エディオンの不正アクセス 第2報｜決済画面の改ざんでカード情報も

エディオンは2026年11月9日、ECサイトへの不正アクセスについて第2報を出し、決済に関わる処理に第三者が不正なプログラムを組み込む改ざんがあったと公表しました。11月10日には同じ内容を適時開示でも公表しています。 パソコンから決済の画面に新しくカード情報を入力した分が、最大556回分、第三者に漏えいした可能性があります。第1報で「含まれていない」としていたカード情報とログインのパスワードも、一部が含まれていたと訂正しました（エディオンの2026年11月9日・10日の発表）。 11月4日19時以降にパソコンからエディオンのECサイトでカード情報を入力した人に関係します。ECサイトは11月7日22時から止まっています。

公表された内容

• 決済画面の改ざん：パソコン向けの決済の入力処理に不正なプログラムが組み込まれ、11月4日19時過ぎから動いていた。この間にパソコンから新しく入力されたカード番号・有効期限・名義・セキュリティコードが、最大556回分漏えいした可能性がある。スマートフォンからの入力は対象外だったとしています
• 第1報の訂正：ログの領域への不正アクセスで漏えいした可能性がある情報に、次のものが含まれていた
  • 注文のときのエラーのログに残っていたカード情報：最大5件（カード番号・有効期限・名義・セキュリティコード）
  • エディオンギフトカードの番号・PIN・使った記録：5,360枚
  • ログインのIDとパスワード：最大1,141名分
• 第1報の分：氏名・住所・電話番号などの個人情報が最大13,685名分（第1報のとおり）
• 原因：第1報ではシステムの脆弱性を突いた不正アクセスとしています。改ざんがどこから行われたかは公表されていません
• 業績への影響：軽微としています

経緯

• 2026年11月4日19時過ぎ：決済の入力処理に組み込まれた不正なプログラムが動き始める（第2報で判明）
• 2026年11月5日18時30分ごろ：ログファイルの領域への不正アクセスを確認
• 2026年11月6日：第1報を公表（会員の情報が最大4,131名、注文の情報が最大9,554名）
• 2026年11月7日22時：新しい不正アクセスの痕跡が見つかり、ECサイトとアプリを緊急停止
• 2026年11月8日21時10分：エディオン公式アプリ・エディオンスマートアプリの会員証とクーポンの表示などに限って再開
• 2026年11月9日：第2報を公表（決済画面の改ざん、第1報の訂正）
• 2026年11月10日：第1報・第2報の内容を適時開示で公表

会社の対応

• 対象の期間のカードについて、カード会社に不正利用の監視を強めるよう頼んだ
• ギフトカードは、番号とPINだけで使えるのはECサイトに限られ、そのECサイトを止めているため不正利用はできない状態としています。今後の扱いは検討中
• ログインは新しい端末で2段階の認証が要るため、すぐに不正利用される状況ではないとしたうえで、対象の1,141名にパスワードの変更を頼むメールを送るとしています
• ECサイトの再開は未定。個人情報保護委員会と警察への追加の報告を準備しているとしています

中小企業が今日からできること

• 決済の画面のファイルが書き換えられていないかを確かめる：カード情報を持たない仕組み（非保持化）でも、入力の画面に不正なプログラムを入れられると、入力した瞬間に抜き取られます。決済の画面に読み込むファイルの一覧と、最後に変わった日時を見られるようにする
• 書き換えに気づく仕組みを入れる：サイトのファイルの変化を知らせる監視を、制作会社やサーバーの会社と相談して入れる
• ログにカード情報やパスワードを書き出さない：今回はエラーのときに入力した内容がログに残っていました。エラーのログに何が書かれるかを確かめる
• ギフトカードやポイントの番号も大事な情報として扱う：番号とPINだけで使えるものは、カード情報と同じように守る
• 「含まれていない」と言う前に調べきる：第1報で否定した情報が第2報で見つかりました。公表するときは「現時点で確認されていない」と書き、調査の続きの予定も添える