【インシデント速報】2026年8月3日｜インク革命2.4万件流出・八王子学園ランサム被害・飲食店で従業員カードスキミング
secure2026年8月3日（月）速報
クレジットカード情報の流出が、EC決済ページの改ざんと「店舗従業員による手作業のスキミング」という異なる経路で同時に報じられました。ランサムウェア被害も継続中です。ECの決済方式、店舗でのカードの扱い方、サーバのバックアップを今週中に点検しましょう。
本日のインシデント（直近3日以内に公表・詳報）
シー・コネクト「インク革命.COM」—決済ページ改ざんでクレカ情報2万4千件超が流出のおそれ
- 公表日
- 2026年7月30日前後（発覚は2025年12月9日）
- 被害組織
- 株式会社シー・コネクト（インク通販「インク革命.COM」運営）
- 被害対象
- 2025年4月8日〜12月10日に情報入力した顧客2万4,166人
- 流出内容
- 氏名・電話番号・生年月日・メールアドレス・ハッシュ化パスワード、クレジットカードの名義・番号・有効期限・セキュリティコード
- 原因
- システムの脆弱性を突かれた決済アプリケーションの改ざん（Webスキミング）
被害の詳細
一部システムの脆弱性を突かれ、決済アプリケーションが改ざんされていました。2025年12月9日にカード会社からの指摘で発覚し、翌10日に決済を停止、11日に個人情報保護委員会へ報告。入力されたクレジットカードのセキュリティコードまで流出のおそれがあり、約8カ月にわたり流出が続いていた可能性があります。入力データをそのままカード会社へ通す「非通過型」への移行が不十分だったことがうかがえます。
中小企業への影響・教訓
- ECを自社運営する中小企業に最も直結する事例です。決済ページ改ざんは見た目が変わらず気づきにくいのが特徴です。
- カード会社の指摘で初めて発覚するケースが大半で、発覚時には既に長期間にわたり流出しています。
推奨対応
- カード情報を自社サーバで保持・中継しない「リンク型／トークン決済」へ切り替える
- 決済ページのファイル改ざん検知（FIM）と、外部読み込みスクリプトの監視を導入する
- ECプラットフォーム・プラグイン・カートを最新に保ち、放置された旧環境を廃止する
八王子学園（八王子中学校・高校）—サーバでランサムウェア被害、情報流出の有無を調査中
- 公表日
- 2026年7月31日
- 被害組織
- 学校法人八王子学園（八王子中学校・高等学校）
- 被害対象
- 情報流出の有無・規模は調査中（未公表）。代表メールアドレスが使用不可に
- 原因
- 第三者によるサイバー攻撃（一部サーバでランサムウェア被害）
被害の詳細
第三者によるサイバー攻撃を受け、一部サーバでランサムウェアによる被害が発生しました。攻撃の影響で同学園の代表メールアドレスが使用できない状態になっています。捜査機関をはじめとする外部協力のもと、原因や情報流出の有無を含めた被害状況の確認と復旧を進めています。学校法人であっても、生徒・保護者・教職員の個人情報を多く抱える組織が標的になっています。
中小企業への影響・教訓
- 従業員数の少ない組織でもランサムウェアの標的になります。
- 代表メールが使えなくなると取引先・顧客への連絡手段が断たれ、初動対応そのものが滞ります。
推奨対応
- バックアップをネットワークから隔離（オフライン／イミュータブル保管）し、復元テストを定期実施する
- 被害時の代替連絡手段（別ドメインのメール・電話・チャット）をあらかじめ決めておく
- サーバ・VPN機器のOSと管理製品を棚卸しし、未適用パッチを今週中に確認する
YOPU「ヨプの王豚塩焼 赤坂店」—従業員が顧客のクレカをスキミング、284人分が流出のおそれ
- 公表日
- 2026年7月31日（発覚は2024年10月7日）
- 被害組織
- 株式会社YOPU（サムギョプサル専門店「ヨプの王豚塩焼 赤坂店」）
- 被害対象
- 2024年7月1日〜10月7日に同店で決済した顧客284人
- 流出内容
- クレジットカードの名義・番号・有効期限・セキュリティコードなど
- 原因
- 従業員による内部不正（機械を用いた顧客カードのスキミング）
被害の詳細
2024年10月7日にカード会社から情報流出の可能性について連絡を受けて調査し、翌8日に当時勤務していた従業員が機械で顧客のクレジットカードをスキミングしていたことが判明しました。警察へ刑事事件としての捜査を要請し、9日に個人情報保護委員会へ報告のうえ、当該従業員を解雇。再発防止として、決済時にカードを預からず顧客自身が決済端末に差し込む運用へ改めるとしています。
中小企業への影響・教訓
- システムの脆弱性ではなく「内部不正」による流出です。対面でカードを扱う飲食・小売・サービス業に共通するリスクです。
- カードを一度預かって奥の端末で処理する運用はスキミングの温床になり、技術的防御だけでは防げません。
推奨対応
- カードを従業員が預からず、顧客自身が決済端末に差し込む・かざす運用に統一する
- レジ・決済エリアの死角をなくし、防犯カメラの設置と私物機器の持ち込み制限を徹底する
- カード情報を扱う従業員の採用時確認・権限管理・退職時の対応手順を整備する
編集部まとめ
今回はクレジットカード情報の流出が「EC決済ページの改ざん」と「店舗従業員による手作業のスキミング」という正反対の経路で起きました。前者は決済方式の見直しとページ改ざん監視、後者は業務手順と人の管理が鍵になります。加えてランサムウェアへの備え（隔離バックアップ）も欠かせません。自社がカードやデータをどこで・誰が扱っているかを一度洗い出すことが出発点です。
