酒類販売の株式会社いまでやは、氏名や注文番号が正確に書かれた同社を装うフィッシングメールが客に届いたことから、注文情報が外部に流れた可能性が高いと公表しました。後の調査で、自社で作ったShopify連携アプリのアクセストークンが盗まれ、注文・顧客情報が取得されていたと分かりました。
事故の概要
- 漏れたもの
- 氏名
- メールアドレス
- 購入・利用の履歴
- 件数
- 不明件数の公表なし。オンラインストアの購入者と、実店舗で会員情報を提示して購入した客
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 確定
- 原因
- 不正アクセス
- ドメイン
- imadeya.co.jp
経緯
- 検知8/20
- 初動対応—
- 公表8/21
- 調査結果10/15
- 再発防止策—
検知2026年8月20日
同社を装うメールを受け取ったという問い合わせが客から30件ほどあり、本人の氏名・注文番号・注文金額が正確に書かれていたため、注文情報が取られた可能性が高いと判断して調査を始めました。
出典お客様情報の外部流出の可能性に関するお詫びとお知らせ（第1報）prtimes.jp
公表2026年8月21日
8月20日夜、同社を装うフィッシングメールを受け取ったという問い合わせが客から30件ほどあり、メールに本人の氏名・注文番号・注文金額が正確に書かれていたことから、注文情報が第三者に取られた可能性が高いと公表しました。流出したとみられるのは氏名、メールアドレス、注文番号、注文金額で、オンラインストアの購入者のほか、実店舗7店で会員情報を示して買った客も対象に含まれます。
原因はまだ分からず、スマレジやクロスモールなど外部連携サービスも含めて調べています。偽サイトでカード情報を入れた客が2名確認されました。オンラインストアとコーポレートサイトを止め、管理権限の縮小、全管理者のパスワード変更と2段階認証の設定、外部連携の停止をしました。個人情報保護委員会への報告も進めています。
出典お客様情報の外部流出の可能性に関するお詫びとお知らせ（第1報）prtimes.jp
調査結果2026年10月15日
第2報で、注文履歴の管理用に自社で作ったShopify連携アプリが使うShopify Admin APIのアクセストークンが第三者に盗まれ、海外のIPアドレスからAPI経由で注文情報と顧客情報が取得されていたと公表しました。カード情報が漏れていないことも確認できたとしています。
経路はすでに遮断し、ほかの連携アプリについても同じリスクがないか点検しています。オンラインストアと新規会員登録は12月上旬に再開する予定です。
出典お客様情報の外部流出に関するお詫びとお知らせ（第2報）prtimes.jp
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 2会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。