GALLERY・2のECサイトに不正アクセス｜購入者最大約12.8万件が漏えいのおそれ

ゼビオホールディングスの子会社で、スポーツ用品店を営む株式会社GALLERY・2は2026年10月23日、使っていた EC サイトの基盤「Commerble（コマーブル）」への第三者の不正アクセスで、客の個人情報が外部に漏えいしたおそれがあると公表しました（GALLERY・2・ゼビオHDの2026年10月23日の発表）。 購入者の情報は最大約12.8万件で、EC サイトの支払いの入力画面が書き換えられていたことも確かめられ、10月18日にサイトを止めています。 GALLERY・2 のオンラインショップで買い物をした人に関係します。

公表された内容

• 何が起きたか：基盤を運営する Commerble の親会社からの報告によると、2026年10月16日に Commerble 側のシステム管理用の認証情報が不正に取られ、17日に管理用のクラウド環境を経由して GALLERY・2 の顧客データベースに入られ、顧客の情報を表示する操作が行われたとしています
• 画面の改ざん：10月18日に EC サイトの支払いの入力画面の改ざんを確かめ、同日サイトを止めたとしています
• 情報の種類と件数（2026年10月23日の発表。区分の間に重なりあり）
  • 購入者の氏名・メールアドレス：最大128,311件
  • 購入者の住所・配送先の住所・電話番号：最大121,654件
  • 注文確認メールの本文と送信先のアドレス：最大157,581件
• 対象の期間：2019年4月2日から2026年10月18日までの利用者としています（Commerble の発表）
• 持ち出し：表示の操作は確かめられたものの、外部へ持ち出された事実は確認されていないとしています
• 含まれないもの：クレジットカード番号とログインのパスワードは含まれないとしています
• 原因：システムのアクセス制限の設定の不備などが悪用されたと報告を受けたとしています。具体的な侵入の原因と流出の範囲は調査が続いています
• 二次被害：不正利用や金銭の被害は確認されていないとしています

経緯

• 2026年10月16日：Commerble 側のシステム管理用の認証情報が不正に取られる
• 2026年10月17日：管理用のクラウド環境を経由して、顧客データベースへの不正アクセスと表示の操作
• 2026年10月18日：支払いの入力画面の改ざんを確かめ、EC サイトを停止。Commerble も同日に不正アクセスを検知
• 2026年10月21日：GALLERY・2 が個人情報保護委員会へ報告
• 2026年10月23日：GALLERY・2・ゼビオHD・Commerble がそれぞれ公表

中小企業が今日からできること

• EC サイトの制作・運用会社の管理用の入り口を確かめる：管理画面や管理用のクラウド環境がだれでもインターネットから開ける状態になっていないか、IP アドレスの制限と多要素認証が付いているかを委託先に聞く
• 支払いの画面が書き換えられていないかを定期的に見る：カード番号を入れる画面のソースや読み込む外部のスクリプトが変わっていないかを、委託先と一緒に決まった間隔で確かめる
• 注文確認メールの履歴を長く残さない：送ったメールの本文には住所や注文の内容が入る。EC の基盤に何年分残っているかを確かめ、要らない分は消す
• 委託先の事故で自社のサイトを止める手順を決めておく：止める判断をする人、客への知らせ方、個人情報保護委員会への報告の担当を決めておく
• 自社を名乗る偽のメールに注意を呼びかける：漏れたメールアドレスや注文の内容を使った偽のメールに備えて、客に知らせる文面を用意しておく