2026年に入ってからも、ECサイトと小売チェーンのサイバー攻撃被害の公表が続いています。ブランド古着ECのカインドオルは、管理用アカウントの乗っ取りで136,464名分の顧客情報が流出しました。ペット用品通販のチャームは不正ログインで約39万件が対象になり、WonderGOOや新星堂など116店舗を運営するREXTホールディングスはランサムウェアで店舗のキャッシュレス決済とECの発送が同時に止まっています。
本記事では、2026年に公表されたEC・小売の主な事例を時系列で整理し、「決済ページ改ざん」「アカウント乗っ取り」「ランサムウェア」「基盤側の侵害」の4つの型に分けて、侵入経路・影響・復旧までの経過を各社の公表資料に基づいてまとめます。そのうえで、事例に共通する弱点と、EC事業者が優先して取り組むべき対策を解説します。業種横断の事例はサイバー攻撃の最新事例【2026年版】業種別被害と対策まとめを参照してください。
※本記事の事実関係は2026年9月14日時点の各社公表資料と公的統計に基づきます。調査継続中の事案は今後内容が更新される可能性があります。攻撃者の名称は各社が公表していないため記載していません。
1. 2026年、ECサイトと小売が狙われ続ける理由（数字で見る現状）
日本クレジット協会が2026年9月7日に公表した集計によると、2026年1〜6月のクレジットカード不正利用被害額は221.3億円で、そのうち番号盗用が206.1億円（93.1%）を占めます。2025年通年は510.5億円（番号盗用475.4億円）で、2024年の555.0億円からは減ったものの、半年で200億円を超える水準が続いています。番号盗用とは、カード本体を使わずに、カード番号・有効期限・セキュリティコードの組み合わせだけで決済する手口です。ECサイトから抜かれたカード情報が、そのまま被害額になります。
警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、2025年のランサムウェア被害報告は226件でした。業種別では製造業が約4割で最多、次いで卸売・小売業が上位に入っています。個人情報保護委員会の令和7年度年次報告（2026年7月7日公表）では、民間事業者からの漏えい等事案の報告処理が17,139件でした。
指標 | 値 | EC・小売への含意 |
|---|---|---|
カード不正利用被害額（2026年1〜6月） | 221.3億円、うち番号盗用206.1億円（93.1%） | ECの決済画面から抜かれた番号が被害の中心 |
カード不正利用被害額（2025年通年） | 510.5億円（2024年は555.0億円） | 減少傾向でも年500億円規模が続く |
ランサムウェア被害報告（2025年） | 226件。製造業が約4割、次いで卸売・小売業 | 店舗のレジ・決済・ECが同じ基幹系で止まる |
漏えい等事案の報告処理（令和7年度） | 17,139件 | 公表される事案は報告全体の一部にすぎない |
制度 | クレジットカード・セキュリティガイドライン【6.1版】（2026年3月11日） | EC加盟店に管理画面のIP制限・多要素認証・脆弱性診断を求める |
ECサイトが狙われる理由は構造にあります。決済情報と個人情報が同じ画面で入力され、管理画面はインターネットから直接ログインでき、運営はカートASPや委託先に分散しています。攻撃者から見れば、1回の改ざんで数か月分のカード情報が手に入り、1つの管理者パスワードで全会員のデータが取り出せる仕組みです。
2. 2026年に公表されたEC・小売の主なサイバー攻撃事例（時系列）
2026年1月から9月上旬までに公表された主な事例を、公表時期の順に並べます。攻撃自体は2024年や2025年に起きていて、カード会社からの連絡を受けて2026年に公表された事例も含めています。
公表時期 | 企業・サイト | 事象 | 主な影響 |
|---|---|---|---|
2026年1月16日（詳細4月27日） | ボンフォーム「ボンフォームオンラインストア」（カー用品） | 決済ページ用JavaScriptの改ざん。漏えい期間は2021年3月25日〜2024年11月8日 | カード情報3,463件（3,268名）、個人情報735件。購入に至らなかった顧客のカード情報も対象 |
2026年1月26日 | インテリックス「ジャストカーテンオンラインショップ」 | 決済ページ（ペイメントアプリケーション）の改ざん。カード情報の漏えい期間は2024年4月30日〜2025年5月24日 | カード情報10,423件、個人情報60,663件。2025年5月のカード会社連絡から公表まで250日 |
