EC構築サービス「futureshop」に不正アクセスが相次ぐ。1店舗の会員情報314万件が漏えい

01発表されている事実

1. 2026年10月17日 23時02分

   第三者がサーバーで使っていたソフトウェアの脆弱性を悪用して不正アクセス

2. 10月18日 0時16分

   1店舗の会員情報が取得される

3. 10月19日 15時30分ごろ

   システム監視で不審なアクセスに気づき判明。同日、対象店舗に報告

4. 10月21日 10時14分ごろ

   別の不正アクセスを検知。11時30分から4台のサーバー（c02、c05、c12、g06）をメンテナンス状態にし、第一報を公表

5. 10月21日 21時36分〜22日 23時35分

   PHPの重大な脆弱性（同社は通称「PHP2Shell」と記載）への対応で長時間メンテナンス

6. 10月23日

   1店舗の会員情報漏えいを公表。店舗と連名で個人情報保護委員会へ報告

7. 10月25日

   三つの事象の説明とお詫びを掲載

漏えいした会員情報は、会員ID、氏名、メールアドレス、住所、生年月日、電話番号、性別、メールマガジンの受信設定、ログインパスワード（ハッシュ化済み）などです。決済は決済代行会社が直接処理しており、カード番号や有効期限、セキュリティコードは同社のサーバーを通らず、保存もしていないとしています。10月23日時点で二次被害の報告は確認されていません。

10月21日の不正アクセスについては、25日時点のログ調査で個人情報の漏えいは確認されておらず、外部の調査機関への依頼を進めているとしています。停止中は対象サーバーの店舗でECサイト、管理画面、FTP・APIが使えず、契約ドメインのメール送受信も止まりました。

02読者への影響

futureshopで作られた通販サイトで会員登録をしている人は、対象店舗から連絡が届いていないか確かめてください。住所や生年月日、購入した店がわかると、本物らしい偽のメールやSMSを作りやすくなります。店舗運営者にとっては、ECサイトが2日近く止まり、店のメールも受け取れなかったことが大きな影響でした。

03今すぐやること

1. 店舗運営者は、管理画面のパスワードを他のサービスと使い回していれば変える（同社の10月21日のお願い）
2. 買い物客は、通販サイトと同じパスワードを他で使っていれば変える。ハッシュ化されていても、使い回しはやめておく
3. 店舗や同社を名乗る、パスワードやカード番号を求めるメール・電話・SMSには応じない。同社はメールや電話でパスワードを尋ねないとしています
4. 店舗運営者は、サイトが止まったときの告知手段（SNS、別のメールアドレス）と、購入者への連絡文の雛形を用意しておく

自社でサイトを動かしている会社は、使っているソフトウェアの脆弱性が攻撃の入り口になります。図鑑の「Webサイトへの攻撃」「WAF」「脆弱性診断」で、守り方と頼める会社を探せます。

04今後の発表

同社は外部の専門機関による調査を進め、調査結果を踏まえた再発防止策をあらためて告知するとしています。