「お気に入り」アプリ「Swym Wishlist Plus」が侵害、購入手続きボタンから偽の決済画面へ誘導 SHIPS CYCLE MARKETが公表

事案の概要データ

公表日	2026年10月22日（SHIPS CYCLE MARKET）
公表文の名称	「【重要】外部アプリ「Swym Wishlist Plus」におけるセキュリティ事象についてのお知らせとお詫び」
侵害されたのは	外部アプリケーション「Swym Wishlist Plus」の開発元・Swym Corporationのシステム
アプリの役割	ECサイトの「お気に入り機能」（ウィッシュリスト）
公表した店舗	SHIPS CYCLE MARKET（販売業者：Free Standard株式会社／東京都渋谷区）
事象（1）の期間	2026年10月14日 19:06 〜 10月15日 1:32頃（日本時間）／約6時間26分
事象（1）の内容	「同アプリを利用している一部のショップにおいて、購入手続きボタンを押した際に、正規の購入手続き画面を模した外部の疑似サイト（偽サイト）へ誘導される不正なプログラムが読み込まれた可能性」
事象（1）の性質	「当店データベース等から保存済みの情報が流出したものではなく、改ざんされたプログラムにより誘導された外部の疑似サイト上にて、お客様がクレジットカード情報を入力された可能性があるという事象」
事象（2）の時期	2026年10月19日 6:17頃以降（日本時間）
事象（2）の内容	「同アプリの権限を利用して、一部のショップに不正なプログラムを追加しようとする活動が確認されました」
事象（2）の店舗への影響	「当店への影響がないことを開発元に確認済みです」
事象（1）の店舗への影響	「現在、開発元に対して当店のお客様への影響の有無（外部の疑似サイトへの不審なリダイレクトが発生していたか等）について正式な調査・確認を行っております」
件数	公表文に記載なし
アプリの状態	「開発元による予防措置として、全ショップにおいて同アプリの機能が一時停止されております」
店舗の状態	「当店におきましても「お気に入り機能」をご利用いただけない状態」。登録済みのお気に入り情報自体は削除されず保持
開発元の公表	10月14日の事案は2026年10月16日公表、10月18日以降の事案は2026年10月20日時点（いずれも英文）
利用者への呼びかけ	該当期間中に購入手続きに進み、誘導された画面でクレジットカード番号を直接入力した可能性のある利用者に、以後の利用明細で身に覚えのない請求がないか継続して確認するよう依頼
他のShopifyストアへの影響	公表文は「同アプリを利用している一部のショップ」とするのみ。店舗名・店舗数は公表されていない

図解：この事故の構造

図：店舗のサーバーは触られていない。侵害されたのはアプリの開発元で、そこから各店舗のページが書き換わった。

2026年10月14日 19:06一部ショップで、購入手続きボタンを押すと偽の購入手続き画面へ誘導される不正プログラムが読み込まれた可能性（日本時間）
↓ 約6時間26分
2026年10月15日 1:32頃該当期間の終わり。この間に偽サイトでカード情報を入力した可能性がある
2026年10月16日開発元Swym Corporationが10月14日の事案を公表（英文）
2026年10月19日 6:17頃以降アプリの権限を利用して、一部ショップに不正プログラムを追加しようとする活動を確認
2026年10月20日時点開発元が10月18日以降の事案について公表（英文）。全ショップでアプリの機能を一時停止
↓ 最初の事象から8日
2026年10月22日SHIPS CYCLE MARKETが日本語で公表。期間を分単位で示し、カード明細の確認を呼びかけ

何が起きたのか

SHIPS CYCLE MARKETは2026年10月22日、同店が「お気に入り機能」として使っている外部アプリ「Swym Wishlist Plus」の開発元、Swym Corporationのシステムに不正アクセスが発生したと公表しました。

公表文によれば、開発元の公式発表で2つの事象が確認されています。

事象（1）：2026年10月14日 19:06〜10月15日 1:32頃（日本時間）。 「同アプリを利用している一部のショップにおいて、購入手続きボタンを押した際に、正規の購入手続き画面を模した外部の疑似サイト（偽サイト）へ誘導される不正なプログラムが読み込まれた可能性がございます」。約6時間26分の間です。