2026年2月6日 | ビューティガレージ（理美容商材EC、東証プライム） | カード会社からの連絡で同日カード決済を停止。不正アクセスの可能性 | 8月19日時点で漏えいの有無・件数とも調査中。カード決済の停止は6か月超 |
2026年6月15日 | 佐嘉平川屋「佐嘉平川屋オンラインショップ」（食品） | 決済ページの改ざん。カード情報の漏えい期間は2025年3月21日〜2026年3月10日 | 個人情報73,213件、カード情報6,303件（対象者5,783名） |
2026年7月8日 | ヴェレダ・ジャパン「ヴェレダ 公式オンラインショップ」 | 第三者の不正アクセスによるシステム侵害 | 個人情報の一部流出が懸念。8月19日からサイト全体を停止、再開時期は未定 |
2026年7月29日 | シー・コネクト「インク革命」（プリンターインク通販） | ペイメントアプリケーションの改ざん。漏えい期間は2025年4月8日〜12月10日 | 24,166件（カード情報と個人情報）。カード会社連絡から公表まで232日 |
2026年8月1日 | Eストアー「ショップサーブ」（カートASP） | 基盤側での不正プログラムの実行（5月21日〜8月1日） | 最大延べ8,853,839件。詳細は9月版レポート |
2026年8月10日 | RIZAP「APORITOオンラインストア」（スポーツ・アウトドア用品） | 不正スクリプトの設置（対象期間5月1日〜8月5日） | 氏名・住所・電話番号・メールアドレスと、カード番号・有効期限・セキュリティコードが流出した可能性。件数は未公表、サイト閉鎖中 |
2026年8月10日 | REXTホールディングス（WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATE、116店舗） | ランサムウェア | 一部店舗の臨時休業、キャッシュレス決済の制限、買取・ポイントの停止、EC発送遅延。9月11日に流出した可能性のある情報の一部をインターネット上で確認 |
2026年8月13日 | チャーム「チャーム本店」（ペット用品通販） | 不正ログイン（確認期間7月1日〜8月12日） | 漏えい確認約37万件と漏えいのおそれ約2万件の計約39万件（9月2日第3報）。不正ログインが確認されたのは239名 |
2026年8月18日 | ウェブライフ（ホームページ作成サービスのOEM基盤） | 顧客管理システムのアクセス制御の不備（8月14日〜17日） | 最大7,425名のメールアドレスと管理用情報 |
2026年8月21日 | いまでや「IMADEYA ONLINE STORE」（酒類） | 注文情報の外部流出（原因は特定できていない） | 氏名・メールアドレス・注文番号・注文金額を正確に記載したフィッシングメールが顧客に届く。オンラインストアを停止 |
2026年8月28日 | カインドオル「カインドオルオンライン」（ブランド古着） | ECプラットフォームのスタッフアカウント乗っ取り（フィッシング） | 136,464名。顧客情報の一括エクスポートが2回実行された |
2026年8月28日 | イエローハット | 予約システムからの漏えい | 最大1,801,499名。詳細は9月版レポート |
2026年8月30日 | まんだらけ（中古品小売・通販） | 配送情報を保有するサーバーへの侵入 | 8月28日6時までの注文者の氏名・住所・電話番号・メールアドレス。通販を8月30日〜9月5日停止 |
3. 事例の詳細：4つの型ごとに、何が起き、どう止まり、どう戻ったか
型1 決済ページ改ざんでカード情報が抜かれる（インク革命・佐嘉平川屋・ボンフォーム・ジャストカーテン・APORITO）
4社の公表文はほぼ同じ文言で、「システムの一部の脆弱性をついた第三者の不正アクセスにより、ペイメントアプリケーション（決済ページ用JavaScript）が改ざんされた」と説明しています。改ざんされた決済画面は見た目が変わらないまま、顧客が入力したカード番号・有効期限・セキュリティコードを攻撃者のサーバーへ送ります。カード情報を自社で保存しない「非保持化」を済ませていても、入力の瞬間に抜かれるため防げません。
インク革命は2025年12月9日にカード会社から連絡を受けて翌日に決済を停止し、2026年3月18日に第三者調査を終え、7月29日に24,166件の漏えいの可能性を公表しました。公表文には「本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが」と、公表が遅れたことへの断りが添えられています。佐嘉平川屋は2026年3月9日のカード会社連絡から98日、ジャストカーテンは2025年5月の連絡から250日で公表しました。
ボンフォームの漏えい期間は2021年3月25日から2024年11月8日で、検知は2026年1月14日です。3年半にわたる漏えいが終わってから1年以上たって判明した形で、購入手続きを完了しなかった顧客のカード情報も流出した可能性があると公表しています。
