田中屋本店、通販サイトの決済アプリ改ざんで顧客5,610人分の個人情報が流出

2026/01/14 続報を注視中中程度小売・EC #不正アクセス

項目	内容
発生日	2025年8月12日以前（外部からの連絡日）〜
対象組織・業界	田中屋本店（笹だんご製造販売・食品通販）
攻撃手法	脆弱性悪用による決済アプリケーションの改ざん
情報源	Security NEXT（2026年1月14日）

概要

新潟の笹だんご製造販売事業者・田中屋本店が運営する通信販売サイト「田中屋本店オンラインショップ」において、脆弱性を突く不正アクセスにより決済アプリケーションが改ざんされ、5,610人の顧客の氏名・住所・電話番号・生年月日・性別・メールアドレスが流出した事案が、2026年1月14日にSecurity NEXTで報道されました。

外部からの連絡（2025年8月12日）を契機に判明し、警察・個人情報保護委員会への届け出、外部協力による調査を経て2025年10月25日に調査完了、サイトを改修・再開しています。

経緯

2025年8月12日以前: サイトへの不正アクセス発生（時期は「以前」とのみ）
2025年8月12日: クレジットカード情報流出の可能性について外部から連絡を受ける
2025年9月24日: 警察へ申告
2025年9月25日: 個人情報保護委員会へ報告
2025年10月25日: 調査完了
サイト改修後、決済機能を停止して再開
2026年1月14日: Security NEXTが報道

原因

「脆弱性を突く不正アクセス」により、決済アプリケーションが改ざんされたと公表されています。具体的な脆弱性の種類・改ざん内容の詳細は公表されていません。

考えられる原因（推測）: 食品通販サイトへの決済アプリ改ざんは、いわゆるWeb Skimming（Magecart系）攻撃の典型パターンです。ECサイトの決済ページに不正なJavaScriptを注入し、顧客が入力するカード情報を攻撃者のサーバに送信する手口で、国内EC事業者に対して継続的に発生しています。侵入経路は、(a) CMSやECプラットフォーム（EC-CUBE等）の既知脆弱性、(b) 管理画面への認証情報流用、(c) サードパーティスクリプト経由での注入、が典型です。「外部からの連絡」で発覚した点も、被害者側の不正利用検知が発端という同種事案と共通しています。

対策

組織が学ぶべきこと

1. 「外部からの連絡」で発覚するパターンの限界

本件は外部からの連絡（8月12日）で発覚しました。EC事業者側では、決済アプリの改ざんそのものは検知できていなかった構造です。自組織のサイト・決済経路の改ざん検知の仕組みがない状態は、被害を「気づかされる」までの時間が長くなり、その間に流出が拡大し続けます。決済ページの整合性監視・外部スクリプトの検証・Content Security Policyの適用は、EC事業者にとって最低限のガード線として整備が求められます。

2. 食品通販でも「カード情報」を扱っている責任

本件の対象事業者は笹だんご製造販売という、伝統食品を扱う地域事業者です。しかしオンラインで決済を受け付ける限り、カード情報の取扱事業者としての責任は大手ECと同等に発生します。事業規模と情報リスクは比例しないことを、この事案は改めて示しています。

3. 決済機能停止という選択

田中屋本店はサイト改修後、決済機能を停止して再開しています。これは事業機会損失を伴う判断ですが、決済経路の安全が確認できるまでの間の措置として合理的です。「事業を止めてでも安全を確認する」判断ができる体制こそが、消費者からの信頼を取り戻す土台になります。

ヤグラの視点 — 影響範囲の自動調査：カード情報が漏れたのは「誰と誰」か

Web Skimming型の攻撃で最も難しいのは、「いつからいつまで、決済ページを訪れた誰がカード情報を漏らしたか」の特定です。改ざんが仕込まれた時期・除去された時期の範囲内に決済したユーザー全員が対象になり得ますが、その範囲を正確に切ることが、対象顧客への通知範囲・二次被害の抑制に直結します。

本件では調査完了までに約2.5ヶ月（8月〜10月）を要しています。この間、対象顧客はカード情報が漏れているかもしれない状態で日常を過ごしていたことになります。「対象顧客の絞り込み」の速さが、被害の連鎖を断つ第一手です。

ヤグラの PhishAI は、危険と判定された事案について「同様の被害が誰に及んでいるか」を自動調査する機能を持ちます。フィッシングメールを起点とした調査が主ですが、その思想——「一人の被害の背後にいる複数被害者を、AIで数分で洗い出す」——は、Web Skimming型のようにイベント範囲の絞り込みが問われる事案にも通じます。

今後の対応

サイトは改修後に再開済み。決済機能の安全確認と、対象5,610人のうち実害が発生した顧客への対応が焦点です。

更新履歴

日時	内容
2026-07-30	初稿公開（1月14日Security NEXT報道時点）