NSバイオジャパン、EC管理アカウントがフィッシング詐取され不正アクセス、顧客40件が流出

項目	内容
発生日	2026年2月3日（形跡発見）／2月5日（概要判明）
対象組織・業界	NSバイオジャパン（サプリメント・ペットフード製造販売）
攻撃手法	フィッシングで管理アカウントの認証情報を詐取、ECサイト管理画面へ不正アクセス
情報源	Security NEXT（2026年2月25日）

概要

2026年2月25日、サプリメント・ペットフードを製造販売するNSバイオジャパンは、ECサイト「NSバイオジャパンオンラインショップ」の管理アカウントの認証情報がフィッシングによって詐取され、顧客40件の氏名・住所・電話番号・メールアドレス・顧客IDが流出したと公表しました。公表時点でクレジットカードの不正利用は確認されていません。

経緯

• 2026年2月3日: 不正アクセスの形跡を発見
• 2026年2月5日: 不正アクセスの概要が判明
• 2026年2月25日: 公表。警察・個人情報保護委員会に報告済み、対象顧客への個別連絡を実施

原因

判明している事実:

• フィッシング攻撃により管理アカウントのログインID・パスワードが詐取された
• 詐取された認証情報でECサイト管理画面へ不正アクセスされた

考えられる原因（推測）: 管理アカウントを狙ったフィッシングは、(a) EC運営プラットフォームのログイン画面を模したサイトへ誘導、(b) 「アカウント警告」「セキュリティ確認」を装ったメール、(c) SMS・電話を併用した多段的な誘導、といった手口が典型です。管理者向けアカウントは一般ユーザーより高い権限を持つため、詐取されるとECサイト全体の顧客データ・注文履歴・場合によっては決済情報にまでアクセスされる恐れがあります。管理アカウント側のMFA・IP制限・アクセス通知設定が有効に機能していなかった可能性が推測されます。

対策

組織が学ぶべきこと

1. 「管理者アカウント」こそフィッシングの主要標的

一般従業員向けのフィッシング訓練は多くの組織で行われていますが、EC運営担当・システム管理者向けの訓練は形骸化しがちです。管理者アカウントは1件の詐取で顧客数千〜数万人分の情報にアクセスされうるため、リスク係数が桁違いに高い、という前提で訓練を設計する必要があります。

2. 管理アカウントのMFA・IP制限・アクセス通知

管理画面へのログインには、MFA必須化・IP制限・海外IPからのブロック・ログイン通知メールなど、多層の防御が求められます。特に「深夜・休日にログインがあったら自動アラート」のような普段と違う挙動を捕まえる仕組みが有効です。

3. 40件でも公表する透明性

本件の流出は40件と、大規模事案ではありません。しかし、規模の大小にかかわらず当該顧客への直接連絡と、業界への公表を行う姿勢は、事後対応の信頼を左右します。

ヤグラの視点 — 訓練で防げた分岐点。知っていれば済むタイプの攻撃

管理者アカウントのフィッシングによる詐取は、攻撃者にとってコストが低く、成功時のリターンが極めて高い攻撃です。そのため、AI攻撃の巧妙化とともに、管理者・特権ユーザーへの標的攻撃は今後さらに増加します。

一方で、この種の攻撃は「対策が知られていない」わけではありません。管理画面のログイン画面は必ずブックマーク経由で開く、正規ドメインを目視で確認する、認証情報を入れる前にURLを確認する——これらの知識さえあれば、多くの詐取は防げます。しかし、知識と、実際の場面で使える体験知には大きなギャップがあります。

ヤグラの アウェアネス は、最新のAI攻撃手口（認証情報詐取・SMS/電話・ClickFix型）を反映したマルチチャネル型訓練を提供し、役職・部門ごとのリアリティを持ったシナリオで、知識を「使える体験知」に変換します。「訓練で防げた分岐点」を、事後に振り返るのではなく、事前に潰しておく設計が問われます。

今後の対応

同社は警察・個人情報保護委員会に報告済みで、対象顧客への個別連絡を進めています。ECサイトの認証・管理体制の見直しを継続中です。

更新履歴

日時	内容
2026-07-30	過去アーカイブとして記事化（キュレーション）