RIZAPのAPORITOオンラインストアだけは自社検知です。8月5日にシステム内で不審な外部送信プログラムを発見し、同日15時30分にサイトを閉鎖、5日後の8月10日に公表しました。ビューティガレージは2月6日にカード会社から連絡を受け、同日23時にカード決済を止めました。しかし8月19日の第6報でも漏えいの有無と件数は調査中で、8月12日から別の外部専門機関による再調査に入っています。カード決済の停止は6か月を超えました。
この型の教訓：検知の起点は5社中4社がカード会社からの連絡で、自社の監視では気づけていません。漏えいが始まってから公表まで、短くても数か月、長ければ2年以上です。決済ページに置くJavaScriptの改ざん検知と、外部への通信先の監視がないと、被害は「カード会社が気づくまで」続きます。
型2 管理用アカウントとログインの乗っ取りで会員情報が流出する（カインドオル・チャーム・いまでや・まんだらけ）
カインドオルの公表文は、侵入の経緯を時刻単位で説明しています。ECプラットフォームの運営会社を装ったフィッシングメールから偽サイトへ誘導され、スタッフが認証情報を入力した直後に最初の不正アクセスが発生しました。翌8月23日には顧客情報の一括エクスポートが2回実行されています。当該アカウントには二段階認証が設定されておらず、パスワードも十分な強度ではなかったと公表しています。漏えいの可能性がある顧客は136,464名で、氏名・住所・電話番号・生年月日・メールアドレスに加え、注文回数・購入金額・ポイント履歴まで含まれます。対応として、全スタッフアカウントで二段階認証を必須にしました。
チャームは8月12日午前10時に不正ログインを検知して本店を休店し、翌日に約23万件の漏えいの可能性を公表しました。9月2日の第3報では、漏えいが確認されたものが約37万件、おそれがあるものが約2万件、合計約39万件に増えています。不正ログインが確認されたのは239名で、使われたメールアドレスとパスワードの入手経路は特定に至っていません。カード情報は含まれていません。
いまでやは8月20日夜、顧客から「注文番号と注文金額が正確に書かれたフィッシングメールが届いた」という問い合わせを30件ほど受けて事態を把握しました。原因は自社システムと外部連携サービスの両面で調査中とし、管理権限の縮小、全管理者のパスワード変更、二段階認証の設定、外部連携の停止を行ったうえでオンラインストアを止めています。まんだらけは8月27日深夜に配送情報を保有するサーバーへの侵入を確認し、通販を8月30日から9月5日まで、オークションを9月7日まで停止しました。
この型の教訓：カード情報が非保持でも、管理画面から会員情報は丸ごと取り出せます。スタッフアカウントの多要素認証、管理画面へのIPアドレス制限、一括エクスポートの監視の3つがあれば、カインドオルの型は防げました。ガイドライン6.1版がEC加盟店に求めているのは、まさにこの3つです。
型3 ランサムウェアで店舗とECが同時に止まる（REXTホールディングス）
REXTホールディングスは8月9日にランサムウェア被害を確認し、翌10日に第1報を出しました。影響は一部店舗の臨時休業と部分営業、キャッシュレス決済の利用制限、買い取り受付と査定の停止、ポイントサービスの休止、ECの発送遅延と、店頭とオンラインの両方に及びました。8月16日に休業店舗が営業を再開し、8月31日にはクレジットカード決済が全店で再開、9月上旬に全店で制限が解消される見込みと公表しています。
9月11日の第4報では、「当社らから流出した可能性のある情報の一部がインターネット上に掲載されていることを確認」しました。件数と侵入経路は公表されていません。同社にスポーツ用品事業の運営を一部委託していたRIZAPも、同日に第4報を出しています。
2025年の比較例として、大分の百貨店トキハとトキハインダストリーは、2025年3月30日のランサムウェア被害で顧客情報421,355件（うちカード番号・名義・有効期限を含むもの127,263件）が閲覧された可能性を公表しました。小売のランサムウェアは、レジ・決済端末・ポイント・EC出荷が同じ基幹系に載っているため、製造業の生産停止と同じく「止まること」が損失の中心になります。
この型の教訓：現金以外の決済手段が全店で止まる前提で、代替決済の手順と店舗・顧客への告知文を平時に用意しておく必要があります。REXTは休業解消まで1週間、カード決済の全店再開まで3週間かかりました。
型4 基盤側の侵害が複数の店舗へ波及する（ウェブライフ・ショップサーブ）
