Signal
📡 Signal｜いまでや、Shopify 連携アプリの API トークン悪用で顧客情報が流出
いまでやが顧客情報流出の第2報で経路を特定。自社構築の Shopify 連携アプリの Admin API アクセストークンが悪用され、海外 IP から注文・顧客情報を取得された。カード情報の漏えいなしを確認、ストアは12月上旬再開予定。
千葉市の酒販店いまでやは10月15日、8月に公表した顧客情報の流出について第2報を出し、経路を特定したと発表した。注文履歴を管理するために自社で作った Shopify 連携アプリの API アクセストークンが第三者に取得され、海外の IP アドレスから API を通じて注文情報と顧客情報が抜き取られていた。
いまでや「お客様情報の外部流出に関するお詫びとお知らせ (第2報)」(2026年10月15日・PR TIMES)プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES
カード情報が漏れていないことは、第1報の推定から確認済みの事実に改めた。止めているオンラインストアと新規会員登録は、12月上旬の再開を予定する。入口は画面のログインではなく、店が自分で作ったアプリが持つ「鍵」だった。
8月のフィッシングメールから始まった
発端は8月20日の夜だ。8月21日の第1報によると、いまでやを装ったフィッシングメールを受け取ったという問い合わせが約30件届いた。メールには本人の氏名、注文番号、注文金額が正確に書かれていた。同社は流出の可能性がある情報を名前、メールアドレス、注文番号、注文金額とし、オンラインストアを止めた。フィッシングサイトでカード情報を入れた人が2名確認されたとも書いていた。
対象は、オンラインストアで買い物をした人と、千葉本店や GINZA SIX など 7 つの店舗で会員情報を示して買い物をした人だ。第1報の時点では原因は分からず、POS や通販の一元管理など外部の連携サービスも調べていた。
第2報で分かったこと、まだ書かれていないこと
10月15日の第2報が特定したのは、次の経路だ。
- 自社で作った Shopify 連携アプリが、Shopify の管理用 API (Admin API) のアクセストークンを使っていた
- そのトークンが第三者に不正に取得され、悪用された
- 第三者は海外の IP アドレスから API を通じてアクセスし、Shopify 上の注文情報と顧客情報を取得した
経路はすでに遮断した。同じリスクがないか、ほかの連携アプリも点検している。連携機能の安全を確かめてから再開する方針で、日程は公式サイトと公式 SNS で知らせるとした。
第2報には、影響を受けた人数も、不正な取得が続いた期間も書かれていない。流出した項目も「注文情報・顧客情報」とまとめて書くだけで、一覧はない。判明した事項は随時報告するとしている。
JPCERT/CC が挙げた手口と同じ形
API の鍵が入口になる事案は、10月に入って JPCERT/CC などが注意を促している手口と重なる。JPCERT/CC は10月8日の注意喚起で、API を通じた不正な操作の一つとして、ほかのシステムの侵害で盗んだ API の鍵を使う例を挙げた。推奨策には、API トークンに適切な有効期限を設け、長く有効なトークンを避けること、必要最小限の権限だけを与えること、漏えいが疑われるトークンをすぐ無効にできるようにしておくことが並ぶ (10月10日の記事)。
いまでやは、トークンがどうやって取得されたかまでは明らかにしていない。それでも構造ははっきりしている。Shopify のような EC の基盤そのものが破られなくても、店が業務を楽にするために足した連携アプリが広い権限の鍵を持っていれば、その鍵一つで顧客台帳まで届く。中小の EC 事業者が自前でつなぐ在庫、注文、会計の連携は、どれも同じ形の鍵を抱えている。
次に見るもの
確認先は、PR TIMES のいまでやのページと公式サイトのお知らせだ。第3報で影響人数と流出した項目の一覧、不正な取得の期間が示されるかを見る。12月上旬とした再開の日程が予定どおり告知されるかも、点検が終わったかどうかを測る材料になる。同社はメールでカード情報の入力を求めることはないとし、不審なメールのリンクを開かないよう呼びかけている。
ことば
- API アクセストークン — 外部のアプリがサービスの機能やデータを使うための合い言葉に当たる文字列。人のログインを経ずに使えるため、権限が広く期限が長いほど、盗まれたときの被害が大きくなる。
- Shopify Admin API — Shopify で店を運営する側が、注文、顧客、在庫などを外部のプログラムから読み書きするための窓口。連携アプリの多くがこれを使って業務を自動化している。
🔗 一次ソース
