歯ブラシ・介護用品メーカーのファイン株式会社（東京都品川区）、ECサイト改ざんでカード情報912件が流出 — セキュリティコードを含む
| 項目 | 内容 |
|---|---|
| 発生日 | 改ざんの開始時期は公表されていない。カード情報の対象期間は2017年11月9日〜2026年6月30日 |
| 公表日 | 2026年7月27日（発覚は2026年6月30日） |
| 対象組織・業界 | ファイン株式会社（歯ブラシ・介護用品の企画・製造・販売／東京都品川区南大井。歯ブラシの自社工場は三重県伊賀市／製造） |
| 影響件数 | 912件。クレジットカード名義人名、クレジットカード番号、有効期限、セキュリティコード |
| 攻撃手法 | 該当サイトが稼働していたWebサーバー環境の脆弱性を突いた第三者による不正アクセスおよびファイルの改ざん（不正プログラムの設置） |
| 情報源 | ファイン株式会社 公式発表（2026年7月27日）、ScanNetSecurity（2026年8月13日） |
歯ブラシ・介護用品の企画・製造・販売を手がけるファイン株式会社（東京都品川区南大井）は2026年7月27日、同社が運営する「ファインオンラインショップ」が第三者による不正アクセスを受け、顧客のクレジットカード情報を含む個人情報が流出した可能性があると公表しました。
原因は、該当サイトが稼働していたWebサーバー環境の脆弱性を突いた第三者による不正アクセスおよびファイルの改ざん（不正プログラムの設置）です。
流出した可能性があるのは、2017年11月9日から2026年6月30日に同ショップでクレジットカード決済により商品を購入した顧客912件分の、クレジットカード名義人名、クレジットカード番号、有効期限、セキュリティコードです。
発覚は2026年6月30日で、警視庁サイバー犯罪対策課からの指摘によるものでした。同社は該当サイトを利用した顧客に対し、公表日から順次、電子メール等で個別に案内を行っています。
再発防止策として、従来のECサイトが稼働していたサーバーおよびシステム環境を完全に廃止し、高度なセキュリティが確保された新しいシステム環境へ完全移行するとしています。あわせてコーポレートサイトとECサイトのインフラ分離、運用・監視体制の抜本的な強化を行うとしています。
- 改ざんの開始時期: 公表されていない
- 2017年11月9日〜2026年6月30日: カード情報の流出対象となる期間
- 2026年6月30日: 警視庁サイバー犯罪対策課からの指摘により、不正アクセスの可能性を認識
- 2026年7月27日: 公表。対象顧客へ電子メール等での個別案内を開始
- 2026年8月13日: 報道により広く伝えられる
判明している事実: 該当サイトが稼働していたWebサーバー環境の脆弱性を突いた不正アクセスと、ファイルの改ざん（不正プログラムの設置）が確認されています。悪用された脆弱性の内容、対象となったソフトウェアの種類、改ざんが行われた時期は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”流出項目にセキュリティコードが含まれている点が、この事案の手口を示しています。セキュリティコードは決済後の保存が認められていない情報であり、データベースに蓄積されていたとは考えにくいものです。設置された不正プログラムが、購入者が決済画面に入力した内容をその場で外部へ送っていた——いわゆる決済スキミング型の改ざんであった可能性が高いと考えられます。
一方で、対象期間が2017年11月9日から2026年6月30日までの約8年8か月に及ぶ点は、慎重に読む必要があります。改ざんがこの期間ずっと続いていたとは公表されていません。改ざんの開始時期を絞り込めなかったため、カード決済の記録が残る全期間を対象として示したという読み方もできます。少なくとも公表の時点では、いつから情報が抜かれていたのかは示されていません。
発覚が警視庁サイバー犯罪対策課からの指摘であった点も、この手口の性質と整合します。決済スキミングでは、サイトの表示も注文処理も正常に動き続けます。購入者は商品を受け取り、運営者側にも苦情は届きません。異常として現れるのは、注文の裏で発生する外部への通信だけです。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. カード情報を自社の決済画面で受け取らない構成にする
Section titled “1. カード情報を自社の決済画面で受け取らない構成にする”セキュリティコードまで流出しているので、カード情報は自社のサイト上で入力されていたと考えられます。決済代行サービスの画面へ遷移させる、あるいは決済事業者が提供する入力フォームを埋め込む構成であれば、カード情報は自社のサーバを通過しません。サイトが改ざんされても、抜き取る対象が存在しない状態を作れます。
2. 改ざんは「表示の異常」ではなく「通信の異常」として現れる
Section titled “2. 改ざんは「表示の異常」ではなく「通信の異常」として現れる”サイトは正常に動作し、注文も成立していました。画面を見て確認する運用では、この種の改ざんは見つかりません。公開ページのスクリプト構成に変化がないかを定期的に自動照合すること、注文処理中に想定外の宛先への通信が発生していないかを見ることが、検知の手段になります。
3. 外部からの指摘に頼らずに気づける手段を持つ
Section titled “3. 外部からの指摘に頼らずに気づける手段を持つ”今回、同社が事態を知ったのは警視庁からの指摘によるものでした。カード情報の不正利用が捜査機関の側で束ねられ、そこから流出元として名前が挙がる——この経路に頼っていると、気づくのはどうしても被害が広がったあとになりがちです。
ヤグラの視点 — 発見までの時間：8年8か月分の顧客に、案内を出すことになった
Section titled “ヤグラの視点 — 発見までの時間：8年8か月分の顧客に、案内を出すことになった”912件という流出件数より、案内の対象になった期間のほうが目を引きます。2017年11月9日から2026年6月30日まで、8年8か月。この間に同ショップでカード決済をした人が、全員通知の対象になりました。
ただし、改ざんが8年8か月続いていたと同社が述べているわけではありません。公表されているのは対象期間だけで、不正プログラムがいつ置かれたかには触れられていません。開始時期がわかっていれば、案内を出す相手はその日以降の購入者に絞れたはずです。裏を返せば、そこを絞り込めない事情があったと考えられます。攻撃が巧妙だったからというより、後から経緯をたどる材料がどれだけ残っていたか、という問題だったと推察されます。
発覚のきっかけも、自社の監視ではなく警視庁サイバー犯罪対策課からの指摘でした。決済スキミングはサイトを壊しません。注文は通り、商品も届き、購入者からも運営側からも異常には見えない。表に出るのは注文処理の裏で発生する外部通信くらいで、それもWebサーバのアクセス記録、ファイルの更新履歴、外向きの通信ログと、複数の場所に散らばって現れます。これを人が毎日見続けるのは現実的ではありません。横断的に集めて機械に拾わせる形にしておくと、こうした静かな異常にも手が届きます（→ ヤグラ AI SOC）。
同社は旧環境を完全に廃止し、コーポレートサイトとECサイトのインフラも分ける方針を示しました。どこまで汚染されたか確定できない環境を直して使い続けるより、作り直すという判断です。妥当な対応と考えられます。ただ、そこまで踏み込まざるを得なかった背景にも、経緯を十分にたどれなかった事情があったと推察されます。新しい環境で何を記録に残しておくか。そこが、次に何かあったときの説明の細かさに効いてきます。
- 悪用された脆弱性と、改ざんが行われた時期の特定
- カードの不正利用の発生状況
- 新しいシステム環境への移行完了と、ECサイトの再開時期
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-13 | 2026年7月27日の公表内容および2026年8月13日の報道をもとに記事を公開 |