通販サイト「駿河屋.JP」の決済ページが改ざんされ、決済時に入力されたクレジットカード情報と氏名、住所、電話番号、メールアドレスなどが外部に流出した可能性があります。12月4日の発表では、フォレンジック調査の結果、7月23日から8月8日までにカード決済をした29,932人(カード30,431件)が対象としています。
事故の概要
- 漏れたもの
- 氏名
- 住所
- 電話番号
- メールアドレス
- クレジットカード番号
- その他
- 件数
- 29,932件12月4日の発表で、漏えいの疑いがあるのはクレジットカード30,431件と、それに付随する顧客29,932人の情報としています
- 誰の情報か
- 利用者(会員・顧客)
- 状態
- 可能性あり
- 原因
- 不正アクセス
- ドメイン
- suruga-ya.jp
経緯
- 検知7/23
- 初動対応—
- 公表8/8
- 続報8/9
- 調査結果12/4
- 再発防止策—
検知2025年7月23日
7月23日に不正アクセスを検知し、その日から調査とモニタリングを続けていました。8月4日、外部からの問い合わせをきっかけにした社内調査で、決済ページ用のJavaScriptが改ざんされているのを見つけ、同日15時22分に修正しました(8月8日と12月4日の発表による)。
公表2025年8月8日
駿河屋は、ECサイト「駿河屋.JP」が第三者の不正アクセスを受け、クレジットカード情報を含む個人情報が漏えいしたことを確かめたと発表しました。8月4日にシステムの一部が改ざんされているのを確かめ、この改ざんで決済時に入力された情報が外部に流出する状態だったことが分かったとしています。
漏えいした可能性があるのは、氏名、住所、郵便番号、電話番号、メールアドレス、領収書の宛名・但し書きと、カード番号、セキュリティコード、有効期限、カード名義、カードブランドです。個人情報保護委員会に報告し、静岡中央警察署に相談したうえで、8月8日からカード決済を止めました。
外部の専門機関によるフォレンジック調査を行うとしています。身に覚えのない請求がないか確かめ、あればカード会社に連絡するよう求めています。影響のある人には調査が終わり次第知らせるとしています。
続報2025年8月9日
駿河屋は、不正アクセスによる個人情報漏えいについてのよくある質問をまとめたページを出しました。カード情報は自社のサーバを通さず決済代行会社に直接送る仕組みで、自社では持っていないこと、入力画面の情報が外部に流出するような改ざんを確かめたこと、楽天市場店などの外部モールや実店舗は影響がないことなどを説明しています。8月14日には、カード決済の再開はフォレンジック調査が終わり安全を確かめてからになるとの問答を加えています。
続報2025年8月25日
駿河屋は、個人情報流出の可能性がある人への個別の連絡として、8月25日から31日にかけてメールを順に送ると知らせました。同社がカード情報やパスワードを直接尋ねることはないとして、不審なメールや電話に注意するよう呼びかけています。
続報2025年9月1日
駿河屋は、8月25日から31日にかけて対象者へのメール送信を終えたと報告しました。メールアドレスのエラーで届かなかった例があるとして、届いていないことを確認できた人には電話や郵便などで順に連絡する予定としています。
調査結果2025年12月4日
駿河屋は、フォレンジック調査が10月10日に終わり、報告書を受け取ったと発表しました。漏えいの疑いがあるのはクレジットカード30,431件と、それに付随する顧客29,932人の情報です。
原因は、監視ツールの脆弱性を突いた不正アクセスで決済ページ用のJavaScriptが改ざんされたことでした。侵入時刻が分かり、対象期間は7月23日12時50分から8月8日までと特定しました。項目はカード名義人名、カード番号、有効期限、セキュリティコード、カードブランドと、氏名、住所、郵便番号、電話番号、メールアドレス、領収書の宛名・但し書きです。決済ページでの漏えい以外に、同社が持つ個人情報が持ち出された証跡は確認されていないとしています。
対象者には個別に連絡し、カード再発行の手数料を利用者に負担させないようカード会社に頼んでいます。改ざん検知やアクセス制御の強化などを進め、カード決済は対策と外部確認を終えてから再開するとしています。
続報2026年1月21日
駿河屋は、本件の専用問い合わせ窓口の電話受付を2026年1月31日で終え、2月1日からメールだけで受け付けると知らせました。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
- 一次情報www.suruga-ya.jp/feature/osirase/2025_08_08.ht…
- 一次情報www.suruga-ya.jp/feature/osirase/2025_08_09.ht…
- 一次情報www.suruga-ya.jp/feature/osirase/2025_08_25.ht…
- 一次情報www.suruga-ya.jp/feature/osirase/2025_09_01.ht…
- 一次情報www.suruga-ya.jp/feature/osirase/2025_12_04.ht…
- 一次情報www.suruga-ya.jp/feature/osirase/2026_01_21.ht…
- 報道www.security-next.com/173254
- 報道scan.netsecurity.ne.jp/article/2025/08/22/53488.html
- 報道cybersecurity-jp.com/news/110606
このサービスを使っていた方へ
- 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 2知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
- 3カードの利用明細を確かめ、覚えのない請求があればカード会社に連絡してください。
- 4会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。