五次元、福袋発売の高負荷時を狙ったサイバー攻撃で他顧客の個人情報が表示

項目	内容
発生日	2025年12月27日20時30分ごろ（検知）
対象組織・業界	株式会社五次元（コスプレ関連通販）
攻撃手法	外部からの不正データ注入（高負荷時を狙った攻撃）
情報源	Security NEXT（2026年1月16日）

概要

コスプレ関連商品の通信販売を手がける五次元は、2025年12月27日の福袋発売開始（同日20時）直後の高負荷時に、外部からの不正データ注入によるサイバー攻撃を受け、ログイン中の顧客画面に別顧客の個人情報が表示される事案が発生しました。

表示された情報は氏名・住所・クレジットカード番号下4桁で、同時間帯にログインしていた別顧客の情報が本人に見える状態になっていました。攻撃者の目的は「信用を失墜させることを目的とした行為」と同社は判断しています。

経緯

• 2025年12月27日20時00分: 福袋発売開始（サーバが高負荷状態に）
• 2025年12月27日20時30分ごろ: 検知。以降、外部からの攻撃によって不正データが注入された状態
• 同12月30日まで: 侵入経路と攻撃手法を特定
• 2026年1月16日: Security NEXTが報道
• 不正データは除去済み

原因

攻撃自体は「外部からの不正データ注入」とされますが、なぜ他人の個人情報が別ユーザーに表示されたかの技術的詳細は公表されていません。

考えられる原因（推測）: 高負荷時に別ユーザーのデータが表示される事象は、通常時には現れにくく高負荷時にのみ顕在化する種類の不具合・侵害と親和性があります。具体的には、(a) キャッシュ／セッション管理の競合状態（Race Condition）が攻撃で誘発された、(b) 高負荷時のフォールバック処理に注入された不正データが割り込んだ、(c) Webアプリケーションの排他制御に対して意図的な同時アクセスを仕掛けられた、といったパターンが考えられます。攻撃者が「福袋発売の高負荷時」を狙って攻撃タイミングを選んだという点は、攻撃者側が同社サイトの弱点（負荷条件下で顕在化する脆弱性）を事前に把握していた可能性を示唆します。

対策

組織が学ぶべきこと

1. 「攻撃タイミングを選んで来る」攻撃者の存在

本件で最も重要な事実は、攻撃者が「福袋発売の高負荷時」を明確に狙って攻撃を仕掛けている点です。ECサイトのイベント時（セール・福袋・限定販売）は、システム側の処理が普段と異なる挙動を取りやすく、平時のテストでは露呈しない不具合が現れることがあります。攻撃者はここを狙う。イベント前のシステム点検は、平時のセキュリティ検査とは別軸で必要になります。

2. 「信用失墜目的の攻撃」というモチベーション

金銭・データ窃取が目的の攻撃だけでなく、同業競合や個別事業者への嫌がらせ／評判毀損を目的とする攻撃も一定数存在します。本件では、カード番号は下4桁のみが表示され、直接的な金銭被害には結びつきにくい形式ですが、「他顧客の情報が見える」という体験そのものが顧客の信頼を大きく損なう構造になっています。攻撃者側は「金銭より風評」を狙う場合があることを想定した設計・訓練が必要です。

3. 高負荷時の挙動を「セキュリティ観点」で見る

Webアプリケーションの負荷試験は多くの場合「落ちないか」「レスポンスタイムが劣化しないか」の性能観点で行われます。しかし本件は、高負荷時に「他人のデータが見える」という機能異常が発生しています。負荷試験の観点に「セキュリティ／データ分離が保たれているか」を追加する必要性を、この事案は示しています。

ヤグラの視点 — 組織固有知識の学習：「うちのサイトは福袋の日が危ない」を次に活かせるか

本件のような「特定条件下でのみ発現する異常」は、シグネチャ型のセキュリティ製品では検知しにくい類のインシデントです。「不正データ注入」という結果は捉えられても、「福袋発売時の高負荷という条件下で他人データが見える挙動」という組織固有の異常パターンは、汎用ルールでは表現できません。

このタイプのインシデントに強くなるには、自組織のログ・挙動・アラートの履歴を積み上げて、そこから「自組織にとっての異常」を学習する仕組みが必要になります。今回の事案でも、平時と比較して「12月27日20時以降、特定条件で異常なデータ表示が起きた」という時系列相関が取れれば、原因究明までのスピードは大きく変わります。

ヤグラの AI SOC は、対応履歴をメモリに登録して調査推論に活用する「メモリ構築」機能を持ち、組織固有の異常パターンを学習していきます。「うちのサイトはイベント日が危ない」という業務知識を、次のインシデントで活かせる形でセキュリティ運用に組み込むことができます。

今後の対応

不正データは除去されていますが、他顧客の情報が表示された対象顧客への個別通知と、次回イベント時への再発防止策の設計が焦点になります。

更新履歴

日時	内容
2026-07-30	初稿公開（1月16日Security NEXT報道時点）