はじめに
家電量販店のエディオンが、自社ECサイトへの不正アクセスについて、2026年11月6日に第1報、11月9日に第2報を公表しました。11月10日には適時開示も行い、日本経済新聞なども大きく報じています。
この件で注目したいのは、2つの点です。1つは、第1報で「含まれていない」としていたクレジットカード情報とログインパスワードが、第2報で一転して漏洩の可能性ありとされたこと。もう1つは、カード情報をサーバーに残さない「非保持化」に対応していたにもかかわらず、決済画面の処理が改ざんされたことで、入力されたカード情報が第三者に渡った可能性があることです。
この記事では、発注側を支援するコンサルタントの立場から、自社のECサイトや会員サイトで同じことを起こさないために、どんな仕組みやルールを用意しておくべきかを考えます。
何が起きたのか
エディオンの公表（第1報：2026年11月6日、第2報：11月9日、11月10日に一部訂正）をもとに整理します。
- 発覚：2026年11月5日18時30分頃、ECサイトを設置しているサーバーへの外部からの不正アクセスを確認
- 第1報の内容：ECサイトの稼働状況などを記録するログファイルの領域に、システムの脆弱性を突いた不正アクセスがあった。氏名や住所などの個人情報が最大1万3,685名分（重複を含む合計値）漏洩した可能性。顧客データベース本体への不正アクセスは確認されておらず、カード番号とログインパスワードは含まれていない。ECサイトは引き続き通常どおり利用できる
- 第2報で判明したこと：決済関連の処理に、第三者が不正なプログラムを組み込む改ざんが行われていた。このプログラムは11月4日19時過ぎから稼働していた
- 漏洩の可能性がある情報（第2報で追加）：
– パソコンから決済画面に新規に入力されたカード情報（番号・有効期限・名義人・セキュリティコード）最大556回分。スマートフォンからの操作は対象外
– 注文時のエラーでログに一時記録されていたカード情報最大5件
– ギフトカード情報5,360枚分（カード番号・PIN・利用履歴）
– ログインIDとパスワード最大1,141名分
- 対応：11月7日22時からECサイトと公式アプリなどを緊急停止。アプリは11月8日21時10分から会員証機能などに限って再開。ECサイトは再開未定。カード会社に不正利用の監視強化を依頼し、個人情報保護委員会と警察への追加報告を準備中
いずれも「漏洩の可能性」であり、実際の被害の範囲は調査中です。今後の続報で数字が変わることもあり得ます。
なぜ「非保持化」でもカード情報が漏れるのか
カード情報の非保持化とは、自社のサーバーでカード番号を保存・処理・通過させない仕組みのことです。ECサイトの事故対策として広く進められてきました。
ただし、非保持化が守っているのは主に「サーバーに貯まったデータ」です。利用者がカード番号を入力する画面そのものが改ざんされると、入力された瞬間の情報を別の場所に送られてしまう可能性があります。今回エディオンが「サーバーに情報を残さない仕組み」だったにもかかわらず、パソコン向けの決済入力処理の改ざんで漏洩の可能性が出たのは、この構図にあたると考えられます。
支援先でECサイトの見直しをすると、「決済は代行会社に任せているから、カード情報の漏洩は起きない」という認識に出会うことが少なくありません。非保持化はゴールではなく、守る範囲を「保存データ」から「画面とその変更」に移した、と捉えるほうが実態に近いと私は考えています。
第1報から第2報で何が変わったか
もう1つの論点は、公表内容の変化です。第1報では、外部の専門機関から安全性が保たれているとの評価を得ているとして、ECサイトは通常どおり利用できるとしていました。しかし第2報では、決済処理に組み込まれた不正なプログラムが第1報より前の11月4日から稼働していたことが判明し、サービスを止める判断に変わりました。
事故の直後は、調べられた範囲で判断するしかありません。問題は、「調べた範囲では見つからなかった」ことと「ない」ことが、公表文や社内報告の中で同じ言葉になってしまうことです。これはエディオンに限らず、多くの組織の初動で起きやすいことです。
発注側として作っておきたい仕組み
ここからが本題です。発注側の情シスやDX担当者として、ECサイトや会員サイトの運営、あるいはその開発・保守を委託する立場で整えておきたい仕組みを5つ挙げます。
1. 決済・入力画面を「特別な変更管理」の対象にする
カード番号やパスワードを入力する画面は、通常の画面とは分けて管理します。具体的には次のような運用です。
1. 決済・ログイン・会員登録など、重要情報を入力する画面とそこで読み込むファイルやスクリプトを一覧にする
2. それらへの変更は、誰がいつ何を変えたかを記録し、発注側の承認を経て反映する
3. 本番環境のファイルが承認された状態から変わっていないかを、定期的に機械的に照合する（改ざん検知）