事象（2）：2026年10月19日 6:17頃以降。 「同アプリの権限を利用して、一部のショップに不正なプログラムを追加しようとする活動が確認されました」。

同店への影響について、（2）は「影響がないことを開発元に確認済み」。（1）については「現在、開発元に対して当店のお客様への影響の有無について正式な調査・確認を行っております」として、調査中です。

現在は開発元の予防措置として、全ショップでこのアプリの機能が一時停止されています。登録済みのお気に入り情報自体は削除されず保持されているとのことです。

「お気に入りボタン」のアプリが、決済画面を差し替えた

この事案の構造を、順を追って見てください。侵害されたのは、お気に入り機能のアプリです。 商品を「あとで買う」リストに入れるための、便利な機能です。

そのアプリが、購入手続きの画面を差し替えました。

普通に考えれば、おかしな話です。お気に入りリストと決済は、まったく別の機能です。なぜお気に入りのアプリが、決済の画面に手を出せるのか。

答えは、公表文の事象（2）に書かれた一言にあります。「同アプリの権限を利用して」。

ECサイトに外部アプリを入れるとき、アプリには権限が与えられます。ほとんどの場合、「サイトのページにスクリプト（プログラム）を埋め込む権限」が含まれます。お気に入りボタンを表示するために必要だからです。

ところが、ページにプログラムを埋め込めるということは、そのページで起きることを何でも書き換えられるということです。ボタンの行き先を変えることも、入力欄を別の場所に送ることもできます。お気に入りの機能にしか使わない約束で渡された権限ですが、技術的には決済導線まで届きます。

だから、開発元が侵害されると、そのアプリを入れているすべての店舗のページが書き換えられる状態になります。店舗側のサーバーもデータベースも、何も触られていません。それでも、店舗を訪れた客は偽の決済画面を見ます。

これが、中小企業にとっての実務上の論点です。ECサイトに入れているアプリ・プラグイン・外部タグは、全部が「自社サイトを書き換えられる権限」を持っています。

Shopifyのアプリ、WordPressのプラグイン、チャットボット、アクセス解析、広告のタグ、レビュー機能、クーポン配布ツール。どれも便利で、どれも同じ権限を持っています。そして、どれか1つの提供元が侵害されれば、自社サイトが書き換わります。

今日できる棚卸しは、これです。 ECサイトやホームページに入れている外部アプリ・プラグイン・タグの一覧を出す。そして、こう問う。「これ、まだ使っていますか」

使っていないアプリが入っているのは、本当によくあります。試しに入れて、やめて、消していない。使っていないアプリは、機能を提供していないのに、権限だけを持ち続けています。 消すだけで、入口が1つ減ります。

自社のデータベースは無事。それでも顧客はカード番号を入力している

公表文の中で、いちばん丁寧に書かれているのはこの部分です。

「本事案は、当店データベース等から保存済みの情報が流出したものではなく、改ざんされたプログラムにより誘導された外部の疑似サイト上にて、お客様がクレジットカード情報を入力された可能性があるという事象でございます」

この区別は重要です。自社に保存されていたデータは、1件も漏れていません。 にもかかわらず、顧客はカード番号を失っている可能性があります。

なぜこの区別が大事なのか。漏えい件数が出せないからです。

通常の漏えいなら、「データベースに何件入っていたか」で件数が決まります。しかし今回は、「その6時間半の間に、購入手続きボタンを押して、偽の画面でカード番号を入力した人が何人いたか」が被害者数です。これは店舗側のログには残りません。 偽サイトは店舗の外にあるからです。

だから公表文は件数を書けず、代わりに期間を分単位で示しました。 「2026年10月14日（水）19:06 〜 10月15日（木）1:32頃」。そして、その期間に購入手続きに進んだ人に、「今後届くクレジットカードのご利用明細を含め、以後のご利用状況に身に覚えのない請求がないか継続してご注意・ご確認いただけますよう」呼びかけています。

