事案の概要データ
| 初報 | 2026年10月16日 |
|---|---|
| 第3報 | 2026年10月17日（10月18日 15時02分更新） |
| 第4報 | 2026年10月18日 |
| 最初の不正アクセス | 2026年10月14日（脆弱性は修正済み） |
| 再侵入 | 2026年10月16日・17日。別経路で流出した管理者パスワードで店舗管理画面へ不正ログインし、不正プログラムを設置 |
| 確認された被害 | 10月17日の注文データの一部とメールアカウント情報の抜き取り、店舗の正規アドレスからの不審メール送信 |
| 件数 | 流出件数・人数は非公表 |
| 利用店舗への要請 | SMTP認証に加え、POPのパスワード変更も要請 |
| 状況 | 外部専門会社による範囲の分析は継続中。対策完了・復旧済みではない |
図解：この事故の構造
何が起きたのか
ワサビは2026年10月16日に初報を出し、17日の第3報、18日の第4報と続報を重ねています。
経緯が特徴的です。まず10月14日に不正アクセスを受け、原因となった脆弱性は修正しました。ところがその後、10月16日と17日に、別経路で流出していた管理者パスワードを使って店舗管理画面へ不正ログインされ、不正プログラムを設置されています。
被害としては、10月17日の注文データの一部とメールアカウント情報の抜き取り、そして店舗の正規のメールアドレスからの不審メール送信が確認されています。流出件数・人数は非公表です。
「穴を塞いだのに、また入られた」
この事案が示すのは、脆弱性を修正しただけでは終わらないということです。
攻撃者は、最初の侵入の際に管理者パスワードなどの認証情報を持ち出していました。だから、入口の穴を塞がれても、正面玄関の鍵を持っている状態で戻ってこられます。
2026年8月の講談社の事案でも、同じ構図がありました。乗っ取られた当日にパスワードを変更したのに、3日後に二次被害が出ています。すでにデータがコピーされていたためです。
不正アクセスを受けたときにやるべきことは、脆弱性の修正だけではありません。(1)すべての管理者パスワードを変更する、(2)APIキーやトークンを再発行する、(3)全セッションを強制ログアウトする、(4)不審なプログラムやアカウントが追加されていないか確認する——この4点をセットで行う必要があります。
特に(4)は重要です。この事案では不正プログラムが設置されていました。塞いだはずの入口とは別に、攻撃者が自分で作った裏口が残されているケースがあります。
正規のアドレスから不審メールが送られた
確認された被害のなかに、「店舗の正規アドレスからの不審メール送信」があります。
受け取る側から見れば、それは本当に取引のある店舗からのメールです。ドメインも本物、送信元も本物。疑う理由がありません。
飲食店向けのサービスであれば、送信先は常連客や取引先です。「ご注文の確認」「キャンペーンのご案内」といった件名であれば、開封されます。
同社は利用店舗に対し、SMTP認証（メール送信時の認証）に加えて、POP（メール受信時の認証）のパスワード変更も要請しています。送信だけでなく受信側の認証情報も狙われている可能性があるためです。
「対策完了」とは書いていない
この事案の公表では、対策完了や復旧済みとは説明されていません。外部専門会社による範囲の分析が継続中であることが明示されています。
第4報の時点では、受注・買取・顧客情報を保存したうえで同日中に一時削除する予定であること、登録情報の暗号化が遅れていることも説明されました。
「復旧しました」と言い切らず、進行中の状態をそのまま伝える。利用者にとっては不安ですが、実態と異なる安心を与えるよりは誠実です。
なお同社は、2026年7月の開発環境に関する事案とは別の事案であることも区別して説明しています。
時系列で見る経過
- 2026年10月14日不正アクセスを受ける。原因となった脆弱性は修正
- 2026年10月16日初報を公表
- 2026年10月16日・17日別経路で流出していた管理者パスワードで店舗管理画面へ不正ログインされ、不正プログラムを設置される
- 2026年10月17日第3報を公表。注文データの一部とメールアカウント情報の抜き取り、正規アドレスからの不審メール送信を確認
- 2026年10月18日第4報を公表。外部専門会社による範囲の分析は継続中
中小企業が学ぶべきポイント
- 脆弱性を直しただけでは終わらない。奪われた認証情報で正面から戻ってこられる。
- 侵入を受けたら、全管理者パスワードの変更・APIキーの再発行・全セッション強制ログアウトをセットで行う。
- 不審なプログラムやアカウントが追加されていないか確認する。裏口が残されていることがある。
- 正規のアドレスから送られる不審メールは、受け取る側には見破れない。関係先へ早く知らせる。
- 「復旧しました」と言い切らない。進行中なら、進行中として伝える。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。