ゼビオHDのEC子会社に不正アクセス、決済画面の改ざんも確認 最大約15万8,000件

事案の概要データ

図解：この事故の構造

何が起きたのか

ゼビオホールディングスは2026年10月23日、グループのEC子会社が使うECプラットフォームが第三者から不正アクセスを受けたと公表しました。対象は連結子会社のGALLERY・2のECサイトです。

流出の可能性があるのは、購入者名とメールアドレスが最大約128,000件、住所と電話番号が最大約122,000件、注文確認メールの内容と送信先アドレスが最大約158,000件です。これらは数え方が異なるため、単純に合算できません。

そして、決済画面の改ざんも確認されています。クレジットカード番号とログインパスワードは流出した情報に含まれていないとされています。

「決済画面の改ざん」が意味すること

この事案で最も重いのは、決済画面が改ざんされていたという点です。

ECサイトの決済画面を書き換える攻撃は「Webスキミング」と呼ばれます。見た目はいつもの入力画面のまま、入力されたカード番号を攻撃者のサーバーへ送るプログラムを仕込む手口です。

利用者には気づきようがありません。URLも正しく、画面も正しく、買い物も成立します。それでも、入力した情報は盗まれています。

公表では「流出した情報にクレジットカード番号は含まれない」とされていますが、これは保存されていたデータについての説明です。改ざんされた画面で入力されたカード情報が別経路で取得された可能性については、調査の進展を見る必要があります。

該当期間に同サイトでカード決済をした方は、カードの利用明細を確認してください。身に覚えのない請求があれば、カード会社へ連絡します。

数字を足し算してはいけない理由

本件の3つの数字——128,000件、122,000件、158,000件——は、合算できません。

購入者名とメールアドレスの組は128,000件。住所と電話番号の組は122,000件。注文確認メール関連は158,000件。同じ人が3つすべてに含まれている可能性が高いです。

足し算すれば40万件を超えますが、それは実態ではありません。おそらく実際の人数は15万人前後です。

2026年10月は、こうした「区分ごとの件数」の公表が目立ちました。10月22日のキャリー「Lili」（会員・本人確認書類・登録途中離脱・問い合わせの4区分）、10月23日のトレジャー・ファクトリー（顧客・取引先・端末の3区分）です。

報道や一覧では、最大の数字が見出しになりがちです。しかし公表文を読むと、その数字が何を数えたものかが分かります。自社が公表する側になったときも、区分を明示したうえで「合算できない」と書き添えると、誤解を防げます。

子会社のECサイトという位置づけ

侵入されたのは、ゼビオ本体ではなく、連結子会社のGALLERY・2が使うECプラットフォームです。

グループ企業では、子会社ごとに別々のシステムを使っていることがあります。本体の守りが固くても、子会社のシステムが手薄なら、そこが入口になります。

そして事故が起きれば、グループ全体の名前で報じられます。本件も「ゼビオHD」として報道されました。

グループ経営をしている企業は、子会社も含めてどんなシステムが動いているかを把握しておく必要があります。「誰がいつ導入したか分からないサイト」が残っていないか——これは中小企業グループでも同じです。

時系列で見る経過

• 2026年10月連結子会社 GALLERY・2 のECサイトが使うECプラットフォームが不正アクセスを受ける
• 2026年10月決済画面の改ざんを確認
• 2026年10月23日購入者名・メールアドレス 最大約128,000件、住所・電話番号 最大約122,000件、注文確認メール関連 最大約158,000件への影響の可能性を公表

中小企業が学ぶべきポイント

1. 決済画面の改ざん（Webスキミング）は利用者には気づけない。URLも画面も正常に見える。
2. 「保存データにカード番号は含まない」と「改ざん画面で入力された情報」は別の話。
3. 区分ごとの件数は合算できない。同じ人が複数の区分に含まれている。
4. 公表する側は、区分を明示し「合算できない」と書き添えると誤解を防げる。
5. グループ経営では子会社のシステムも把握する。本体が固くても子会社が入口になる。
6. 該当期間にカード決済をした利用者は、利用明細を確認する。

出典・参考

• アンドエスティ、ゼビオ、トレジャーファクトリーで情報漏えい - 激流オンライン
• 【企業一覧】個人情報の漏洩・恐れを公表した企業など 随時更新 - 日本経済新聞