📡 Signal｜エディオン、決済画面の改ざんでカード最大556回分に流出のおそれ

家電量販大手のエディオンは 11 月 10 日、自社の通販サイトの決済画面に第三者が不正なプログラムを組み込んでいたと適時開示した。プログラムは 11 月 4 日 19 時過ぎから動いており、その間にパソコンから新しくクレジットカード情報を入力した最大 556 回分が、入力の時点で外部に流れたおそれがある。

カード情報をサーバーに残さない仕組みを整えていても、利用者が打ち込む画面そのものを書き換えられると守れない。同じ日にはイオンもグループ会社の Web サイトで個人情報の流出を確認したと発表し、前日にはニトリホールディングスが最大 3,762 万件の流出の可能性を公表している（前日の記事）。小売大手の通販と会員の仕組みが、2 日続けて攻撃の入口として表に出た。

第 1 報から第 2 報で、漏れた中身が変わった

エディオンは 11 月 6 日の第 1 報で、通販サイトの通信を一時的に記録する「ログファイル」の領域に、システムの弱点を突いた外部からの侵入があったと公表していた。この時点の対象は氏名・住所・電話番号などで、最大 13,685 名分だった。

10 日の開示は、この第 1 報の調査が進んで判明した中身の訂正と、新しく見つかった手口の 2 つをまとめたものだ。ログ領域には、想定していなかった情報も残っていた。

• クレジットカード情報（番号・有効期限・名義・セキュリティコード）最大 5 件 — 注文画面でエラーが出たときに、例外的に入力内容がログへ一時記録されていたもの
• エディオンギフトカード 5,360 枚分の番号・PIN・利用履歴
• ログイン ID とパスワード 最大 1,141 名分

ギフトカードの番号と PIN だけで使える場所は通販サイトに限られ、店舗では原本の提示が要る。通販サイトが止まっている間は、漏れた情報だけでは使えないと同社は説明している。新規のログインには 2 段階の認証が必要なため、直ちに不正利用される状況ではないとして、対象者にはパスワードの変更を個別にメールで案内する。カードの取り扱いは方針を検討中で、決まり次第対象者へ知らせるという。

サーバーに残さない仕組みでも、入力画面は守れない

新しく見つかったのは、決済まわりの処理の改ざんだ。エディオンの通販サイトのカード決済は、カード情報を自社サーバーに残さない「非保持化」に対応している。それでも今回は、パソコン向けの決済情報の入力処理に不正なプログラムが組み込まれていたため、画面に打ち込まれた番号やセキュリティコードが、サーバーを経由せずに直接第三者へ渡った可能性を否定できないという。

対象は 11 月 4 日 19 時以降にパソコンから新規にカード情報を入力した場合の最大 556 回分で、スマートフォンからの操作は対象外だったと確認されている。NHK はこれを「最大で 500 件あまり」と伝えた。ログに残っていた 5 件と合わせ、同社は提携するカード会社に不正利用の監視の強化を依頼した。

被害の拡大を防ぐため、通販サイトと公式アプリ 2 種は 11 月 7 日 22 時から止まっている。アプリは点検のうえ 8 日 21 時 10 分からデジタル会員証とクーポン表示に限って再開したが、通販サイトは再開の時期が決まっていない。連結業績への影響は軽微と同社は見込んでいる。

同じ日にイオンも、10 月の侵入による流出を確認

イオンは 10 日、10 月 21 日に公表していたグループ各社の一部 Web サイトへの不正アクセスについて、調査の結果、個人情報の流出が判明したと発表した。流出の中身は各社が個別に知らせる形をとり、10 日時点で公表したのはイオンスマートテクノロジー 1 社だった。

同社によると、10 月 20 日に侵入を検知してシステムを止めたが、保存されていたファイルの一部が持ち出されていた。対象はギフトの受付システムに入っていた 2024 年度「イオンの夏ギフト」の受付分で、イオンスタイル津田沼 North・イオン東札幌店・マックスバリュ篠原橋東店・ダイエー浦安駅前店の 4 店舗の 414 件。項目は氏名・住所・電話番号で、カード情報やメールアドレスは含まれていない。各社は個人情報保護委員会に報告済みで、二次被害は確認されていないという。

3 社の手口と規模はばらばらだ。共通するのは、店舗の外に広げた通販・会員・ギフトの仕組みが、顧客の情報の置き場所として攻撃を受けている点にある。エディオンの件は、カード情報を持たない設計にしても、入力を受け取る画面を書き換えられれば、サイトを止めるまでのおよそ 3 日間は防げなかったことを示した。

次に見るもの

最初の確認先は、エディオンのコーポレートサイトに載る次の報だ。通販サイトの再開時期、漏れたギフトカード 5,360 枚の扱い、個人情報保護委員会と警察への追加報告の 3 点が、そこで示される。11 月 4 日 19 時以降にパソコンから同社の通販サイトでカードを新しく入力した人は、明細に覚えのない請求がないかを今のうちに確かめておきたい。

イオンは、イオン株式会社の「重要なお知らせ」に、流出を公表したグループ会社が追加で載るかどうかが次の焦点になる。10 日時点の 1 社・414 件が全体像なのか、各社の発表が続くのかで、事案の規模の見え方が変わる。

ことば

• 適時開示 — 上場企業が投資家の判断に影響する事実を、証券取引所のシステム（TDnet）を通じて速やかに公表する仕組み。エディオンは今回、コーポレートサイトの第 1 報・第 2 報をまとめ直して適時開示に載せた。
• カード情報の非保持化 — 通販事業者がカード番号などを自社のサーバーに保存・処理・通過させない状態にすること。国内のカード業界の安全対策の指針が通販事業者に求める対策の一つだが、利用者が入力する画面を改ざんされると、保存しない設計だけでは防げない。
• 決済画面の改ざん — 通販サイトの入力画面に不正なプログラムを差し込み、利用者が打ち込んだカード情報を送信の途中で横取りする手口。ウェブスキミングとも呼ばれ、サーバーに情報が残らないため発覚までに時間がかかりやすい。

🔗 一次ソース

• エディオン「当社 EC サイトへの不正アクセスに伴う個人情報の漏洩およびサービスの停止について」（TDnet 適時開示・2026 年 11 月 10 日・最大 556 回分・ギフトカード 5,360 枚・ログイン情報最大 1,141 名分）release.tdnet.info
• イオン「イオングループ各社の一部の Web サイトへの第三者による不正アクセスに伴う個人情報の流出に関するお詫びとお知らせ」（2026 年 11 月 10 日）aeon.info
• イオンスマートテクノロジー「第三者による不正アクセスに伴う個人情報の流出に関するお詫びとお知らせ」（2026 年 11 月 10 日・ギフト受付システム 414 件）イオンスマートテクノロジー株式会社
• NHK「エディオン 不正プログラムでクレカ情報 500 件余漏えいのおそれ」（2026 年 11 月 10 日）news.web.nhk