事案の概要データ
| 公表日 | 2026年11月5日 |
|---|---|
| 対象 | 同社のアフィリエイトシステム |
| 件数 | 約5,500人（退会者を含む） |
| 確認された事象 | 登録者の個人情報が第三者によって書き換えられた |
| 流出の可能性がある情報 | パスワード、口座情報など |
| 影響のない範囲 | 通販サイト本体 |
| 過去の事案 | 駿河屋では2025年8月にも別の事案が公表されている（本サイト掲載） |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
株式会社駿河屋は2026年11月5日、同社のアフィリエイトシステムが第三者の不正アクセスを受け、登録者の個人情報が書き換えられたことを公表しました。対象は退会者を含む約5,500人で、パスワードや口座情報の流出の可能性があります。通販サイト本体への影響はないとされています。
本サイトでは、駿河屋の2025年8月の事案も掲載しています。本件はそれとは別の事案です。
「漏えい」ではなく「書き換え」——見落とされやすい被害
本件で特徴的なのは、情報が書き換えられたと公表している点です。盗まれただけではありません。
なぜ書き換えるのか。アフィリエイトシステムで考えれば、答えは1つです。報酬の振込先を、自分の口座に変えるためです。
これは「金銭の詐取」を狙った攻撃です。情報を売るのではなく、直接お金を取りにきています。
そして、書き換えは気づきにくい。 データが消えるわけでも、サービスが止まるわけでもありません。次の支払日に「振り込まれていない」と言われて、初めて分かることが多いのです。
中小企業で、同じ被害が起きうる場所を挙げます。
①取引先の振込先口座（メールで変更依頼が来る「振込先変更詐欺」）
②従業員の給与振込口座（勤怠・給与システムの自己申告画面）
③ECサイトの出店者の入金口座
④業務委託先への支払い先
対策は、技術ではなく手続きで作れます。
1. 振込先の変更は、メールや画面だけで完結させない。 必ず電話で、こちらから既知の番号にかけて確認する。
2. 変更があったら通知を出す。 「振込先が変更されました」というメールを本人に送る設定があれば、不正な変更に本人が気づけます。
3. 支払前に、前回と違う口座がないか一覧で確認する。 経理の月次作業に1行足すだけです。
退会者が含まれる——アフィリエイトは「辞めた人」が溜まる
対象に退会者が含まれると明記されています。
アフィリエイトの登録者は、入れ替わりが激しい分野です。登録したが使わなかった人、一時期だけ活動した人、辞めた人。辞めた人の口座情報が残り続けます。
本サイトでは11月だけで、退会者・終了済みの情報が対象になった事案を繰り返し扱いました。@cosme、ネットマイル、クレディセゾンのMUJI Card（退会者を含む約109万件）、SMBCコンシューマーファイナンス（2020年に終了した商品の審査情報）、そして本件です。
退会・解約の処理に「データを消す」が入っていない。これが共通の原因です。
退会処理を作るときの考え方を、整理しておきます。
①退会＝ログインできなくする、ではない。 多くのシステムは「退会フラグを立てる」だけで、データはそのまま残ります。
②残す必要があるのは、たいてい取引記録だけ。 金額、日付、相手先。これは帳簿として保存義務があります。
③口座情報・パスワード・住所は、支払いが完了したら消せる。 再登録のときは、また入力してもらえばよいのです。
④「消す」を誰かの作業にしない。 退会から○日後に自動削除する設定にする。手作業では続きません。
口座情報を持ち続ける理由は、ほとんどありません。持たなければ、書き換えられることもありません。
時系列で見る経過
- （時期は未公表）アフィリエイトシステムが第三者の不正アクセスを受け、登録者の個人情報が書き換えられる
- 2026年11月5日駿河屋が公表。退会者を含む約5,500人、パスワード・口座情報などの流出の可能性
- （調査中）影響範囲の特定が継続。通販サイト本体への影響はないとされる
中小企業が学ぶべきポイント
- 盗まれただけでなく、登録情報が「書き換えられた」。報酬の振込先を変える、金銭の詐取を狙った攻撃。
- 書き換えは気づきにくい。次の支払日に「振り込まれていない」と言われて初めて分かる。
- 振込先の変更は、メールや画面だけで完結させない。既知の番号に電話して確認する。
- 振込先が変更されたら本人に通知メールを出す設定にする。本人が不正な変更に気づける。
- 支払前に、前回と違う口座がないか一覧で確認する。経理の月次作業に1行足すだけ。
- 退会者の口座情報が残り続けていた。退会処理に「データを消す」が入っていない。
- 退会は「ログインできなくする」だけになりがち。残すのは取引記録だけでよい。
- 口座情報は支払いが完了したら消す。退会から○日後の自動削除にする。手作業では続かない。
出典・参考
- 駿河屋、アフィリエイト登録者約5,500人の個人情報が改ざん パスワード・口座情報など流出の可能性（セキュリティ対策Lab・2026年11月6日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。