RIZAPの「APORITOオンラインストア」に不正なスクリプト。5〜8月に入力したカード情報が流出の可能性

01発表されている事実

1. 2026年8月5日

   ストアのシステムで、外部へ情報を送る不審なプログラムを発見。同日15時30分にストアを非公開にする

2. 8月8日

   カード情報が漏えいした可能性がある利用者に、メールで個別に連絡

3. 8月10日

   公表。個人情報保護委員会へ速報を提出済み

4. 8月18日

   第2報

5. 9月18日

   第3報。調査の完了は2027年1月下旬の見込みで、ストアの再開も同じ時期を予定

対象は、2026年5月1日から8月5日までにストアで注文や情報の入力をした人です。流出した可能性がある情報は、氏名、住所、電話番号、メールアドレス、カード番号、有効期限、セキュリティコードです。人数は公表されていません。8月10日の時点で、情報の不正利用などの二次被害は確認されていないとしています。外部のフォレンジック調査会社が範囲と原因を調べています。

02読者への影響と今すぐやること

セキュリティコードまで含まれているため、ネットでの買い物に悪用されるおそれがあります。

1. 期間中にストアを使った人は、カードの利用明細を確かめる。身に覚えのない請求があれば、カード裏面の番号からカード会社へ連絡する
2. カードの利用停止や再発行は、カード会社と相談して自分で判断する（RIZAPから求めてはいない）
3. RIZAP、警察、カード会社を名乗り、暗証番号や個人情報を尋ねる電話・メール・SMSに注意する。RIZAPが暗証番号を尋ねることはない

03同じことを防ぐには（ネットショップを運営する企業）

RIZAPは侵入の経路をまだ公表していません。一般に決済画面の改ざんは、ECソフトやプラグインの脆弱性、管理画面のパスワードの弱さを突いて行われます。発見が遅れるほど対象期間が長くなり、今回の対象期間も3か月余りに及びました。

• カード番号を自社サイトで入力させず、決済代行会社の画面に移す方式や、カード情報を自社に通さない方式を選ぶ
• サイトのファイルが書き換えられたら気づく仕組み（改ざん検知）を入れる
• 使っているECソフトやプラグインを最新にし、管理画面には多要素認証とアクセス元の制限をかける
• 年に1回は脆弱性診断を受け、WAFで既知の攻撃を止める

不審なプログラムを見つけたら、RIZAPのようにまずストアを止めて被害の広がりを抑え、カード会社と連携して対象者へ早めに知らせることが大切です。返金や補償、カードの再発行手数料の扱いは、同社も8月10日の時点で検討中としていました。事前にサイバー保険の補償範囲を確かめておくと、いざというときの判断が早くなります。図鑑では、Webサイトへの攻撃への備えとして、脆弱性診断とWAFのサービスを比べられます。