事案の概要データ
| 公表日 | 2026年11月5日 |
|---|---|
| 不正アクセスの日 | 2026年10月18日 |
| 原因 | サイトのプログラムの不備を突いた不正アクセス |
| 件数 | 最大19,468名分 |
| 漏えいの可能性がある情報 | 会員の氏名、メールアドレス、生年月日、電話番号、住所など |
| 対象外の情報 | パスワード、クレジットカード情報 |
| 発生から公表まで | 約18日（10月18日 → 11月5日） |
図解：この事故の構造
何が起きたのか
株式会社ティーエッチエスは2026年11月5日、運営するオンラインショップ「ユニコレ」で、サイトのプログラムの不備を突いた不正アクセスが2026年10月18日にあり、会員の氏名・メールアドレス・生年月日・電話番号・住所など最大19,468名分が漏えいした可能性があると公表しました。パスワードとクレジットカード情報は漏えいしていないとされています。
発生から公表まで、約18日です。
「サイトのプログラムの不備」——作ってもらったサイトの中身
原因は「サイトのプログラムの不備」とされています。やわらかい表現ですが、意味するところは明確です。サイトを動かしているプログラムに、想定外の操作を受け付けてしまう箇所があったということです。
ECサイトでよくある不備は、たとえば次のようなものです。
①検索欄や問い合わせ欄に特殊な文字を入れると、データベースの中身が返ってくる。
②注文番号や会員番号の数字を変えると、他人の情報が見える。
③ログインしていなくても、特定のURLを直接開くと管理用の画面が出る。
これらは、作る側が気をつけていれば防げる種類のものです。そして、作ってもらった側（中小企業）には、中身が見えません。
では、何ができるか。制作会社に聞くことです。専門用語は要りません。次の3つを、そのまま聞いてください。
1. 「公開前に、脆弱性の検査をしましたか。報告書はありますか」
2. 「使っているソフトやプラグインの更新は、誰がいつやっていますか」
3. 「作ったあとに新しい弱点が見つかったとき、連絡をもらえますか。それは契約に入っていますか」
3が特に大事です。多くの制作契約は「作って納品して終わり」になっています。その後に世の中で見つかった弱点は、誰も直しません。保守契約があるかどうかを、まず確認してください。
本サイトでは11月に、同じ「気づかなかった」が原因の事案を扱いました。ApplyNow（提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れた・39万6,920人）。知らなければ直せません。
パスワードとカード情報が無事だったこと
本件で漏れなかったものに注目します。パスワードとクレジットカード情報です。
これは偶然ではありません。そもそも危険な形で持っていなかった可能性が高いと考えられます。
カード情報については、決済代行会社に任せて自社では保存しない「非保持化」が、国の指針でも求められています。本サイトでは同じ11月のノジマの事案（約700万件が漏えいしたがカード情報は対象外）でも、この点を取り上げました。
パスワードについては、ハッシュ化などで保存していれば、漏れてもそのままは使えません。
つまり、事故は起きたけれども、被害の深さは設計で決まったということです。
中小企業がECサイトを持つときの優先順位を、整理しておきます。
最優先：カード情報を自社で持たない。 決済代行会社のサービスを使う。
次：パスワードを安全な形で保存する。 制作会社に「どう保存していますか」と聞く。
次：集める項目を減らす。 本件では生年月日と住所まで漏れています。購入に住所は必要ですが、生年月日は本当に必要でしょうか。
最後：弱点を見つけて直す。 これは費用がかかり、終わりもありません。
順番が大事です。完璧に守るより、漏れても困らない形にしておくほうが、中小企業には現実的です。
時系列で見る経過
- 2026年10月18日サイトのプログラムの不備を突いた不正アクセスが発生
- 2026年11月5日公表。会員 最大19,468名分の漏えいの可能性
中小企業が学ぶべきポイント
- 原因は「サイトのプログラムの不備」。作る側が気をつければ防げた種類のもの。
- 作ってもらった側には中身が見えない。だから制作会社に聞く。専門用語は要らない。
- 「公開前に脆弱性の検査をしましたか。報告書はありますか」と聞く。
- 「ソフトやプラグインの更新は誰がいつやっていますか」と聞く。
- 「新しい弱点が見つかったとき連絡をもらえますか。契約に入っていますか」と聞く。保守契約の有無が分かれ目。
- 多くの制作契約は「作って納品して終わり」。その後の弱点は誰も直さない。
- パスワードとカード情報が無事だったのは偶然ではなく、持ち方の設計によるもの。
- 優先順位は、カード情報を持たない→パスワードを安全に保存→集める項目を減らす→弱点を直す。
- 完璧に守るより、漏れても困らない形にしておくほうが中小企業には現実的。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。