ムーンスターに不正アクセス｜通販の客最大59万3千人の情報が漏えいのおそれ

靴メーカーのムーンスターが2026年10月15日、システムサーバへの不正アクセスについて第3報を出し、通販の客の個人情報が漏えいした可能性がある人数を最大59万3千人と公表しました（ムーンスターの発表）。 客から「同社を名乗るメールに過去の注文の内容が書かれていた」と問い合わせがあったことで、情報が盗まれたと判断したとしています。 楽天市場・Yahoo!ショッピング・自社の通販サイトなど8店舗の客が対象です。

公表された内容

• 件数：最大59万3千人（2026年10月15日の第3報）
• 対象の店舗：楽天市場、Yahoo!ショッピング、au PAY マーケットの公式ショップ、MOONSTAR ONLINE STORE、MOONSTAR LIFESTYLE EC STORE、ムーンスター アウトレット、閉店済みの Qoo10 と Amazon の公式ショップ
• 情報の種類：氏名、住所、電話番号、メールアドレス、過去の注文情報
• 漏えいしていない情報：クレジットカード情報と通販サイトのログインのパスワードは、対象のサーバに保存していなかったとしています
• 時期：2026年3月に不正アクセスを認め公表（その時点の調査では漏えいは確認されず）。9月20日ごろの客からの問い合わせで情報の窃取と判断し、調べた結果、5月14日から19日に漏えいした可能性が高いと分かったとしています
• 原因：一部のアクセスで不正なログインと情報の取得が行われた可能性があるとしています。手口・対象のシステム・脆弱性などの詳しい内容は、再発防止と安全のため公表しないとしています
• なりすましメール：同社をかたるフィッシングメールが一部の客に届いていることを確認。漏えいした情報が不特定多数に公開された事実は確認されていないとしています

経緯

• 2026年3月：サーバへの不正アクセスの疑いを公表（第1報）
• 10月2日：第2報。氏名・住所・注文情報などが取られた可能性と、なりすましメールの配信を公表
• 10月15日：第3報。対象を最大59万3千人・8店舗と公表

会社の対応

• 不正アクセスを受けたサーバの外部との接続を切り、パスワードを強制的に変更
• 専門の事業者と技術の調査を行い、脆弱性の対策と侵入に備えた多重の防御を進める
• 個人情報の扱いの社内ルールと運用を見直し、社員の教育を徹底する。個人情報保護委員会へ報告
• 対象の客に順次メールで連絡し、連絡がない場合は対象外としています。問い合わせ先としてカスタマーセンター（電話・メール）を案内しています

中小企業が今日からできること

• モール店の注文データの置き場所を確かめる：楽天市場や Yahoo!ショッピングで売っていても、受注をまとめるために自社のサーバへ注文データを集めている場合がある。そのサーバの場所・管理者・保存期間を確かめる
• 閉店した店の注文データを消す：今回は閉店済みの店の客も対象でした。閉じた店舗や終わったキャンペーンの顧客データが残っていないか確かめる
• 「調べて漏えいなし」で終わらせない：不正アクセスを見つけたら、その後もアクセスの記録を残して見直す。客からの「不審なメールが来た」という問い合わせを、漏えいの手がかりとして担当者に回す決まりを作る
• サーバのパスワードと接続元を見直す：外部から管理画面やサーバへログインできる経路を洗い出し、多要素認証と接続元の制限をかける