ウェブライフは、OEMパートナー向けの顧客管理システムでアクセス制御の不備を突かれ、8月14日から17日にかけて最大7,425名のメールアドレスと管理用情報が閲覧されました。パスワードとカード情報の漏えいは確認されていません。カートASPのショップサーブ（Eストアー）では5月21日から8月1日にかけて基盤上で不正プログラムが実行され、最大延べ8,853,839件が対象になりました。個々の店舗は自社サイトに手を入れていなくても被害を受けます。基盤側の事案は【2026年9月版】サイバー攻撃トレンドレポートで詳しく扱っています。
4. 事例に共通する3つの弱点
弱点1：自社では検知できず、カード会社か顧客からの連絡で気づく
決済ページ改ざん型の5社中4社はカード会社からの連絡が起点で、いまでやは顧客からの問い合わせ、カインドオルも不正アクセスの2日後に検知しています。決済画面に仕込まれたスクリプトも、管理画面への正規ログインも、通常の監視では「正常な動作」に見えます。
弱点2：公表まで数か月、決済停止は半年を超える
カード会社の連絡から公表までは佐嘉平川屋の98日からジャストカーテンの250日まで幅があり、フォレンジック調査の完了と本人通知の準備に時間がかかります。その間、カード決済は止まったままで、ビューティガレージは6か月を超えました。ECにとって決済停止は売上の停止と同じです。
弱点3：管理画面とスタッフアカウントの認証が弱い
カインドオルは二段階認証未設定とパスワード強度不足を公表し、いまでやは事後に全管理者のパスワード変更と二段階認証設定を行いました。チャームの不正ログインもID・パスワードだけで通っています。ガイドライン6.1版のEC加盟店向け脆弱性対策は、次の項目を「すべて講じる」ことを求めています。割賦販売法の実務上の指針と位置づけられており、任意の推奨ではありません。
- 管理画面へのIPアドレス制限
- 二段階認証または多要素認証
- ログイン失敗10回以下でのアカウントロック
- データディレクトリの設定不備への対策
- 定期的な脆弱性診断とペネトレーションテスト
5. EC・小売が優先すべき対策（優先順）
事例の弱点に対応する形で、着手する順番に並べます。
優先度 | 対策 | 具体的に何をするか | 対応する事例 |
|---|---|---|---|
1 | 管理画面とスタッフアカウントの認証強化 | 全アカウントに多要素認証を必須化し、管理画面をIPアドレスで制限、ログイン失敗10回以下でロック。プラットフォームのスタッフ権限を棚卸しし、退職者・委託先のアカウントを削除する | カインドオル、いまでや、チャーム |
2 | 決済ページの改ざん検知と外部送信の監視 | 決済画面に読み込まれるJavaScriptの一覧を固定し、変更と未知の送信先への通信を検知する。決済代行のトークン化やリダイレクト型決済へ切り替え、自社ページでカード番号を入力させない | インク革命、佐嘉平川屋、ボンフォーム、ジャストカーテン、APORITO |
3 | 定期的な脆弱性診断とペネトレーションテスト | ガイドライン6.1版が求める項目。決済ページと管理画面を含めて年1回以上、大きな改修のたびに実施する。CMSやプラグインの脆弱性が改ざんの入口になる | 決済ページ改ざん型の全件 |
4 | 一括エクスポートと大量アクセスの監視 | 顧客データのエクスポート実行を通知し、通常と異なる時間帯・件数を止める。海外IPや短時間の大量試行など不正ログインの兆候を検知する | カインドオル、チャーム |
5 | 委託先・プラットフォームの管理 | カートASP、OEM基盤、運営委託先の障害・侵害時の連絡経路と責任分界を契約で決める。基盤側の告知を自社顧客へ転送する手順を持つ | ショップサーブ、ウェブライフ、REXT／RIZAP |
6 | 止まったときの手順と開示体制 | 決済停止時の代替決済（振込・コンビニ・後払い）、店舗の現金運用、顧客への第一報の文面を平時に用意する。カード会社連絡から48時間以内に決済停止・証拠保全・個人情報保護委員会への速報を終える | REXT、ビューティガレージ、インク革命 |
費用の目安として、1と4は既存のプラットフォームの設定で今日から着手でき、費用はほぼかかりません。2と3は外部の診断サービスや改ざん検知ツールの費用が発生しますが、決済停止が半年続く損失と比べれば桁が違います。決済まわりの制度要件はクレジットカード決済で必須の「セキュリティ・チェックリスト」とは？とPCI DSS 4.0対応ガイド【2026年版】で解説しています。不正ログイン対策の全体像は不正アクセスの事例【2026年版】手口・被害額・再発防止策まとめを参照してください。
6. よくある質問（FAQ）
Q. カード情報を自社で保存していない（非保持化済み）なら、カード情報は漏れませんか？
