酒販の「いまでや」、注文情報が外部に流出した可能性 — 氏名・注文番号・注文金額が正確に入ったフィッシングメールが約30件報告され、2名がカード情報を入力
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年8月20日夜に顧客からの問い合わせが始まる。流出の時期は公表されていない |
| 公表日 | 2026年8月21日19時35分（第1報）。報道は2026年9月11日 |
| 二次被害 | フィッシングサイトでクレジットカード情報を入力した顧客2名を確認。同社を装った不審なメールについて、顧客から約30件の問い合わせ |
| 対象組織・業界 | 株式会社いまでや（酒類の販売。オンラインストアのほか千葉本店、GINZA SIX、錦糸町PARCOなどの実店舗を運営／小売・EC） |
| 影響件数 | 公表されていない。流出した可能性がある情報は氏名、メールアドレス、注文番号、注文金額。対象はオンラインストアの利用者および実店舗の会員 |
| 攻撃手法 | 公表されていない。同社が利用するシステムおよびスマレジ、クロスモールへの不正アクセスの可能性を含めて調査中 |
| 情報源 | 株式会社いまでや「お客様情報の外部流出の可能性に関するお詫びとお知らせ（第1報）」（2026年8月21日）、ScanNetSecurity（2026年9月11日） |
酒類の販売を手がける株式会社いまでやは2026年8月21日、同社が管理する顧客の注文情報が外部の第三者へ流出した可能性が高いと公表しました。
発覚の端緒は顧客からの連絡です。2026年8月20日の夜から、同社を装った不審なメールを受け取ったという問い合わせが約30件寄せられました。それらのメールには、受信した本人の氏名、注文番号、注文金額が正確に記載されていました。同社はこれを受けて、無作為に送信されたものではなく、同社が保有する注文情報が第三者に取得された可能性が高いと判断しています。
フィッシングサイトでクレジットカード情報を入力した顧客2名を確認しています。
流出した可能性がある情報は、氏名、メールアドレス、注文番号、注文金額です。対象はオンラインストアの利用者と、千葉本店、GINZA SIX、錦糸町PARCOなどの実店舗の会員です。件数は公表されていません。
原因は現時点で特定できていないとしています。同社が利用するシステムおよびスマレジ、クロスモールへの不正アクセスの可能性を含め、外部の専門調査機関とともに調査を進めています。
対応として、オンラインストアの一時停止、システム管理権限の縮小と全管理者パスワードの変更、二段階認証の設定、外部システムとのデータ連携の停止を実施しました。あわせて、利用しているシステムの提供事業者へ事象を共有して調査を依頼し、顧客への注意喚起メールの送信と、フィッシングサイトの停止に向けた関係機関への通報を行っています。
- 流出の時期: 公表されていない
- 2026年8月20日夜: 同社を装った不審なメールを受け取ったという問い合わせが顧客から寄せられ始める（約30件）
- 2026年8月20日〜21日: メールに受信者本人の氏名・注文番号・注文金額が正確に記載されていたことから、注文情報が第三者に取得された可能性が高いと判断
- 2026年8月21日19時35分: 第1報を公表。オンラインストアを一時停止し、外部システムとのデータ連携を停止
- 2026年9月11日: 報道により広く伝えられる
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 顧客からの問い合わせを、検知の入口として扱えるようにする
Section titled “1. 顧客からの問い合わせを、検知の入口として扱えるようにする”今回、流出が疑われたきっかけは顧客からの約30件の問い合わせでした。内容を照らし合わせて初めて、無作為なメールではないと判断できています。問い合わせ窓口に届いた「不審なメールが来た」という連絡が、担当者の手元で個別対応として終わらず、まとまった件数として見える形になっているかどうかで、気づける早さが変わります。
2. 外部サービスとの連携を、調査対象として最初から一覧にしておく
Section titled “2. 外部サービスとの連携を、調査対象として最初から一覧にしておく”同社は調査対象に、自社システムだけでなくスマレジとクロスモールを挙げています。顧客の注文情報は、自社のデータベースの中だけにあるとは限りません。どのサービスにどの項目が渡っていて、連携を止めたときに何が動かなくなるのか。事故が起きてから洗い出すと、その時間がそのまま被害の時間になります。
3. 実在するデータが入ったメールを前提に、顧客へ注意喚起する
Section titled “3. 実在するデータが入ったメールを前提に、顧客へ注意喚起する”今回のフィッシングメールには、本人の注文番号と注文金額が入っていました。「心当たりのないメールに注意」という一般的な呼びかけでは、この形には届きません。カード情報や認証情報をメールのリンク先で入力させることは自社では一切ないと、具体的に示す必要があります。
ヤグラの視点 — 気づいたのは自社ではなく、顧客だった
Section titled “ヤグラの視点 — 気づいたのは自社ではなく、顧客だった”流出そのものは、誰にも見つけられていません。見つかったのは流出した情報が使われた後です。約30件の問い合わせが集まって初めて、注文情報が外に出ていると分かりました。逆に言えば、攻撃者がフィッシングメールを送らなければ、今も気づいていない可能性があります。
しかもこの事案は、どこを調べればよいかも決まっていません。同社が調査対象に挙げているのは、自社システムに加えてスマレジとクロスモールです。顧客の注文情報は、ECの基盤、店舗のPOS、在庫と受注の管理と、複数のサービスにまたがって流れています。記録もそれぞれのサービスの中に、別々の形で残ります。
これを人手で毎日突き合わせるのは、人員の問題として成り立ちません。自社の分だけでも24時間分のログをすべて読む担当は置けず、まして連携先まで含めた横断の確認は、事故が起きてから外部の調査機関に頼む形になります。散らばった記録を1か所に集めてAIが常時見る、検知から初動までを数週間ではなく数分の単位に引き下げる。顧客からの問い合わせより先に自社が気づけるかどうかは、この層があるかどうかで決まります（→ ヤグラ AI SOC）。
- 流出の原因と、侵入された経路
- 対象となる件数と、流出した情報の範囲の確定
- 流出した時期
- クレジットカード情報を入力した2名への対応と、追加の被害の有無
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-11 | 2026年8月21日の第1報および2026年9月11日の報道をもとに記事を公開 |