3の照合は、保守ベンダーへの依頼事項として運用保守契約の作業範囲に入れ、結果を月次報告の項目にしておくと形骸化しにくくなります。
2. ログに何を出すかを「要件」として決める
今回、注文時のエラーでカード情報がログに一時記録されていたことも判明しています。ログは障害調査に欠かせない一方で、設計を誤ると「意図しないデータの置き場」になります。
要件定義の段階で、次の点を非機能要件として明記しておきます。
- カード番号やパスワードなど、ログに出してはいけない項目と、マスキングのルール
- エラーや例外が起きたときも、そのルールが守られること
- ログの保存期間と、ログを閲覧できる人の範囲
受入テストでは、あえてエラーを起こしてログの中身を確認する項目を入れます。正常系だけ見ていると、こうした問題はまず見つかりません。セキュリティ要件を要件定義にどう組み込むかは、基幹刷新プロジェクトにおけるセキュリティ要件の整理の記事でも整理しています。
3. 「止める基準」を事前に決めておく
事故の最中に「サイトを止めるかどうか」を一から議論すると、売上への影響を気にして判断が遅れがちです。平時のうちに、次のような基準を経営層と合意しておきます。
- 決済やログインの処理に改ざんの疑いがあれば、確認が取れるまで該当機能を止める
- 全面停止と部分停止（決済だけ止める、閲覧は続ける）の選択肢と、それぞれの判断者
- 再開の条件（どの点検が終われば再開してよいか）
エディオンがアプリについて、点検を終えた後に会員証やクーポンの機能に絞って再開したのは、部分再開の一つの形です。こうした選択肢を事前に用意しておけば、判断は早くなります。
4. 「確認されていない」と「含まれていない」を言い分ける
初動の公表文や、委託先から受け取る報告書では、表現のルールを決めておきます。
- 調査で確認できた事実は「確認した」と書く
- 調べた範囲で見つからなかったものは「現時点で確認されていない（調査継続中）」と書き、調べた範囲を添える
- 外部機関の評価を引用するときは、何を対象に評価したのかを確認してから使う
委託先から「影響はありません」と報告を受けたときも、発注側から「どの範囲を、どの方法で調べた結果か」を聞き返す習慣をつけておくと、後からの訂正を減らせます。
5. 被害を小さくする設計を評価する
今回の公表では、被害を抑える方向に働いた設計も読み取れます。ギフトカードは番号とPINだけで使えるのがECサイトに限られ、サイト停止中は不正利用できない仕組みでした。ログインは新規ログイン時に2段階認証が必要で、直ちに不正利用される状況ではないとしています。
事故を完全に防ぐことは難しいからこそ、「漏れても悪用しにくい」設計は大切です。新しいサービスを企画するときは、漏洩した場合の使われ方を想定し、追加の認証や利用場所の制限を要件に入れておくことをおすすめします。
まとめ
エディオンの件は、カード情報の非保持化に対応していても、決済画面の処理が改ざんされれば入力されたカード情報が漏れる可能性があることを示しました。あわせて、第1報の「含まれていない」が第2報で訂正されたことは、初動で何を言い切るかの難しさも示しています。
発注側にできるのは、決済・入力画面を特別な変更管理と改ざん検知の対象にすること、ログに出す内容を要件として決めること、止める基準と言い分けのルールを平時に用意すること、そして漏れても悪用しにくい設計を取り入れることです。まずは自社のサイトで、カード番号やパスワードを入力する画面がどこにあり、誰が変更できるのかを一覧にするところから始めてみてください。
参考
- 株式会社エディオン「当社ECサイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ」（2026年11月6日）
- 株式会社エディオン「当社ECサイトにおける新たに判明した事象と個人情報漏洩の可能性、およびサービス停止に関するお詫びとお知らせ（第２報）」（2026年11月9日、11月10日訂正）
- [日本経済新聞（適時開示）「エディオン[2730]：当社ECサイトへの不正アクセスに伴う個人情報の漏洩およびサービスの停止について」（2026年11月10日）](https://www.nikkei.com/nkd/disclosure/tdnr/20261110571388/)
- 日本経済新聞「エディオン顧客情報1万3685人分漏洩か クレカ情報も、ECサイト停止」（2026年11月10日）
- ビジネス＋IT（Yahoo!ニュース）「エディオン、「含まれない」としたカード情報とパスワードが一転 漏えいの可能性」（2026年11月10日）
- 激流オンライン「エディオン、不正アクセスによる個人情報漏えいで各種サービスを停止」（2026年11月10日）
執筆者プロフィール：SIer（元請け）とITコンサルファーム（発注側支援）、両方の立場でプロジェクトに従事（通算9年）。要件定義からベンダーマネジメントまで一貫して対応し、基幹システム刷新・DX推進プロジェクトに多数従事。
コメント