今日の3本は「使っているサービスやツールの管理画面」が狙われた事例です。全日空商事の法人向けデジタルギフト「選べるe-GIFT」の管理システムが不正アクセスを受け、契約企業の担当者情報が閲覧されました。ペット用品通販のチャーム本店では約23万件の顧客情報に漏えいのおそれが生じています。加えて、社内で使われるBIツールMetabaseに、認証なしで管理者権限を奪われる深刻な脆弱性（CVE-2026-72898、CVSS 10.0）が公表され、すでに悪用も確認されています。自社が契約するギフトサービス・ECの利用状況と、社内で動かしているMetabaseを今日のうちに点検してください。
NEWS 01
全日空商事 ｜ 2026年8月24日発表（第1報）
全日空商事「選べるe-GIFT」に不正アクセス、契約企業担当者の情報が閲覧・一部ギフトが不正交換
全日空商事は2026年8月24日、法人向けデジタルギフトサービス「選べるe-GIFT」の管理運用システムが第三者による不正アクセスを受けたと発表しました。不正アクセスは8月11日から12日にかけて行われ、その後の調査で、一部の契約企業担当者について氏名やメールアドレスの一部などが記載されたページが数分間にわたって閲覧されていたことが判明しました。あわせて、一部の「選べるe-GIFT」が第三者によって不正に交換された事象も確認されています。
「選べるe-GIFT」は、企業がキャンペーン景品や謝礼として配布するデジタルギフトサービスで、約300社が導入していると報じられています。同社は、対象となる契約企業および担当者に対して8月24日から順次個別に連絡するとしており、現時点の発表は第1報の位置づけです。被害範囲や侵入経路の詳細は引き続き調査中とされています。
▌中小企業への影響
デジタルギフトは、アンケート謝礼や取引先への少額の返礼として中小企業でも利用が広がっています。自社が発行側・受取側のどちらであっても、管理画面に登録した担当者の氏名・メールアドレスが漏えいすれば、その情報を使った「ギフト事務局を装う」フィッシングや、交換コードを詐取する偽の案内が届くおそれがあります。委託先のギフトサービスで起きた事故が、自社の担当者を狙う攻撃の入口になり得ます。
▌推奨対応
- 「選べるe-GIFT」を利用している場合は、全日空商事からの個別連絡の有無を確認し、対象なら指示に従う
- ギフトサービスの管理画面にログインする担当者のパスワードを変更し、可能なら多要素認証を有効化する
- 「ギフト事務局」「ポイント交換」などを名乗るメールは、リンクを踏まず公式窓口に直接確認する
- 未交換のギフトコードがある場合は残高・交換履歴を点検し、不審な交換がないか確認する
NEWS 02
チャーム ｜ 2026年8月13日公表（第2報 8月20日）
ペット用品通販「チャーム本店」に不正アクセス、約23万件の顧客情報に漏えいのおそれ
ペット用品通販大手のチャームは2026年8月13日、運営するECサイト「チャーム本店」への不正アクセスを公表しました。8月11日に第三者による不正アクセスを受けたことが判明し、顧客情報約23万件が外部に流出したおそれがあるとしています。漏えいのおそれがある情報には、氏名、住所、電話番号、FAX番号、生年月日、性別、メールアドレス、所持ポイント数、顧客対応に関する社内記録、およびハッシュ化されたパスワードが含まれます。クレジットカード情報は対象に含まれていないとしています。
対象となるのは、2026年7月1日から8月12日の期間に「チャーム本店」を利用した顧客のお届け先情報などです。同社は「チャーム本店」の受注・出荷を一時停止して調査と復旧を進めており、8月20日には第2報を公表しています。外部への流出の有無や侵入経路は調査中とされています。
▌中小企業への影響
自社ECサイトを運営する中小企業にとって、他人事ではない事例です。カード情報が対象外でも、氏名・住所・電話番号・生年月日といった組み合わせが流出すれば、なりすまし注文や標的型フィッシングに悪用されます。ハッシュ化パスワードも、弱いハッシュや使い回しがあれば解読・悪用の対象になります。受注・出荷の停止は、被害拡大を防ぐ一方で売上に直結する重い判断であり、平時からの侵入検知と復旧手順の整備が問われます。
