GALLERY・2のECサイトへの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月23日、GALLERY・2 と親会社のゼビオホールディングスは、オンラインショップの基盤「Commerble（コマーブル）」への第三者の不正アクセスで、客の個人情報が外部に漏えいしたおそれがあると公表しました（GALLERY・2・ゼビオHDの2026年10月23日の発表）。 基盤の運営会社側のシステム管理用の認証情報が10月16日に不正に取られ、17日に管理用のクラウド環境を経由して顧客データベースに入られ、顧客の情報を表示する操作が行われたとしています。10月18日には支払いの入力画面の改ざんが確かめられ、同日 EC サイトを止めました。 対象は、購入者の氏名・メールアドレス最大128,311件、住所・配送先・電話番号最大121,654件、注文確認メールの本文と送信先最大157,581件（重なりあり）です。外部への持ち出しは確認されておらず、カード番号とパスワードは含まれないとしています。原因は、システムのアクセス制限の設定の不備などが悪用されたと報告を受けたとしています。

会社の対応

• 10月18日に EC サイトを停止。安全を確かめたうえで、段階的な再開を検討するとしている
• 基盤の運営会社から、管理用の機能の外部公開の停止・認証情報の変更・アクセス制限の是正・権限の見直しを行ったと報告を受けた
• 10月21日に個人情報保護委員会へ報告
• 対象の客への個別の通知と注意の呼びかけを準備し、メールの問い合わせ窓口を設けた
• グループで外部のクラウドサービスの管理・監督の体制を点検するとしている

この事例から中小企業が学べること

• EC サイトの委託先の管理用の入り口に、IP アドレスの制限と多要素認証が付いているかを確かめる
• 支払いの入力画面が書き換えられていないかを、委託先と決まった間隔で確かめる
• 注文確認メールなどの履歴を、要る期間を過ぎたら消す
• 委託先の事故で自社のサイトを止める手順と、客への知らせ方を決めておく