佐嘉平川屋のオンラインショップで決済アプリ改ざん — カード情報6303件、顧客3万170人分の個人情報が流出の可能性

項目	内容
インシデント発生期間	2021年4月6日〜2026年3月10日
公表日	2026年6月18日
対象組織・業界	佐嘉平川屋（豆腐の製造販売・オンラインショップ運営）
対象サイト	佐嘉平川屋オンラインショップ
攻撃手法	サイトのシステム脆弱性を突く不正アクセス → ペイメントアプリケーションの改ざん
情報源	Security NEXT（2026年6月18日）

概要

豆腐の製造販売を手がける佐嘉平川屋は2026年6月18日、同社が運営する「佐嘉平川屋オンラインショップ」が不正アクセスを受け、顧客情報が流出した可能性があることを公表しました。

同サイトのシステムに存在した脆弱性を突く不正アクセスにより、ペイメントアプリケーションが改ざんされていました。公表された流出可能性の内訳は次のとおりです。

対象	件数・人数	期間
クレジットカード情報	6303件	2025年3月21日〜2026年3月10日
カード利用者の個人情報	5783人	同上
登録・注文顧客の個人情報	3万170人	2021年4月6日以降

クレジットカード情報にはカード名義・番号・有効期限・セキュリティコードが含まれます。個人情報の項目は氏名、住所、電話番号、生年月日、メールアドレスです。報道では流出件数の合計を7万3213件としています。

経緯

• 2021年4月6日: この日以降に登録・注文した顧客の個人情報が流出可能性の対象範囲に含まれる（不正アクセスの開始時期に相当）
• 2025年3月21日: この日以降の決済分について、クレジットカード情報の流出可能性が確認される期間の始点
• 2026年3月10日: 流出可能性の期間の終点
• 2026年6月18日: 公表。カード情報6303件・顧客3万170人分の個人情報流出の可能性を明らかに

原因

サイトのシステムに存在した脆弱性を突く不正アクセスにより、ペイメントアプリケーションが改ざんされたことが原因と公表されています。具体的な脆弱性の内容（CMSやプラグインのバージョン、既知CVEか否か）は公表されていません。

考えられる原因（推測）: この手口はいわゆるWebスキミング（フォームジャッキング）で、決済ページのフォーム処理に不正なスクリプトを挿入し、顧客が入力した瞬間のカード情報を攻撃者のサーバへ送信させるものです。カード会社が保持していない情報——特にセキュリティコードが流出対象に含まれている点は、加盟店側でカード情報を保存していたのではなく、入力の瞬間に抜き取られたことを強く示唆します。

侵入の起点としては、(a) 利用していたECプラットフォーム・CMSやそのプラグインの既知脆弱性が未修正だった、(b) 管理画面の認証情報が窃取された、(c) サーバ側のミドルウェアの脆弱性が悪用された、が典型です。「システムに存在した脆弱性」という表現からは(a)または(c)が想定されます。

もうひとつの論点は期間の長さです。不正アクセスの起点が2021年4月、改ざんの終点が2026年3月であり、約5年にわたって侵害状態が続いていた計算になります。一方でカード情報の流出確認期間は2025年3月以降の約1年間に限られており、これはスキミング用スクリプトが埋め込まれた時期が侵入時期より後であるか、あるいはそれ以前の期間についてはログが残っておらず判定できなかったことを意味します。後者であれば、実際の流出件数はさらに大きい可能性が残ります。

対策

組織が学ぶべきこと

1. 「カード情報を保存していない」はスキミングの防御にならない

PCI DSSの流れで、多くのEC事業者はカード情報を自社で保持しない構成（トークン化・リダイレクト型決済）へ移行してきました。しかし本件のようにフォーム処理そのものが改ざんされる攻撃では、保存の有無は関係ありません。入力された瞬間に抜かれるため、セキュリティコードまで含めた完全なカード情報が流出します。「保存していないから安全」という説明は、この攻撃には通用しません。

2. 改ざん検知は「サイトが正常に見えるか」では判定できない

Webスキミングの厄介さは、改ざん後もサイトが正常に動作し、注文も決済も完了する点です。可用性監視は当然オールグリーンで、顧客からの苦情も発生しません。外形監視だけでは、この種の改ざんは何年でも見逃されます。決済ページのスクリプト構成に対する整合性監視（改ざん検知）、外部への不審な通信先の監視といった別種の検知点が必要です。

3. ログの保存期間が「影響範囲の下限」を決める

本件ではカード情報の流出確認期間が2025年3月以降に限定されています。侵害期間が2021年4月から続いていたなら、その間の決済分について「流出していない」と言い切れる根拠はありません。保存されていたログの範囲が、そのまま説明できる範囲の限界になるため、公表される件数は実被害の下限でしかない可能性を、対象者側も前提にすべきです。

ヤグラの視点 — 誤検知とアナリスト疲弊：5年間「アラートにならなかった」改ざんをどう捉えるか

本件でもっとも重い事実は、流出件数そのものよりも、約5年間にわたって侵害状態が検知されなかったことです。ここで注意したいのは、これを「監視をしていなかったから」で片づけると本質を外すという点です。

多くのEC事業者はWAFを入れ、サーバ監視を回し、脆弱性スキャンも定期実行しています。それでもWebスキミングが長期化するのは、この攻撃が監視の側から見て「異常」の形をしていないからです。決済処理は正常終了し、レスポンスタイムも変わらず、サーバ負荷にも表れません。攻撃者のサーバへの通信は正規の外部通信に紛れ、WAFのログには膨大な自動スキャン試行と一緒に埋もれます。仮にアラートが上がっていたとしても、日々数千件のノイズの中でそれを拾い上げるのは、人手の監視では現実的ではありません。

技術的侵入（インシデント原因の26%）に対する答えは、「ログを包括的にAIで監視する」ことに集約されます。CEOの言葉を借りれば、人間でログを全部見切るのは無理です。重要なのは監視の有無ではなく、集めたログの中から意味のある異常を判定できるかどうか——ファイル整合性の変化、外部通信先の変化、認証イベントの変化を横断して相関し、「単発では説明できないが並べると異常」という形の兆候を拾う判定力です。従来型のSOCでは検知から初動まで数時間〜数日を要するところを、AIによる横断監視は数分単位に短縮します。本件が5年ではなく5日で発見されていれば、流出件数は2桁違っていたはずです。→ ヤグラ AI SOC

今後の対応

セキュリティコードを含む完全なカード情報が流出対象に含まれるため、対象顧客のカードは不正利用のリスクが高い状態です。カード会社によるモニタリングと、対象者自身による利用明細の確認が必要です。同社による調査報告書の詳細（侵入経路の特定、実際の不正利用件数）と、流出期間の見直しに関する続報を注視します。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月18日公表時点の情報）