エディオンは2026年11月9日、第2報を公表し、第1報で「漏えいは確認されていない」としていたクレジットカード情報およびログインパスワードについて、一部が対象に含まれていたことが新たに判明したと発表しました。
さらに、ECサイトのPC向け決済情報入力処理に第三者による不正なプログラムが組み込まれていたことも判明しています。
エディオンECサイトに不正アクセス
株式会社エディオンは2026年11月6日、同社が運営するECサイトを設置しているサーバーに対して外部から不正アクセスが行われ、顧客の個人情報の一部が漏えいした可能性があると発表しました。
エディオンが異常を確認したのは11月5日18時30分ごろです。
第1報によると、ECサイトの稼働状況や通信処理を一時的に記録する「ログファイル」が保存されたサーバー領域の一部に対し、システムの脆弱性を突いた不正アクセスが行われました。
一方、顧客の会員情報などを管理する顧客データベース本体への不正アクセスや情報漏えいは確認されていません。
氏名・住所・メールアドレスなど最大4131名分
第1報では、複数の個人情報がひも付いた状態でログに記録されていた顧客が最大4,131名いることが公表されています。
| 区分 | 対象情報 | 規模 |
|---|---|---|
| 複数情報がひも付いたログ | 氏名（漢字・カナ）、メールアドレス、電話番号、生年月日、性別、住所、お客様番号 | 最大4,131名 |
| 注文情報 | 氏名、お客様番号、注文番号、注文金額 | 最大9,554名 |
注文情報については、複数のログを日時などで照合できた場合、メールアドレス、電話番号、郵便番号、都道府県・市区町村までの住所コード、クレジットカードの有効期限、エディオンギフトカード番号などと組み合わせられる可能性があります。
最大4,131名と最大9,554名には重複する顧客が含まれているため、両者を合計した13,685名が実際の対象人数という意味ではありません。
また、氏名やお客様番号とは直接ひも付かない状態で、メールアドレス、電話番号、クレジットカード有効期限、郵便番号、住所コード、エディオンギフトカード番号などが記録されたログも確認されており、この件数は引き続き精査されています。
第2報で決済処理の改ざんが判明
その後の監視と詳細調査で、エディオンは新たな不正アクセスの痕跡を確認しました。
さらに、ECサイト内の決済関連処理に、外部の第三者によって不正なプログラムが組み込まれる改ざんが行われていたことが判明しました。
不正プログラムは11月4日19時過ぎから稼働していたことが確認されています。
エディオンECサイトでは、通常クレジットカード情報を自社サーバーに保存しない「非保持化」に対応しています。しかし今回の攻撃では、PC向けの決済情報入力処理そのものに不正プログラムが組み込まれていたため、利用者が入力したカード情報がサーバーへの保存を経由せず、直接第三者へ送信された可能性があります。
対象となる可能性があるのは、11月4日19時以降、パソコンからエディオンECサイトの決済画面で新たにクレジットカード情報を入力したケースで、最大556回です。
スマートフォンからの操作・決済入力については、この不正プログラムの対象外だったことが確認されています。
クレジットカード情報は最大556回分
不正プログラムによって漏えいした可能性があるクレジットカード情報は、最大556回分です。
| 対象情報 | 対象規模 |
|---|---|
| クレジットカード番号 | 最大556回 |
| 有効期限 | |
| カード名義人 | |
| セキュリティコード |
ここで公表されている「最大556回」は人数ではなく、決済情報入力画面で新規にカード情報が入力された回数です。
エディオンは対象となるカードについて、提携するクレジットカード会社へ不正利用のモニタリング強化を依頼しています。
注文時エラーログからもカード情報最大5件
決済画面の改ざんとは別に、第1報で対象となったログファイルをさらに調査した結果、注文時にエラーが発生した際にクレジットカード入力内容が一時的にシステムログへ記録されていたケースが最大5件確認されました。
対象となる情報は、クレジットカード番号、有効期限、カード名義人、セキュリティコードです。
このため、カード情報については「不正プログラムによる最大556回」と「注文時エラーログ最大5件」という異なる経路が確認されています。
ログインID・パスワード最大1141名分
第2報では、ログインIDおよびログインパスワードについても最大1,141名分が対象となることが新たに判明しました。
エディオンECサイトでは、新規ログイン時に2段階認証が必要となるため、IDとパスワードだけで直ちに不正ログインできる状態ではないとしています。
