事案の概要データ
| 公表日 | 2026年11月5日（第2報まで公表） |
|---|---|
| 不正ログインの日時 | 2026年11月2日 未明 |
| 対象 | 受注・出荷管理業務に利用しているアカウント |
| 持ち出された情報 | 2026年9月2日〜11月2日の公式オンラインショップ・楽天市場店・TikTok Shopなどの注文・発送情報（受注CSV） |
| 件数 | 暫定集計の対象者候補 8,532件（確定した人数ではない） |
| 対象外の情報 | クレジットカード情報 |
| 注意 | モール（楽天市場・TikTok Shop）側のシステムが破られたものではなく、出店者側の受注管理アカウントへの不正ログイン |
図解：この事故の構造
何が起きたのか
ポケットWi-FiやeSIMなどを扱う通信ブランド「ecoco」は2026年11月5日、受注・出荷管理業務に利用しているアカウントに2026年11月2日未明に第三者が不正ログインし、公式オンラインショップ・楽天市場店・TikTok Shopなどの注文・発送情報（受注CSV）がダウンロードされたと公表しました。
対象期間は2026年9月2日から11月2日の注文です。第2報では、暫定集計の対象者候補は8,532件で、確定した人数ではないとしています。クレジットカード情報は含まれません。
重要な点として、楽天市場やTikTok Shopのシステムが破られたわけではありません。 破られたのは、出店者側（ecoco）が使う受注管理のアカウントです。
複数のモールに出している会社の「集約点」が狙われる
ネット通販をしている会社の多くは、複数の販売先を持っています。自社サイト、楽天市場、Amazon、Yahoo!ショッピング、そして最近はTikTok Shop。
注文がばらばらに入ってくると、出荷が回りません。だから、受注管理ツールを使って1か所にまとめます。
この「まとめた場所」が、いちばん価値のある標的になります。モール1つ分ではなく、全販売先の注文がそろっているからです。
本件で持ち出されたのが、まさにそれです。公式オンラインショップ、楽天市場店、TikTok Shop。2か月分の注文・発送情報が、1回のログインで出ていきました。
中小企業のネットショップで、今日確認してほしいことを挙げます。
1. 受注管理ツールのログインに、多要素認証をかける。 これが最優先です。IDとパスワードだけなら、どこからでも入れます。
2. ログイン通知を有効にする。 「新しい端末からログインがありました」というメールが来る設定があれば、未明の不正ログインに気づけます。本件は11月2日未明です。
3. 受注CSVの出力履歴を確認する。 「誰が・いつ・何件」が残るか。
4. アカウントを共有しない。 パート社員と店長が同じIDを使っていませんか。誰が操作したか分からなくなります。
5. 保持する注文履歴の期間を決める。 本件の対象は2か月分でした。ツールに1年分残っていれば、1年分が出ていきます。
「8,532件」に「確定した人数ではない」と添えた
第2報の書き方に、見るべき点があります。「暫定集計の対象者候補は8,532件で、確定した人数ではない」。
本サイトは、件数の表現を毎回確認しています。「のべ件数」「項目別の件数」「実人数」は、それぞれ別のものだからです。
本件の「対象者候補」という言葉は、まだ絞り込みの途中であることを示しています。同じ人が期間中に2回注文していれば2件になりますし、調査が進めば対象外になる件も出ます。
なぜ、こういう書き方が大事なのか。
もし「8,532人の個人情報が漏えいしました」と書いてしまうと、後から「実際は5,000人でした」となったときに、訂正が「被害を小さく見せようとしている」と受け取られます。
逆に「候補です」と書いておけば、増えても減っても説明がつきます。
中小企業が公表文を書くときの言い回しを、そのまま使えるよう挙げておきます。
「現在判明している対象の件数は○○件です。これは暫定の集計であり、同一のお客様の重複を含む可能性があります。精査のうえ、確定しましたらあらためてお知らせします。」
この一文があるだけで、後から数字が動いても、信頼は動きません。
時系列で見る経過
- 2026年9月2日〜11月2日この期間の注文・発送情報が、後に持ち出しの対象となる
- 2026年11月2日 未明受注・出荷管理業務に利用するアカウントに第三者が不正ログイン。受注CSVがダウンロードされる
- 2026年11月5日第2報を公表。暫定集計の対象者候補 8,532件（確定した人数ではない）
中小企業が学ぶべきポイント
- 破られたのはモールのシステムではなく、出店者側の受注管理アカウント。
- 複数の販売先の注文を1か所にまとめた「受注管理ツール」は、最も価値のある標的になる。
- 受注管理ツールのログインに多要素認証をかける。これが最優先。
- ログイン通知を有効にする。本件の不正ログインは未明だった。
- 受注CSVの出力履歴（誰が・いつ・何件）が残るか確認する。
- アカウントを共有しない。誰が操作したか分からなくなる。
- ツールに残す注文履歴の期間を決める。1年分残っていれば1年分が出ていく。
- 「対象者候補」「暫定集計」「確定した人数ではない」と書いた。後から数字が動いても信頼は動かない。
出典・参考
- ポケットWi-FiやeSIMのecoco、受注管理アカウントに不正ログイン（セキュリティ対策Lab・2026年11月6日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。