顧客に対しては、クレジットカード利用明細に不審な請求がないか確認するよう呼びかけている。不審な請求が見つかった場合は、速やかにカード会社へ連絡するよう求めており、希望者にはカード再発行費用を同社が負担する方針。さらに、パスワード変更や二段階認証の有効化など、個々のセキュリティ対策の実施も推奨している。

駿河屋は8月8日に「駿河屋.jp」が不正アクセスを受け、カード情報を含む個人情報が漏えいした可能性があると公表。7月23日の不正アクセス検知後、各種調査とモニタリングを開始し、8月4日には外部からの問い合わせを受けてJavaScriptの一部改ざんを確認。同日中にシステム修正を実施した。8月8日には個人情報保護委員会や警察への報告を行い、決済代行会社との規定に基づきクレジットカード決済機能を停止。その後、外部専門家によるフォレンジック調査を実施し、12月4日に調査結果を公表した。