【インシデント速報】2026年8月15日｜ショップサーブ波及でデザインフィル顧客情報流出・イノベーションGitHub漏えい6.2万件確定・アンビションDX不正アクセス
secure2026年8月15日（土）速報
文具メーカー・デザインフィルが、利用するEC「ショップサーブ」の侵害に巻き込まれ顧客情報を流出。委託先・利用SaaSの漏えいは「自社の漏えい」になります。イノベーションはGitHubの認証情報漏えいから最大6.2万件超の流出が確定。アンビションDXはファイルサーバーへの不正アクセスを確認。いずれも「自社の外側」に穴があった点が共通します。
本日のインシデント（直近公表分）
デザインフィル（ミドリ／トラベラーズノート）— ショップサーブ経由で顧客情報が流出
- 公表日
- 2026年8月3日（利用元Eストアーは8月1日・2日に公表）
- 被害組織
- 株式会社デザインフィル（文具ブランド「ミドリ」「トラベラーズノート」等）
- 原因
- 利用するEC構築サービス「ショップサーブ」（Eストアー運営）が不正アクセスを受け、2026年5月21日〜8月1日に第三者がサーバー上で不正プログラムを実行、購入者情報が外部送信された
- 被害規模
- ショップサーブ全体で購入者情報 最大 延べ885万3,839件が対象。デザインフィルの自社EC利用者も含まれる
- 流出内容
- 氏名・住所・電話番号・メールアドレス・勤務先など。会員ID・パスワード、クレジットカード情報の一部（カード名義／番号の先頭6桁・下4桁／有効期限）。セキュリティコードは対象外
デザインフィル自身が攻撃されたわけではありません。同社が販売に使っていた外部のECプラットフォーム「ショップサーブ」が侵害され、そこに登録された自社顧客の情報が流出しました。ショップサーブを利用する多数の事業者が同様に巻き込まれており、デザインフィルはその一社として自社サイト利用者への告知を出した形です。
カード番号の先頭6桁・下4桁と有効期限が漏れると、完全な番号やセキュリティコードが無くても、実在する取引を装ったフィッシングの精度が上がります。顧客への注意喚起が必要です。
中小企業への影響
外部のECカート・予約・決済SaaSを使う企業は、そのサービスが侵害されると自社は無関係でも自社顧客の情報が漏れます。「委託しているから大丈夫」ではなく、利用サービスの障害・漏えい公表を自社で追い、顧客への告知まで自社の責任として動く体制が要ります。
推奨対応
- 自社が使うEC・決済・予約SaaSの「お知らせ／障害情報」ページを確認し、今回の対象サービスを利用していないか今日中に洗い出す
- 対象サービスの利用者には、カード情報再登録を促す不審メールへの注意を告知する。管理画面のパスワードを変更し、使い回していれば他サービスも変更する
- 外部サービスの選定基準に「漏えい時の通知フロー」と「保存するカード情報の範囲」を加える
イノベーション（「ITトレンド」運営）— GitHub認証情報漏えいから62,691名分の流出が確定
- 公表日
- 2026年8月4日（初報）／8月7日（確定報）
- 被害組織
- 株式会社イノベーション（BtoB比較サイト「ITトレンド」などを運営・東証グロース上場）
- 原因
- 開発に使うGitHubの認証情報が漏えいし第三者に不正アクセスされた。ソースコードへの認証情報のハードコーディングと、リポジトリへの個人情報保存という独立した2つの問題が重なった
- 被害規模
- 確定報で個人データ62,691名分の漏えいが確定（氏名62,631件・メールアドレス62,691件・電話番号506件）
- 現状
- 本番データベースへの不正アクセスや本番環境からの流出は確認されておらず、漏えいはGitHubリポジトリ内の情報に限定されると説明
攻撃の起点は、GitHub上に置かれていた認証情報の漏えいです。プログラム内に直接書き込まれた認証情報が第三者の手に渡り、リポジトリへ不正アクセスされました。さらに本来コード管理の場に置くべきでない個人情報がリポジトリに保存されていたため、そこから6万件超の流出につながりました。
高度な攻撃手法というより、開発現場でよくある「秘密情報と個人情報の置き場所」の管理不備が実害になった事例です。外部委託で開発している中小企業にも直結します。
中小企業への影響
自社サイトやアプリの開発を外注している場合、開発会社のGitHubやクラウドの管理状態がそのまま自社顧客情報のリスクになります。「テスト用データ」として本物の顧客情報を開発環境やリポジトリに置いたまま、という状態は珍しくありません。委託先の情報管理を確認すべきポイントです。
推奨対応
- 自社・委託先のソースコードに、パスワードやAPIキーなどの認証情報が直接書き込まれていないか確認する（秘密情報は環境変数やシークレット管理へ）
- GitHub等のリポジトリに個人情報や顧客データが保存されていないか棚卸しする。開発・テスト環境に本番の個人情報を使わない
- 委託先との契約・確認事項に「認証情報の管理方法」「リポジトリのアクセス権限」「個人情報の取り扱い」を明記する
アンビションDXホールディングス — ファイルサーバーに不正アクセス
- 公表日
- 2026年8月6日
- 被害組織
- 株式会社アンビションDXホールディングス（不動産関連・東証グロース上場〔証券コード3300〕）
- 概要
- 同社のファイルサーバーで第三者による不正アクセスを確認したと公表。流出範囲などの詳細は調査中（本稿執筆時点）
ファイルサーバーは、部門をまたいで文書や顧客資料を共有する社内の要です。攻撃者がここに到達すると、業務書類・契約書・個人情報が一度に手に入る「金庫」になります。本件は詳細が調査中ですが、上場企業のファイルサーバーが侵害された事実そのものが中小企業への警告です。
中小企業への影響
NASや共有フォルダに「とりあえず全部置く」運用は多く、アクセス権が全社員フルアクセスのまま放置されがちです。侵入されれば被害が一気に広がります。ファイルサーバーは「入られる前提」で権限を絞り、バックアップを分離しておく必要があります。
推奨対応
- 共有フォルダ・NASのアクセス権を見直し、担当者以外は見られない状態に絞る（全社員フルアクセスをやめる）
- ファイルサーバーへの外部アクセス経路（VPN・リモートデスクトップ）に多要素認証を設定する
- バックアップをネットワークから切り離した場所（オフライン／別回線）にも保持し、復旧できることを定期的に確認する
編集部まとめ
今日の3件に共通するのは「自社の外側」に穴があった点です。利用するECサービス（デザインフィル）、開発に使うGitHub（イノベーション）、社内の共有サーバー（アンビションDX）。守るべき範囲は自社サーバーだけではありません。使っている外部サービスと委託先、そして社内のファイル置き場まで含めて、権限・認証・漏えい時の連絡フローを今週中に一度点検してください。