▌推奨対応
- チャーム本店を利用したことがあり、他サービスとパスワードを使い回している場合は、該当サービスのパスワードを変更する
- 自社でECを運営している場合は、管理画面・CMS・プラグインの脆弱性とアクセス権限を点検する
- 会員パスワードは強いハッシュ（ソルト付き）で保存されているか、保存仕様を確認する
- 不正注文・不審ログインを検知する仕組みと、受注停止を含む緊急時の対応手順を事前に決めておく
NEWS 03
JPCERT/CC（at260023）／Metabase ｜ 2026年8月14日注意喚起
BIツールMetabaseに認証不要のSQLインジェクション脆弱性（CVE-2026-72898、CVSS 10.0）、悪用確認済み
JPCERT/CCは2026年8月14日、オープンソースのBI（ビジネスインテリジェンス）ツールMetabaseにおけるSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起を公表しました。この脆弱性はCVSS基本値10.0（緊急）と評価され、認証を経ていないリモートの攻撃者が、パスワードリセット用のエンドポイント（POST /api/session/reset_password）を通じて任意のSQLを送り込めるものです。悪用されると、Metabaseの管理者権限の奪取、接続先データベースの認証情報の窃取、参照可能なデータの読み取り・持ち出しに至るおそれがあります。
Metabaseは2026年8月にセキュリティアドバイザリを公開し、修正版を提供しています。JPCERT/CCによると実証コード（PoC）がすでに公開されており、Metabase社も実環境での悪用を確認したと公表しています。インターネットに公開された自己ホスト型（セルフホスト）のインスタンスが主な標的とされ、該当バージョンを利用している組織は速やかな更新が求められます。
▌中小企業への影響
Metabaseは、売上・顧客データを可視化するダッシュボードとして中小企業でも導入例が増えているツールです。認証不要で管理者権限を奪われると、Metabaseに接続している基幹データベースの認証情報ごと盗まれ、顧客情報や売上データが丸ごと持ち出される最悪のケースにつながります。社内向けと思って公開範囲を絞らずインターネットに露出させているインスタンスは、特に危険です。
▌推奨対応
- 社内でMetabaseを使用しているか（自己ホスト／クラウド版のどちらか）を確認し、バージョンを点検する
- 該当バージョンであれば、Metabaseが提供する修正版へ速やかに更新する
- Metabaseをインターネットに直接公開している場合は、VPNやIP制限の内側に移し、公開範囲を最小化する
- 接続先データベースの認証情報を変更し、不審なクエリ実行やデータ持ち出しの痕跡がないかログを確認する
編集部まとめ
今日の3本は、いずれも「管理画面やツールの入口」が突かれた事例です。全日空商事は委託先ギフトサービスの管理システム、チャーム本店は自社ECの顧客データ、Metabaseは社内BIツールの認証不要脆弱性——攻撃者は、業務で日常的に使われている入口を狙っています。
まずは、自社が契約している外部サービス（ギフト・SaaS）の管理者アカウントに多要素認証がかかっているかを確認し、自社ECや社内ツールの脆弱性・公開範囲を点検してください。「便利だから公開している」「社内だけだから大丈夫」という思い込みが、そのまま侵入口になります。使っているものを洗い出し、公開範囲と認証を絞り込むことが、今日の3本すべてに効きます。
参考情報
- 全日空商事「『選べるe-GIFT』に対する不正アクセスについて（第1報）」（2026年8月24日）
- チャーム「不正アクセスによるシステム障害発生に関するお知らせとお詫び」（2026年8月13日）／同（第2報）（2026年8月20日）
- JPCERT/CC「MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起」（at260023、2026年8月14日）／Metabaseセキュリティアドバイザリ
secure