ボンフォーム オンラインストア、決済JavaScriptの改ざんでカード情報流出——約3.6年間気づかれず、3,268人分に影響
| 項目 | 内容 |
|---|---|
| 発生日 | 2021年3月25日〜2024年11月8日（侵害期間）、2026年4月30日公表 |
| 対象組織・業界 | 株式会社ボンフォーム（カーインテリア通販「ボンフォームオンラインストア」運営） |
| 攻撃手法 | サイト脆弱性を突く不正アクセス、決済ページJavaScriptの改ざん（Web Skimming） |
| 情報源 | Security NEXT（2026年4月30日） |
株式会社ボンフォームは、同社が運営する「ボンフォームオンラインストア」で決済ページのJavaScriptが改ざんされ、クレジットカード情報が窃取されていたと2026年4月30日に公表しました。侵害期間は2021年3月25日から2024年11月8日までの約3年半に及びます。
- クレジットカード決済利用者 3,268人 の情報流出の可能性（カード名義・番号・有効期限・セキュリティコードを含む）
- ログイン済みユーザー 735人 については、メールアドレス・パスワード・電話番号も流出した可能性
- 一部で不正利用被害が発生した可能性あり
- 2021年3月25日: 決済ページJavaScriptの改ざん（侵害開始）
- 2024年11月8日: 侵害期間の終了（この時点までに攻撃者はカード情報を窃取可能）
- 侵害検知後: 外部専門機関の協力のもと調査を実施
- 2026年4月30日: 公式に公表
侵害期間の終了から公表まで、詳細調査に時間を要しています。
公式発表ではサイトの脆弱性を突く不正アクセスが原因とされています。攻撃者は決済ページのJavaScriptを書き換え、利用者がフォームに入力したクレジットカード情報を攻撃者サーバへ送信するよう改ざんしていました。いわゆるWeb Skimming（Magecart型攻撃）に該当する手口です。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、ボンフォームが公表したものではありません。
- ECプラットフォーム・CMSの脆弱性: 決済ページを含むアプリケーション基盤（EC-CUBE等のOSS ECプラットフォーム、または独自CMS）の既知脆弱性が悪用された可能性
- 管理者アカウント経由でのファイル改ざん: フィッシング等で管理者IDが奪取され、JavaScriptを直接書き換えられた線
- サードパーティ製スクリプトの改ざん: 決済ページに読み込まれる外部JS（タグマネージャ・計測ツール等）が改ざんされる「サプライチェーン型」の可能性
いずれの経路でも共通するのは、改ざん後3年半、誰も気づかなかったという事実です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 決済ページの完全性チェック（Integrity Monitoring）: 決済ページ上で読み込まれるJavaScriptに改ざん・追加・置換がないかを継続的に監視する仕組みが必要です。ファイルのハッシュ値監視、CSP（Content Security Policy）、SRI（Subresource Integrity）といった技術で、ページに載る「動くコード」の変化を検知できます。
2. カード情報を「サイト側で扱わない」設計: PCI DSSに準拠したトークン化・決済代行への完全委任（リダイレクト型／iframe型）を採用すれば、自社サーバ上でカード情報を扱う時間を最小化でき、Web Skimmingの被害範囲を根本的に狭められます。
3. 侵害期間3年半の意味を組織が受け止める: 攻撃者は侵入後、静かにデータを取り続けます。侵入検知の仕組みがないと「気づいたときには何年分も流出済み」という結果になります。定期的な脆弱性診断・改ざん検知だけでなく、ログの継続監視が必要です。
ヤグラの視点 — 発見までの時間、3年半という数字が組織に返す問い
Section titled “ヤグラの視点 — 発見までの時間、3年半という数字が組織に返す問い”3年半——これは、ある日決済フォームを開いた顧客のカード情報が窃取され続け、それに誰も気づかなかった時間の長さです。この期間、被害件数はほぼ確実に日々増え続けました。発見が遅れれば遅れるほど、被害は確定していく——これは決済系のWeb改ざん事案で繰り返し観測される現象です。「侵入されないこと」だけを目標にしても、Web改ざんは静かに起きます。むしろ問われるのは「侵入されたとして、どれくらいで気づけるか」という時間軸の指標です。ファイル完全性監視・CSP違反ログ・決済フォームの挙動監視——これらすべてから出てくる大量のシグナルを人手で追うのは非現実的で、AIがログを横断で読み、通常と違う挙動を絞り込んで示すことが、発見までの時間を数年から数日以下に短縮する現実解になります。（関連: ヤグラ AI SOC）
対象者への通知進捗、カード再発行・不正利用の補償状況、決済ページの完全性監視の再構築計画に関する続報を注視し、判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-04-30 | 第一報を公開 |