ムーンスターへの不正アクセス｜公表と続報のまとめ

何が起きたか

ムーンスターは2026年3月、サーバへの不正アクセスの疑いを公表しました。その時点の調査では漏えいは確認されていませんでした。 9月20日ごろ、客から「同社を名乗るメールに過去の注文の内容が書かれていた」と問い合わせがあり、情報が盗まれたと判断。10月2日の第2報で、通販の客の氏名・住所・電話番号・メールアドレス・過去の注文情報が取られた可能性と、なりすましメールの配信を公表しました。 10月15日の第3報では、5月14日から19日に漏えいした可能性が高く、対象は楽天市場・Yahoo!ショッピング・自社の通販サイトなど8店舗の客最大59万3千人としています（ムーンスターの発表）。クレジットカード情報とログインのパスワードは対象のサーバに保存していなかったとしています。手口の詳細は再発防止と安全のため公表していません。

会社の対応

• サーバの外部との接続を切り、パスワードを強制的に変更
• 専門の事業者と技術の調査を行い、脆弱性の対策と多重の防御を進める
• 個人情報の扱いの社内ルール・運用の見直しと社員の教育、個人情報保護委員会への報告
• 対象の客に順次メールで連絡し、問い合わせ先としてカスタマーセンター（電話・メール）を案内

この事例から中小企業が学べること

• モールで売っていても、自社のサーバに注文データを集めていれば漏えいの対象になる。その置き場所と管理者を把握する
• 閉店した店舗の顧客データを残さない
• 不正アクセスを見つけたあとも記録を見直し続け、客からの「不審なメール」の問い合わせを漏えいの手がかりとして扱う
• 第1報から続報まで同じページの流れで出すと、客が経緯を追いやすい