件数が出せないときの代替は、期間を正確に出すことです。 期間が分かれば、利用者は自分が該当するかを自分で判断できます。「10月14日の夜に買い物をしたか」は、本人なら思い出せます。

中小企業が同じ状況になったとき——つまり誰が被害に遭ったかを自社では特定できないとき——やることは2つです。①該当する期間を、できるだけ狭く、できるだけ正確に出す。②その期間に何をした人が対象かを、具体的な行動で書く（「購入手続きボタンを押した方」など）。

「対象者は不明です」と書いて終わらせないことです。それでは誰も動けません。

公表文が「19:06」「1:32」と分単位で書いた理由

最後に、公表の形式について触れておきます。この公表文には、分単位の時刻が並んでいます。

「2026年10月14日 19:06〜10月15日 1:32頃（日本時間）」「2026年10月19日 6:17頃以降（日本時間）」。そして「（日本時間）」という注記が、毎回付いています。

ここまで細かく書く必要があったのは、開発元が海外の会社（Swym Corporation）だからです。開発元の公式発表は英文で、時刻は現地時間で書かれていたはずです。それを日本時間に直し、注記を付けています。

これは、海外のサービスを使っている会社が、日本の顧客に説明するときに必ず必要になる作業です。「米国時間10月14日」と書かれた発表をそのまま貼り付けると、日本の顧客は自分が該当するか判断できません。

そしてもう1つ。同店は開発元の英文発表へのリンクを、参考として公表文に載せています。 「5. 参考：開発元による公式発表（英文）」として、10月14日の事案（10月16日公表）と10月18日以降の事案（10月20日時点）の2つです。

自分で調べたい人のために一次情報を置く。 これは手間のかかることではありませんが、やっている会社は少ないです。やると、「隠していない」ことが伝わります。

本件は、海外製のアプリを使っていた日本の店舗が、英文の発表を読み、日本時間に直し、自店への影響を開発元に問い合わせ、分かった分だけ日本語で出したという事案です。中小企業が海外のクラウドサービスを使う場面は、これから増えます。事故が起きたとき、英語の発表を読んで自社の顧客に日本語で説明するのは、自社の仕事になります。 その覚悟も含めて、サービスは選ぶことになります。

時系列で見る経過

2026年10月14日 19:06（日本時間）一部のショップで、購入手続きボタンを押した際に偽の購入手続き画面へ誘導される不正なプログラムが読み込まれた可能性（事象1の開始）
2026年10月15日 1:32頃（日本時間）事象1の該当期間の終わり（約6時間26分）
2026年10月16日開発元Swym Corporationが、10月14日の事案を公表（英文）
2026年10月19日 6:17頃以降（日本時間）同アプリの権限を利用して、一部のショップに不正なプログラムを追加しようとする活動が確認される（事象2）
2026年10月20日時点開発元が10月18日以降の事案について公表（英文）
（公表時点）開発元の予防措置として、全ショップでアプリの機能が一時停止。各店舗の「お気に入り機能」も利用不可
2026年10月22日SHIPS CYCLE MARKETが日本語で公表。事象2は影響なしを確認済み、事象1は開発元に正式な調査・確認を依頼中

中小企業が学ぶべきポイント

ECサイトに入れた外部アプリは、ほぼ例外なく「サイトのページを書き換える権限」を持っている。
お気に入り機能のアプリでも、技術的には決済画面を差し替えられる。
アプリの提供元が侵害されると、自社のサーバーが無事でも自社サイトが書き換わる。
外部アプリ・プラグイン・タグの一覧を出し、使っていないものを消す。権限だけが残っている。
自社データベースからの流出ではないため、被害件数が自社ログに残らない事故もある。
件数が出せないときは、該当期間を分単位で正確に出す。利用者が自分で判断できる。
「対象者は不明です」で終わらせない。期間と、対象になる具体的な行動を書く。
海外製サービスの事故は、英文発表を読んで日本時間に直し、日本語で説明するのが自社の仕事になる。
一次情報（提供元の発表）へのリンクを公表文に載せると、隠していないことが伝わる。

出典・参考

ご注意
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。