ただし、対象となる顧客にはパスワード変更を求める案内メールを順次送信しています。
対象者だけでなく、エディオンECサイトと同じパスワードを他のWebサービスでも使用している場合は、念のためそれぞれ異なるパスワードへ変更することを推奨します。漏えいした認証情報を他サービスで試す「パスワードリスト攻撃」に悪用される可能性があるためです。
エディオンギフトカード5360枚分も漏えい
エディオンギフトカードについては5,360枚分の情報が対象となっています。
漏えいした情報は、エディオンギフトカード番号、PIN、ご利用履歴です。
カード番号とPINのみで利用できるのはエディオンECサイトに限定されており、実店舗ではカード原本の提示が必要です。ECサイトが停止している現状では、漏えいした番号とPINだけを利用して第三者が不正利用することはできない仕組みになっていると説明しています。
ECサイトやアプリを緊急停止
エディオンは被害拡大を防ぐため、11月7日22時からECサイト、エディオン公式アプリ、エディオンスマートアプリのサービスを緊急停止しました。
11月9日公表の第2報では当初「11月8日」と記載されていましたが、エディオンは11月10日にこれを訂正し、正しいサービス停止日時を「11月7日（土）22:00」としています。
ECサイトは11月9日時点で停止が続いており、再開時期は未定です。
一方、エディオン公式アプリおよびエディオンスマートアプリについては、関連するサーバーやファイルを点検し、不正プログラムの影響がないことを確認したうえで、11月8日21時10分からデジタル会員証やクーポン表示など一部機能を再開しています。
11月4日19時以降にPCでカード入力した場合は利用明細を確認
エディオンは、11月4日19時以降にパソコンからECサイトを利用し、新たにクレジットカード情報を入力した利用者に対し、カード利用明細に身に覚えのない請求がないか確認するよう呼びかけています。
不審な利用を確認した場合は、カード裏面などに記載されたクレジットカード会社の窓口へ連絡してください。
エディオンを装うフィッシングメールやSMSにも注意
- 「カード情報を再登録してください」などとしてメールやSMSから決済画面へ誘導する連絡を信用しない。
- 「不正利用確認」「返金」「アカウント保護」などを理由にカード番号やセキュリティコードを入力しない。
- パスワード変更はメール内のリンクではなく、公式サイト・公式アプリから行う。
- エディオンを名乗る電話でカード番号、PIN、パスワードなどを聞かれても伝えない。
- 身に覚えのないカード利用がある場合はカード会社へ直接連絡する。
今回の事案では実際にメールアドレスや電話番号、氏名、住所などが漏えいした可能性があるため、攻撃者がこれらの情報を組み合わせて、より本物らしいフィッシングメールやSMSを送信する可能性にも注意が必要です。
11月5日の発覚から第2報までの経緯
- 後の調査で、PC向け決済入力処理に組み込まれた不正プログラムが稼働を開始していたことを確認。
- ECサイトのサーバーへの不正アクセスと個人情報漏えいの可能性を確認。
- 第1報を公表。ログファイルへの不正アクセス、最大4,131名分の個人情報などについて発表。この時点ではカード番号とログインパスワードは含まれないとしていた。
- 追加調査で新たな不正アクセスや改ざんが判明したことを受け、ECサイトや関連アプリを緊急停止。
- 安全性を確認したアプリのデジタル会員証、クーポン表示など一部機能を再開。
- 第2報を公表。PC決済処理への不正プログラム組み込み、カード情報最大556回、ログイン情報最大1,141名分、ギフトカード5,360枚などを新たに公表。
- 第2報に記載されたサービス停止日時を訂正。「11月8日」ではなく「11月7日22時」が正しい停止日時と発表。
調査は継続、ECサイトの再開時期は未定
エディオンは外部のセキュリティ専門機関とともに影響範囲の特定を進めています。
個人情報保護委員会および所轄警察署への追加報告も進めており、新たな事実が判明した場合は改めて公表するとしています。
第1報からわずか数日で、当初は対象外とされていたクレジットカード情報やログインパスワードの漏えい可能性、さらに決済画面そのものへの不正プログラム組み込みが判明しています。今後の調査によって対象件数や影響範囲が変更される可能性があるため、続報にも注意が必要です。
※2026年11月10日時点のエディオン公式発表を反映しています。「最大556回」はクレジットカード情報を新規入力した決済画面の利用回数であり、556人という意味ではありません。また、第1報の最大4,131名と最大9,554名には重複する顧客が含まれるため、単純合算できません。