通販サイト「アクティブ」がSQLインジェクションを受け、最大54,916件が流出

事案の概要データ

公表日	2026年10月6日
対象	通販サイト
流出のおそれ	最大54,916件
原因	SQLインジェクション（脆弱性）

図解：この事故の構造

図：20年以上前から知られる攻撃。プログラムの書き方を正しくするだけで原理的に防げる。

本来の想定

検索欄やログイン欄に入力された文字は、ただの「文字」として扱われる。

実際に起きたこと

入力欄にデータベースへの命令文を混ぜられ、本来見えないはずのデータを引き出された（最大54,916件）。

何が起きたのか

アクティブは2026年10月6日、運営する通販サイトがSQLインジェクションによる攻撃を受け、最大54,916件の情報が流出したおそれがあることを公表しました。

SQLインジェクションとは

SQLインジェクションは、Webサイトの入力欄（検索ボックスやログインフォームなど）に、データベースへの命令文を混ぜて送り込む攻撃です。サイト側がその文字列をきちんと処理していないと、命令がそのままデータベースに届き、本来見えないはずのデータを引き出されてしまいます。

この攻撃は20年以上前から知られており、対策方法も確立されています。プログラムの書き方を正しくするだけで（専門的には「プレースホルダを使う」）、原理的に防げます。

それでも被害が続く理由は、古いプログラムが動き続けているからです。10年前に作ったサイトを、見た目だけ変えて使い続けているケースは珍しくありません。

中小企業が確認すべきこと

自社のWebサイトが何年前に作られたかを確認してください。5年以上前なら、一度診断を受ける価値があります。

また、WAF（Webアプリケーションファイアウォール）を導入すれば、プログラムを直さなくても、この種の攻撃をある程度ブロックできます。月額数千円から利用できるサービスもあり、中小企業でも導入しやすい対策です。

制作会社に任せている場合は、「SQLインジェクション対策はされていますか」と一言聞くだけでも確認になります。

時系列で見る経過

2026年10月通販サイトがSQLインジェクション攻撃を受ける
2026年10月事案を把握し、調査を開始
2026年10月6日最大54,916件の流出のおそれを公表

中小企業が学ぶべきポイント

SQLインジェクションは20年以上前からある攻撃。古いサイトほど狙われる。
5年以上前に作ったサイトは、一度脆弱性診断を受ける。
WAFを導入すれば、プログラムを直さなくてもある程度防げる。月額数千円から。
制作会社に「SQLインジェクション対策はされていますか」と確認する。

出典・参考

情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope

ご注意
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。