ムラウチドットコムに不正アクセス、約772万件の顧客情報が外部に持ち出される

事案の概要データ

図解：この事故の構造

何が起きたのか

ムラウチドットコムは2026年9月15日、不正アクセスにより顧客情報 7,716,811件が外部に持ち出されたことを公表しました。対象情報には氏名・住所・電話番号などが含まれます。

約772万件という規模は、同じ2026年9月に公表されたタイムズカー（約660万件）を上回ります。

長く運営しているECほど件数が膨らむ

772万件という数字は、同社の規模から考えると「これまでに取引のあったお客様の累計」に近いと考えられます。

ECサイトは、一度購入したお客様の情報を会員データとして保持し続けます。10年、20年と運営していれば、すでに取引のない休眠会員の情報も蓄積されていきます。そして事故が起きたときの件数は、この累計がそのまま出てきます。

つまり、長く真面目に商売を続けてきた会社ほど、事故時の件数は大きくなるという構造があります。

対策はシンプルで、「個人情報の保存期間を決めて、期限が来たら削除する」ことです。最終購入から5年、10年といった基準を決め、それを過ぎた会員データを削除する。これだけで、万一のときの被害件数は大きく減ります。

中小ECが今日からできること

第一に、自社が持っている顧客データの件数を数えてください。「何件あるか分からない」状態であれば、それ自体がリスクです。

第二に、そのうち「直近3年以内に取引のあるお客様」が何件かを確認してください。差が大きければ、保存期間のルールを作る価値があります。

第三に、退会したお客様のデータが残っていないか確認してください。退会処理が「表示を消すだけ」でデータは残っている、という実装は非常に多くあります。

いずれも、データを減らすことがそのままリスクを減らすことにつながります。守るべきデータが少ないほど、守りやすくなります。

時系列で見る経過

• 2026年9月不正アクセスにより顧客情報が外部に持ち出される
• 2026年9月事案を把握し、調査を開始
• 2026年9月15日7,716,811件の顧客情報が漏えいしたことを公表
• 2026年9月15日以降対象者への案内と影響範囲の調査を継続

中小企業が学ぶべきポイント

1. 個人情報の保存期間を決める。期限が来たら削除する。件数を減らすことがリスクを減らす。
2. 自社が何件の顧客データを持っているか把握する。分からない状態そのものがリスク。
3. 退会したお客様のデータが実際に削除されているか、実装を確認する。
4. 長く運営しているECほど件数が膨らむ。歴史の長さがそのまま被害規模になる。

出典・参考

• 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab
• 2026年9月のサイバー攻撃・不正アクセスまとめ - マイナビニュース