【インシデント速報】2026年8月25日｜いまでや注文情報流出でフィッシング悪用・楽天ブックス関係会社3.3万件・シーイーシーDCランサム
secure【インシデント速報】2026年8月25日｜いまでや注文情報流出でフィッシング悪用・楽天ブックス関係会社3.3万件・シーイーシーDCランサム
今日の3件は「流出した注文情報が、そのまま本物そっくりのフィッシングメールに使われる」という中小EC最大の悪夢が現実になった事例を含みます。氏名・注文番号・金額が正確に書かれた偽メールは、顧客がまず疑いません。自社の受注データを誰が・どこまで持ち出せる状態か、今日中に見直してください。
いまでや — 顧客の注文情報が外部流出の可能性、本物そっくりのフィッシングメールに悪用
酒類専門店の株式会社いまでやは2026年8月21日、同社が管理する顧客の注文情報が外部の第三者へ流出した可能性が高いと公表しました（第1報）。きっかけは8月20日夜、「いまでやを装った不審なメールが届いた」という問い合わせが顧客から約30件寄せられたことでした。
問題は、その偽メールに受信者本人の氏名・注文番号・注文金額が正確に記載されていた点です。無作為に送られたものではなく、同社が保有する注文情報が第三者に取得されたうえで使われている可能性が高いと判断されました。同社は事実確定を待たずに現時点の内容を公表し、外部の専門調査機関を交えて侵入経路や流出範囲を調査中としています。
中小企業への影響
これは規模を問わずすべてのEC・受注業務にとって現実的な脅威です。カード情報が無事でも、氏名と注文内容が漏れれば、それを使った「注文確認」「配送トラブル」を装う精巧なフィッシングが顧客に届きます。顧客は本物と区別できず、被害が自社ブランドへの不信に直結します。流出の一次発見が「顧客からの問い合わせ」だった点も重要で、社内監視だけでは気づけないことを示しています。
推奨対応
- 受注データ（氏名・注文番号・金額）にアクセスできる端末・アカウント・外部連携を洗い出し、不要な保持・エクスポート権限を削る
- 「当社を装う不審メールに注意」の告知を自社サイト・メールで先回りして出し、正規メールの送信ドメインを明示する
- 顧客からの「変なメールが来た」という連絡を受け付ける窓口を決め、フィッシングの兆候を早期に拾える体制にする
楽天ブックスネットワーク — PC端末への不正アクセスで配送先情報3万3,333件が保存されていた
出版取次を手がける楽天ブックスネットワーク株式会社は2026年8月21日、同社で使用する一部のPC端末が第三者による不正アクセスを受けていたと公表しました。検知したのは2026年4月5日で、ただちに当該端末をネットワークから隔離して調査を進めていました。
この端末には、同社の従業員や取引先担当者の情報に加え、「楽天ブックス」の配送業務に関連するユーザー情報が保存されていました。判明したのは2022年5月18〜19日および2023年12月19〜21日の注文データに含まれる配送先情報3万3,333件で、項目は氏名・郵便番号・住所・電話番号。クレジットカード情報などは含まれません。現時点までの調査で、これらの情報が漏えいした事実は確認されていないとしています。
中小企業への影響
注目すべきは、侵害されたのがサーバーではなく「業務用PC端末」で、そこに古い注文データ（2022年・2023年分）が残っていた点です。取次・物流のように他社の顧客データを扱う立場の企業では、業務のたびに手元へダウンロードしたファイルが端末に溜まり続け、侵害時の被害範囲を押し上げます。委託元から預かったデータを自社端末にどれだけ抱えているかは、多くの中小企業が把握できていません。
推奨対応
- 業務用PCに保存されている顧客データ・受領ファイルを棚卸しし、用済みのものは削除、必要なものはアクセス制限のある共有領域へ移す
- 端末の不審な挙動を検知したら即座にネットワークから隔離できるよう、EDR導入と隔離手順を整備する
- 委託元から預かるデータについて、保持期間・保存場所・削除ルールを契約と運用の両面で明確にする
シーイーシー — 東京第二データセンターがランサムウェア被害、侵入経路と種別を特定
システム開発大手のシーイーシー（CEC）は、2026年8月5日午前11時頃に東京第二データセンターで不正アクセスに起因する障害が発生したと公表しました。8月7日にはこの障害がランサムウェア攻撃によるものと確認し、警察への被害報告と個人情報保護委員会への第一報を行っています。現時点までの調査で情報の漏えいは確認されておらず、攻撃を受けた領域は顧客から預かっているシステムやデータとは別の領域だったとしています。
その後、8月21日に同社はランサムウェアの種別と侵入経路を特定したと発表しました。障害を受けたサービスはすでに復旧済みで、第三者専門機関を交えた調査を継続しています。データセンター事業者が攻撃を受けても、顧客データ領域が分離されていたことで被害が限定された防御設計の一例といえます。
中小企業への影響
基幹システムやサーバーをデータセンター・ホスティングに預けている企業は、預け先が攻撃されればサービス停止に巻き込まれます。今回のように顧客データ領域が分離されていれば被害は限定されますが、それは事業者側の設計次第です。「どこに・どのデータを・どんな分離で預けているか」を把握していない企業は、障害発生時に自社への影響を判断できません。
推奨対応
- 利用中のデータセンター・クラウド事業者に、データの分離・バックアップ・インシデント時の通知フローを確認する
- 預け先が停止した場合を想定し、重要データの手元バックアップと復旧手順（RTO/RPO）を整理する
- 委託先の障害を自社が最初に検知できるよう、サービス稼働監視と障害通知の受け取り体制を整える
編集部まとめ
今日の3件は、いずれも「注文情報・顧客データがどこに残っているか」という一点に集約されます。いまでやは流出データが即フィッシングに転用され、楽天ブックス関係会社は業務用PCに数年前の注文データが残存し、シーイーシーは領域分離で被害を封じ込めました。攻撃を完全には防げない前提で、「余計なデータを持たない・端末に溜めない・預け先の分離を確認する」の3点を今日から始めてください。