A. 漏れます。2026年に公表された決済ページ改ざん型の事例は、いずれも、顧客が入力している最中のカード情報を抜かれています。非保持化は「保存しない」ための対策で、「入力画面を守る」対策とは別物です。改ざん検知とリダイレクト型決済の併用が要ります。
Q. カード会社から「漏えいの可能性がある」と連絡が来たら、最初に何をすべきですか？
A. その日のうちにカード決済を停止し、サーバーのログとファイルを保全し、個人情報保護委員会へ速報を出し、警察に相談する順です。2026年の事例では連絡当日に決済を止めた企業がほとんどですが、公表までは98〜250日かかっています。停止中の代替決済と顧客への案内文を先に用意しておくと、売上が止まる期間を短くできます。
Q. 年商数億円規模の小さなECでも狙われますか？
A. 狙われます。2026年に公表した企業には、地方の食品EC（佐嘉平川屋）やカー用品EC（ボンフォーム）、プリンターインク通販（インク革命）が含まれます。攻撃者が見ているのはサイトの規模より、決済ページに改ざんできる脆弱性があるかどうかです。改ざん型の被害は数千件から数万件で、規模に関係なく決済停止と本人通知の負担が発生します。
Q. クレジットカード・セキュリティガイドライン6.1版で、EC事業者の義務は変わりましたか？
A. 6.1版（2026年3月11日公表）は、6.0版からの指針対策の追加・変更はないと明記されています。EC加盟店に求める脆弱性対策（管理画面のIP制限・多要素認証・アカウントロック・脆弱性診断など）は6.0版からの継続です。附属文書には、非接触IC本人確認の明確化や、不正利用の抑止を実現する加盟店の事例集が追加されました。
7. 参考情報（一次情報）
- 日本クレジット協会「クレジットカード不正利用被害の発生状況」（2026年9月7日公表）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
- 個人情報保護委員会「令和7年度年次報告」（2026年7月7日）
- クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」および改訂ポイント（2026年3月11日）
- REXTホールディングス 第1報（2026年8月10日）〜第4報（9月11日）、店舗営業状況ページ（8月31日更新）
- カインドオル（2026年8月28日、9月2日追記）、チャーム（8月13日初報、9月2日第3報）、いまでや（8月21日、8月26日）、まんだらけ（8月30日、9月4日）の各公表文
- RIZAP（2026年8月10日、第2報8月18日）、シー・コネクト（7月29日）、佐嘉平川屋（6月15日）、ボンフォーム（1月16日、4月27日）、ビューティガレージ（2月6日〜8月19日第6報）、ヴェレダ・ジャパン（7月8日、8月18日更新）、ウェブライフ（8月18日、8月26日）の各公表文
- インテリックス「ジャストカーテン」は公式文書を取得できなかったため、カード会社2社の告知と業界紙2誌で照合
- トキハ・トキハインダストリー（2025年4月2日、7月23日）の公表文
AEVUSのEC・小売向けセキュリティ支援
AEVUSは、EC・小売のお客様に対して次の支援を提供しています。
- Webアプリ脆弱性診断：決済ページ・会員機能・管理画面を対象に、改ざんの入口になる脆弱性を洗い出します。ガイドライン6.1版が求める定期診断に対応します
- プラットフォーム診断・ペネトレーションテスト：管理画面のアクセス制御、クラウドやカートASPとの接続設定、委託先からの経路を攻撃者の視点で検証します
- SOC・インシデント対応：不正ログインや改ざんの検知から隔離・初動・カード会社対応までを支援します
「自社の決済ページと管理画面が、改ざん型・乗っ取り型に耐えられるか」を確認するところから始めたい企業は、Web／Mobile脆弱性診断のページをご覧いただくか、お問い合わせフォームからご相談ください。
まとめ
- 2026年1〜6月のカード不正利用被害額は221.3億円で、93.1%が番号盗用。ECの決済画面から抜かれた番号が被害の中心
- 2026年の事例は、決済ページ改ざん（インク革命24,166件・ジャストカーテン10,423件など）、アカウント乗っ取り（カインドオル136,464名・チャーム約39万件）、ランサムウェア（REXT 116店舗）、基盤側の侵害（ショップサーブ最大延べ8,853,839件）の4つの型に分かれる
- 検知の起点はカード会社か顧客からの連絡で、公表まで98〜250日、決済停止は最長6か月超。非保持化だけでは入力中のカード情報を守れない
- 優先順位は、管理画面とスタッフアカウントの多要素認証・IP制限 → 決済ページの改ざん検知 → 定期的な脆弱性診断 → エクスポート監視 → 委託先管理 → 止まったときの手順
