越境EC「WorldShopping」に不正アクセス、海外顧客301名の個人情報が漏えい 検知から3日で適時開示

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社ジグザグは2026年10月19日、越境ECサービス「WorldShopping」への不正アクセスにより、海外顧客の個人情報が漏えいしたことを適時開示しました。

WorldShoppingは、海外に住んでいる人が日本の通販サイトで買い物をするための購入代行サービスです。日本のECサイトは海外発送に対応していないことが多いため、そこを埋めるサービスです。

公表文によれば、2026年10月16日に外部からの不審なアクセスを検知して調査を開始。その結果、10月15日から16日にかけて不正アクセスがあり、顧客の個人情報が外部に漏えいしたことを確認しました。

対象は海外のお客様301名（10月19日時点）。対象地域は台湾、香港、米国、韓国、中国ほかです。情報項目はメールアドレス、氏名、住所、電話番号、ご注文に関する情報で、漏えいした項目は顧客により異なるとしています。

「クレジットカード情報およびパスワードは含まれておりません」と明記。また、法人向けの「WorldShopping BIZ」を導入しているEC事業者から預かっている情報は、現時点の調査では対象に含まれないとしています。

「海外のお客様」だから、報告先が1つではない

この公表文で最も特徴的なのは、対応の3番目に書かれた一文です。

「個人情報保護委員会、および法令に基づき報告が必要な国・地域の関係当局に順次報告を行っております」

日本国内の事故なら、報告先は個人情報保護委員会だけです。しかし、漏えいしたのが台湾、香港、米国、韓国、中国の居住者の情報だと、話が変わります。

個人情報の保護に関する法律は、国ごとに違います。そして多くの国の法律は、「自国の居住者の個人情報を扱う事業者」を対象にしています。日本の会社が日本のサーバーで扱っていても、対象が自国民なら適用される、という作りです。

つまり、海外の顧客を持った瞬間に、守るべきルールが増えます。 301名という数字は決して大きくありませんが、それが5つの国・地域にまたがっていると、報告先は最大で6か所（日本＋5）になります。

ここが、中小企業にとって実務的な論点です。越境ECや海外向けのサービスを始めるとき、「売れるか」の検討はしますが、「漏れたときにどこへ報告するか」の検討はほとんどされません。

とはいえ、中小企業が各国の法律を全部調べるのは現実的ではありません。やれることは2つです。①海外の顧客を取るなら、使うプラットフォーム（決済、カート、配送）の側が各国法に対応しているかを確認する。②自社で直接個人情報を預かる範囲を、できるだけ小さくする。

②が本質です。預かっていない情報は、漏れません。 住所が必要なのは発送のときだけなら、発送業者のシステムに持たせて自社には残さない。こうした設計ができていれば、報告先の数も自然に減ります。

「不備を修正した」と書かれた2つの場所

対応の1番目は、原因そのものを明言していませんが、修正した場所を2つ名指ししています。

「不正アクセスに利用された経路を遮断し、メール配信システムおよび入力フォームの不備を修正いたしました」

さらに「あわせて、攻撃者が使用した認証情報を無効化し、再発行しております」。

この3つの記述から読めることがあります。①入口は、メール配信システムか入力フォームのどちらか（または両方）。②攻撃者は何らかの認証情報を使っていた。

中小企業のサイトで、この2つは最も狙われやすい場所です。理由は単純で、どちらも「外から誰でも触れる」からです。

入力フォームは、問い合わせフォーム、資料請求フォーム、応募フォームなど。誰でもアクセスでき、データベースに書き込みます。古いフォームプログラムを使い続けていると、脆弱性を突かれて中身を読み出されます。

メール配信システムは、メールマガジンの配信ツールなど。宛先リストという、きれいに整った個人情報のかたまりを持っています。本サイトでは2026年10月、メール配信サービスへの不正アクセスで40を超える組織に波及した事案も扱いました。

今日できる確認は3つです。①自社サイトのフォームは、いつ作ったものか（5年以上前なら要注意）。②メール配信ツールのログインに多要素認証がかかっているか。③使っていない古いフォームが、サイトに残っていないか。

③は見落とされがちです。キャンペーンが終わったフォームが、URLを知っていれば開ける状態で残っている。中身の名簿も残っている。これが本当によくあります。

301名という小さな数字を、上場企業が「適時開示」した

もう1つ記録しておきたいのは、公表の形式です。この公表文は、会社のお知らせページではなく、東京証券取引所の適時開示（TDnet）として出されています。

文書の冒頭には「会社名 株式会社ジグザグ／代表者名 代表取締役 仲里一義／（コード番号：340A 東証グロース市場）」と記載され、末尾には「6．業績への影響 本件が当社の業績に与える影響については、現在精査中です」という項目まであります。

301名は、2026年10月に報じられた事案の中では小さい数字です。数百万件規模の事案が続いた月でした。それでも上場企業として適時開示したのは、件数の大小ではなく「投資家が知るべき事実かどうか」で判断しているということです。

中小企業に上場企業の開示義務はありません。しかし、考え方は使えます。「何件以上なら公表する」という線引きで考えないほうがよいということです。

判断の基準は件数ではなく、「知らされないと困る人がいるか」です。301人の海外顧客は、自分の氏名と住所とメールアドレスが漏れたことを、公表されなければ知る手段がありません。だから公表する。1人でも同じです。

そして、この公表文は検知から3日で出ています。「301名」という確定した数字と、漏えい項目、含まれない項目（カード情報とパスワード）まで書いた上で3日です。早く出すことと、正確に出すことは、必ずしも対立しません。

時系列で見る経過

• 2026年10月15日〜16日第三者による不正アクセスが発生
• 2026年10月16日当社サービスへの外部からの不審なアクセスを検知し、調査を開始。判明後速やかに経路を遮断し、原因となったシステムの不備を修正
• 2026年10月19日適時開示「不正アクセスによる海外のお客様の個人情報漏えいに関するお詫びとお知らせ」。海外のお客様301名の個人情報漏えいを確認（検知から3日）
• （同時）個人情報保護委員会および法令に基づき報告が必要な国・地域の関係当局に順次報告。対象顧客に電子メールで個別に連絡
• 2026年11月2日報道（ScanNetSecurity）が事案を取り上げる

中小企業が学ぶべきポイント

1. 海外の顧客を持つと、漏えい時の報告先が日本の個人情報保護委員会だけでは済まなくなる。
2. 越境ECを始めるときは「売れるか」だけでなく「漏れたときにどこへ報告するか」も確認する。
3. 預かっていない情報は漏れない。自社で直接持つ個人情報の範囲を小さく設計する。
4. 入力フォームとメール配信システムは、外から誰でも触れるため最も狙われやすい。
5. 5年以上前に作ったフォームプログラムは、脆弱性の確認が必要。
6. キャンペーンが終わった古いフォームと名簿が、サイトに残っていないか確認する。
7. 公表するかどうかは件数ではなく「知らされないと困る人がいるか」で決める。
8. 検知から3日で、確定件数と漏えい項目まで書いた公表は可能。早さと正確さは必ずしも対立しない。

出典・参考

• 不正アクセスによる海外のお客様の個人情報漏えいに関するお詫びとお知らせ（株式会社ジグザグ・2026年10月19日・適時開示PDF）
• 越境ECサービス「WorldShopping」に不正アクセス、海外顧客301名の個人情報が漏えい（ScanNetSecurity）