アイリスオーヤマ公式通販「アイリスプラザ」に不正アクセス、ECサイトを一時停止 カード情報の漏えいは「現時点で確認されず」

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社アイリスプラザは2026年10月29日、同社が運営するECサイトへの不正アクセスを確認したと公表しました。アイリスオーヤマの公式通販サイト「アイリスプラザ」です。

公表文は短く、こう書かれています。「このたび、株式会社アイリスプラザが運営するECサイトにおいて不正アクセスを確認いたしました。現在、情報漏えい等の可能性を含めて調査を進めるとともに、お客様の安全確保のため、サイトを一時停止しております」

クレジットカード情報については「現時点の調査では、クレジットカード情報の漏えいは確認されておりません」。その他の情報は「引き続き調査を進めております」としています。

件数、原因、侵入経路、不正アクセスの時期、発覚のきっかけ——いずれも公表文には書かれていません。 分かっているのは「入られた」「止めた」「カードはまだ確認されていない」の3点だけです。

「不正決済を防ぐ」と「不正アクセスを防ぐ」は、別の話

この事案で押さえておきたいのは、同社がセキュリティに無関心だったわけではないということです。

アイリスオーヤマは2026年8月5日に、「アイリスプラザ」への不正決済防止サービスの本格導入を公表していました。つまり、EC事業者として打つべき手の1つは、すでに打っていたのです。

それでも、今回の事故は起きました。理由は単純で、この2つが守っている場所が違うからです。

不正決済防止サービスが守るのは「注文」です。 他人のクレジットカード番号を使った不正な注文を、注文の段階で見つけて止めます。盗まれたカードが「使われる」のを防ぐしくみです。

今回起きたのは「サイトそのものへの侵入」です。 注文の手前、サイトの管理側に入られています。ここに入られると、注文を監視するしくみがあっても意味がありません。入った側は、注文する立場ではなく、サイトを運営する立場に立っているからです。

これは中小企業にそのまま当てはまります。「決済はカード会社に任せているので、カード情報は自社にありません」「不正検知サービスを入れています」。これは本当でも、サイトに侵入されない理由にはなりません。

ECサイトを持っている会社に必要なのは、決済まわりの対策とは別に、次の3つです。①管理画面のIDとパスワードを使い回していないか。②管理画面に多要素認証がかかっているか。③CMSやプラグイン、サーバーのソフトが最新か。 今回の原因は公表されていませんが、2026年に報じられた同種の事故のほとんどが、この3つのどれかです。

件数も原因も書かれていない公表文を、どう読むか

「件数も原因も書かれていないのは不誠実ではないか」と感じる方もいるかもしれません。しかし、公表のタイミングとしてはむしろ早い側です。

この公表文の構成を見てください。①起きたこと（不正アクセスを確認した）。②いまの状態（サイトを止めて調査中）。③いま言えること（カード情報の漏えいは現時点で確認されていない）。④利用者への注意（不審なメールに注意）。⑤今後（分かり次第ホームページで案内）。

件数が分からない段階でも、この5つは書けます。そして、この5つが書いてあれば、利用者は「自分は何をすればいいか」が分かります。

逆に、書かないほうが危ないことがあります。サイトが突然止まっていて説明がない状態です。利用者は「サイトが落ちているだけ」と思うか、あるいはSNSの噂を先に読みます。そして「アイリスプラザが使えない」で検索した人が、偽のサイトや偽のサポート窓口にたどり着くことがあります。同社は過去にも「アイリスプラザ」になりすました偽装サイトへの注意喚起を出しています。

中小企業がこの形を真似するのは簡単です。「お知らせ」を1ページ、5項目で書く。 件数が分かったら第2報を出す。順番を逆にして「全部分かってから出す」とすると、その間ずっと説明のない状態が続きます。

公表から6日、サイトは止まったまま（2026年11月4日時点）

本記事の更新時点（2026年11月4日）で、アイリスプラザの通販サイトはまだ再開していません。irisplaza.co.jp を開くと、商品ページではなく「ECサイト一時停止のお知らせ」が表示されます。公表した10月29日から数えて6日間です。

