【インシデント速報】2026年7月31日｜ANAグループOCS・ナカバヤシ・ヴェレダの自社サイト侵害
secure【インシデント速報】2026年7月31日｜ANAグループOCS・ナカバヤシ・ヴェレダの自社サイト侵害
自社で運営する通販サイト・製品サイトが立て続けに侵害された。攻撃の入口は「自前で持っているWebサーバ」。まず、自社サイトのCMS・プラグイン・決済まわりのバージョンと、問い合わせフォームに顧客情報を溜め込んでいないかを今日確認する。規模の大小を問わず、公開しているサイトはすべて攻撃対象になり得るという前提で点検したい。
OCS（ANAグループ会社）｜海外向け通販サイトがサイバー攻撃を受け個人情報流出の可能性
ANAグループで国際輸送を手がける株式会社OCSは、同社の通販サイト「OCS FAMILY LINK SERVICE」がサイバー攻撃を受け、個人情報が流出した可能性があると公表した。海外で暮らす日本人向けに食品や日用品を届けるサービスで、そのサーバが第三者に侵害されたもの。
公表の経過は段階的だった。7月23日に「システム障害」として第一報を出し、翌24日に第三者による不正アクセスがあったことを追記、28日に情報漏えいの可能性を含めた詳細を公表している。同社は被害拡大の防止に向け、当該サイトのシステムと関連ネットワークを遮断し、安全性が確認できるまでサイトを停止する方針を示した。流出した可能性のある情報の件数は現時点で公表されていない。
中小企業への影響
ポイントは公表の姿勢だ。最初は「システム障害」でも、調査で不正アクセスや情報漏えいが判明したら、隠さず段階的に更新する。海外顧客を抱える場合、連絡手段が国外に及び対応コストが跳ね上がる。越境ECや海外取引がある企業ほど、平時から緊急連絡フローと多言語での告知テンプレートを用意しておく必要がある。段階的な情報開示は、事実確認が済む前でも顧客に「わかっていること・わかっていないこと」を切り分けて伝える姿勢が信頼につながる。
推奨対応
- インシデント公表の3段階（第一報＝事実確認中／続報＝原因判明／最終報＝件数・対応確定）をテンプレート化しておく
- 顧客への個別連絡が必要になった場合の連絡先リストを、平時からエクスポート可能な状態で保管する
- 攻撃を受けたサーバは即座にネットワークから遮断し、証拠保全のため安易な再起動・初期化をしない
ナカバヤシ｜製品紹介サイト「REVEX」が侵害、問い合わせ3,631件が漏えいの可能性
アルバムや手帳、シュレッダーなどを手がけるナカバヤシ（東証スタンダード上場）は、製品紹介サイト「REVEX」の関連サイトが不正アクセスを受けて改ざんされ、意図しない不正な画面が表示される状態になったと公表した。サイト内には問い合わせフォームから寄せられた顧客の個人情報が保存されており、影響を調査している。
経緯は2026年6月30日に顧客からの問い合わせで発覚し、翌7月1日にサイトが侵害を受けた痕跡を確認した。第二報では、問い合わせに関する個人情報3,631件が第三者に閲覧・取得された可能性を完全には否定できないとしている。なお本件は、2025年に同社の「asue」ブランドサイトで発生した不正アクセスとは別の事案である。
中小企業への影響
改ざんは「自社で毎日全ページを見張っているわけではない」ため、顧客からの指摘で初めて気づくことが多い。製品紹介サイトのような更新頻度の低いサイトほど放置されやすく、攻撃者の狙い目になる。問い合わせフォームの入力データをサーバ内に溜め込んでいると、サイト1枚の侵害が個人情報漏えいに直結する。今回のように発覚後に「漏えいを確認した事実はない」から「否定できない」へと調査結果が変わることもあり、初報の内容を過信せず継続して調べる姿勢が問われる。
推奨対応
- 更新の少ない「置きっぱなしサイト」のCMS・プラグイン・テーマを棚卸しし、EOL（サポート終了）のものを撤去または更新する
- 問い合わせフォームの送信データはサーバに残さず、メール転送や外部フォームサービスへ切り出す
- ファイルの改ざん検知（更新日時の監視・整合性チェック）を導入し、深夜など不自然な更新を検知する
ヴェレダ・ジャパン｜公式オンラインショップへの不正アクセスでカード決済を一時停止
自然派化粧品を扱う株式会社ヴェレダ・ジャパンは、同社が運営する「ヴェレダ 公式オンラインショップ」への不正アクセスによるシステム侵害を公表した。個人情報の一部流出が懸念されたため、当該サイトでのクレジットカード決済の取り扱いを一時的に停止している。
同社は事実関係を正確に把握するため外部の専門機関に依頼して調査を進めている。すでにクレジットカードで支払いをした顧客に対しては、身に覚えのない利用履歴がないか確認し、不審な利用があった場合はカード発行会社へ連絡するよう呼びかけている。ECサイトの決済まわりを狙った、いわゆるWebスキミング型の攻撃が疑われる典型的な構図だ。
中小企業への影響
自社ECでカード情報を扱う事業者にとって最悪のシナリオがカード情報の窃取だ。決済ページに不正なスクリプトを埋め込まれると、入力されたカード番号がリアルタイムで抜かれる。侵害の確定前でも、まず決済を止めて被害を広げないという判断が被害者を守る。
推奨対応
- カード情報を自社サーバで保持せず、決済代行（トークン決済・リンク型決済）に移行して非保持化する
- 決済ページに読み込まれる外部スクリプトを定期的に点検し、身に覚えのないJavaScriptの混入を監視する
- 漏えいの疑いが出た時点で、確定を待たずカード決済を停止し、利用者へ注意喚起する判断基準を決めておく
編集部まとめ
今回の3件はいずれも「自社で運営するWebサイト」が入口だ。攻撃者は更新の止まった製品サイトや、カード情報が流れるECの決済ページを狙う。自社のドメインで動いているサイトをすべて棚卸しし、使っていないもの・古いものを今日撤去することが、最も費用対効果の高い防御になる。加えて、フォームや決済で集めた個人情報を「サーバに残さない」設計に切り替えれば、万一侵害されても漏えいの被害範囲を最小化できる。侵害の検知は顧客からの指摘が最初になりがちなので、改ざん検知とログ監視を仕込み、自社で先に気づける状態を作っておきたい。
