プリンターインク通販「インク革命.COM」を運営する株式会社シー・コネクト、決済アプリの改ざんでカード情報24,166名分が流出のおそれ — 一部で不正利用の可能性を確認

項目	内容
発生日	流出の対象期間は2025年4月8日〜12月10日。2025年12月9日に不正アクセスを認識
公表日	カード会社による案内の掲載は2026年7月29日。報道は2026年8月18日。同社自身の公表日は出典に明記されていない
対象組織・業界	株式会社シー・コネクト（プリンターインク通販サイト「インク革命.COM」を運営／小売・EC）
影響件数	24,166名。カード情報（名義、番号、有効期限、セキュリティコード）および個人情報（氏名、電話番号、生年月日、メールアドレス、パスワードのハッシュ値）
攻撃手法	サイトのシステムの一部の脆弱性を突いた第三者による不正アクセスで、ペイメントアプリケーションが改ざんされた。バックドアが検出されている
情報源	楽天カード「株式会社シー・コネクト『インク革命.COM』における不正アクセスによるお客様情報流出について」（2026年7月29日）、ScanNetSecurity（2026年8月18日）

概要

プリンターインク通販サイト「インク革命.COM」を運営する株式会社シー・コネクトは、同サイトへの不正アクセスについて公表しました。

原因は、当該サイトのシステムの一部の脆弱性をついたことによる第三者の不正アクセスで、ペイメントアプリケーションの改ざんが行われたことです。調査ではバックドアが検出されています。

流出した可能性があるのは、2025年4月8日から12月10日に同サイトでカード情報や顧客情報を入力した24,166名分です。内訳はカード情報（名義、番号、有効期限、セキュリティコード）と、個人情報（氏名、電話番号、生年月日、メールアドレス、パスワードのハッシュ値）です。

経緯として、2025年12月9日に事象を認識し、翌10日にカード決済を停止、12月22日に不正なプログラム（バックドア）の除去とシステム改ざん箇所の修正を実施しました。調査機関からの報告完了は2026年3月18日です。

対象となる24,166名には電子メールで個別に案内しており、一部の利用者についてはクレジットカードが不正利用された可能性も確認されています。カード会社によるモニタリングが継続されています。

経緯

• 2025年4月8日〜12月10日: 流出の対象となる期間。この間にカード情報や顧客情報を入力した利用者が対象
• 2025年12月9日: 不正アクセスを認識
• 2025年12月10日: カード決済を停止
• 2025年12月22日: 不正なプログラム（バックドア）の除去と、システム改ざん箇所の修正を実施
• 2026年3月18日: 調査機関からの報告が完了
• 2026年7月29日: カード会社による案内が掲載される
• 2026年8月18日: 報道により広く伝えられる

原因

判明している事実: サイトのシステムの一部に存在した脆弱性を突かれ、第三者にペイメントアプリケーションを改ざんされたことです。調査ではバックドアが検出されています。悪用された脆弱性の内容、対象となったソフトウェアの種類、改ざんが行われた時期は公表されていません。

考えられる原因（推測）

流出項目にセキュリティコードが含まれています。セキュリティコードは決済後の保存が認められていないため、データベースに溜まっていたとは考えにくい情報です。改ざんされたペイメントアプリケーションが、購入者の入力内容をその場で外部へ送っていた——決済スキミング型の改ざんであった可能性が高いと考えられます。

バックドアが検出されていることは、事後対応の難易度に直結します。侵入に使われた脆弱性を塞いでも、バックドアが1つ残っていれば再び入られるためです。同社が12月22日に「バックドアの除去」と「システム改ざん箇所の修正」を並べて実施しているのは、その両方を潰す必要があるという判断でしょう。

対象期間の起点が2025年4月8日である理由は公表されていません。改ざんの開始時期がその日と特定されたのか、記録をたどれる範囲がそこまでだったのかは分かりません。

対策

組織が学ぶべきこと

1. カード情報を自社の決済画面で受け取らない構成にする

セキュリティコードまで流出のおそれがあるということは、カード情報が自社のサイト上で入力されていたことになります。決済代行サービスの画面へ遷移させる、あるいは決済事業者が提供する入力フォームを埋め込む構成であれば、カード情報は自社のサーバを通過しません。改ざんされても抜き取る対象が存在しない状態を作れます。

2. バックドアの有無まで含めて調査する

侵入経路を塞いでも、バックドアが残っていれば再び入られます。「脆弱性を修正した」ことと「攻撃者が残したものを除去した」ことは別の作業です。同社が改ざん箇所の修正とバックドアの除去を並べて実施しているのは、この区別を踏まえた対応にあたります。

3. 不正利用が確認された場合の補償方針を、早い段階で示す

本件では一部の利用者について不正利用の可能性が確認されています。カードの停止・再発行にかかる手数料や、実被害の補償をどう扱うかは、対象者がまず知りたい情報です。調査の完了を待たずに方針を示せるかどうかで、対象者の負担が変わります。

ヤグラの視点 — 修復か再構築か：直して使い続けるという判断が、8か月の説明を必要にした

この事案で同社が選んだのは、バックドアを除去し、システムの改ざん箇所を修正して使い続けるという対応です。2025年12月9日に事象を認識し、翌10日に決済を停止、22日には除去と修正を完了しています。ここまでの初動は速い部類に入ります。

一方で、そこから調査機関の報告完了まで約3か月、報道されるまでにはさらに5か月かかっています。修復を選んだ場合に必要になるのは、どこまで汚染されたかを確定させる作業です。バックドアはすべて見つけたか、データベースの内容は書き換えられていないか、別の裏口は残っていないか。この確認は、やり切ったことを証明しにくい性質を持ちます。バックドアが検出されたという事実は、その難しさをさらに押し上げます。

環境を作り直すという選択もありました。汚染の残存という論点そのものを消せるためです。ただし、稼働中の通販サイトを止めて作り直す判断は、事業の停止期間と直結します。どちらが正しいという話ではなく、修復を選べば「きれいになったこと」を説明する責任が残るという関係にあります。

そして本件では、一部の利用者について不正利用の可能性が確認されています。カード情報がセキュリティコードまで揃って渡ったことの帰結です。この状況では、確認作業が長引くほど対象者は自分のカードを止める判断を先送りにされます。異常が現れるのは注文処理の裏で発生する外部通信で、それはWebサーバのアクセス記録、ファイルの更新履歴、外向きの通信ログと複数の場所に散らばります。人が毎日見続けるのは現実的ではないため、横断的に集めて機械に拾わせる形にしておく必要があります（→ ヤグラ AI SOC）。

今後の対応

• 悪用された脆弱性と、改ざんが行われた時期の特定
• カードの不正利用の発生状況と、補償方針
• 再発防止策の公表内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-18	2026年7月29日のカード会社による案内および2026年8月18日の報道をもとに記事を公開