第2報も出ていません。件数も原因も、10月29日の初報から更新されていない状態です。

この「長さ」こそが、中小企業が見ておくべき部分です。

ECサイトへの不正アクセスが起きたとき、よく聞かれるのは「どのくらいで復旧できますか」です。答えは、原因が特定できるまで分からない、です。

復旧には、最低でもこの順番が必要になります。①どこから入られたかを特定する。②同じ経路を塞ぐ。③他に入られていないかを確認する。④安全性を確認してから開ける。

①が分からないまま開ければ、同じ経路でまた入られます。だから①に時間がかかると、②以降が全部止まります。そして①は、ログが残っていなければ永久に分かりません。

本サイトに掲載した事案を見ると、ECサイトの停止期間は数日から数週間が中心です。佐川急便の「お荷物問い合わせサービス」は、9月30日の発覚から再開まで23日かかりました（本サイト掲載）。

ここから逆算して、中小企業が用意しておくべきものが見えてきます。「自社のネットショップが2週間止まったら、売上はいくら減り、どう食いつなぐか」。この1問に答えを持っている会社は、ほとんどありません。

やっておけることは3つです。①実店舗やモール出店など、ネットショップ以外の販路を残しておく。 アイリスプラザも、停止のお知らせの中で他モールへの出店を案内しています。②止まっている間の顧客への案内文を下書きしておく。③注文・在庫・顧客情報のバックアップを、サイトとは別の場所に置いておく。

③は復旧の速さに直結します。サイトが侵害された場合、そのサーバーの中にあるバックアップは「汚染されているかもしれない」ため使えません。別の場所に、定期的に、取っておく必要があります。

500万人の会員がいるサイトを止めるという判断

「アイリスプラザ」は、2025年9月に登録会員数500万人突破を公表した規模のサイトです。そこを止めました。

ECサイトを止めると、止めた時間だけ売上がゼロになります。それでも止めたのは、入られたままサイトを動かし続けるほうが危ないという判断です。侵入されたサイトを動かし続けると、その間に訪問した人のカード情報が偽の入力画面に流れる、という事故が実際に起きています（本サイトでは同種の事案を複数掲載しています）。

ここで中小企業が考えておきたいのは、「止める判断を誰がするか」です。

ECサイトを止めるという判断は、売上に直接ひびきます。だから担当者レベルでは決められません。しかし、社長に連絡がつかない夜間や連休中に起きたらどうするか。多くの会社で、ここが決まっていません。

決めておくことは2つだけです。①サイトを止める判断は誰ができるか（社長不在時の代理者を名前で決める）。②止めたときに、どこに何と書くか（お知らせページの文面を下書きしておく）。 どちらも紙1枚です。事故の最中には書けません。

時系列で見る経過

• 2026年8月5日（参考）アイリスオーヤマが「アイリスプラザ」への不正決済防止サービスの本格導入を公表
• 2026年10月29日株式会社アイリスプラザが運営するECサイトへの不正アクセスを確認したと公表。サイトを一時停止
• 2026年10月29日時点クレジットカード情報の漏えいは確認されず。その他の情報は調査継続
• 2026年11月2日報道（Security NEXT）が事案を取り上げる
• 今後調査状況および今後の対応を、同社ホームページで改めて案内予定
• 2026年11月4日本サイトで確認。irisplaza.co.jp は引き続き「ECサイト一時停止のお知らせ」のみを表示しており、公表から6日間サイトが停止したままとなっている

中小企業が学ぶべきポイント

1. 不正決済防止サービスは「注文」を守るしくみ。サイトへの侵入を防ぐしくみではない。
2. 決済代行を使っていてカード情報を持っていなくても、サイトに侵入されない理由にはならない。
3. ECサイトに必要なのは、管理画面のパスワード使い回しの排除、管理画面の多要素認証、CMSとプラグインの更新。
4. 件数が分からなくても、公表文は5項目（起きたこと・いまの状態・言えること・利用者への注意・今後）で書ける。
5. サイトが突然止まって説明がないと、利用者は偽サイトや偽サポートにたどり着く。
6. サイトを止める判断を誰ができるか、社長不在時の代理者を名前で決めておく。
7. 止めたときに出すお知らせの文面を、事故が起きる前に下書きしておく。
8. 止めた時間だけ売上はゼロになる。それでも止めるほうが安いという前提で設計する。
9. 復旧の時間は「原因がいつ特定できるか」で決まる。入口が分からないまま開ければ、また入られる。
10. ログが残っていなければ、入口は永久に分からない。復旧も遅れる。
11. 「ネットショップが2週間止まったら売上はいくら減るか」を一度計算しておく。
12. バックアップはサイトと別の場所に置く。侵害されたサーバー内のバックアップは使えない。

出典・参考

• 株式会社アイリスプラザECサイト一時停止のお知らせ（アイリスオーヤマ・2026年10月29日）
• アイリスオーヤマ通販サイトで侵害 - 詳細を調査（Security NEXT）