ムラウチドットコムの不正アクセス(2026年7月公表)
結論から
- 家電通販のムラウチドットコムで、Webシステムの一部にあった脆弱性を起点に不正アクセスを受け、その後、複数のシステムに侵入された(2026年9月15日の第二報)。
- 外部に持ち出された個人情報は7,716,811件。氏名・住所・電話番号に加え、一部はメールアドレス・生年月日・性別を含む。クレジットカード情報とログインID・パスワードは別システムで管理しており対象外。
- 7月15日未明のシステム障害の復旧作業中に、翌16日に不正アクセスの痕跡を見つけた。会社は認証情報とアクセス権限の管理の見直し、監視と検知の強化、定期的な脆弱性診断を再発防止策に挙げている。
概要
- 公表日
- 2026年7月24日
- 発生
- 2026年7月NaN日
- 検知・発覚
- 2026年7月NaN日
- 最新の公表
- 2026年9月15日
- 組織・業種
- ムラウチドットコム(EC(家電通販) / 小売・EC・アパレル)
- 漏えいした情報・件数
- 7,716,811件(氏名・住所・電話番号、一部はメールアドレス・生年月日・性別)。クレジットカード情報とログインID・パスワードは含まれない。お届け先として登録された情報は漏えいしていないことを確認
- 業務への影響
- 対象システムへの外部アクセスを遮断。本店は営業を継続。モール店舗の営業状況は各モールとの協議により異なる
- 業績への影響
- 未公表
- 犯行グループ(攻撃者の主張)
- 未公表
- 行政の対応
- 個人情報保護委員会に速報(2026-07-20)と確報(2026-09-14)を提出。警察に被害相談(2026-07-23)
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
第二報によると、外部の情報セキュリティ専門会社のフォレンジック調査(ログなどの証跡から何が起きたかを調べること)で、侵入の経緯が分かりました。会社が管理するWebシステムの一部に脆弱性があり、それを悪用されたことが起点です。攻撃者はそこから、複数のシステムに不正にアクセスしました。
どのWebシステムのどのような脆弱性だったか、攻撃者がどうやってほかのシステムに広がったかは、2026年10月6日時点で公表されていません。会社は再発防止策の最初に「システムへのアクセス権限と認証情報の管理方法の見直し」を挙げていますが、侵入後の経路との関係は公式資料では説明されていません。
クレジットカード番号などの決済情報と、ログインID・パスワードは別のシステムで管理していました。会社は、これらは今回の不正アクセスの対象ではないことを確認したとしています。
影響
外部に持ち出されたことが確認された個人情報は7,716,811件です。項目は氏名・住所・電話番号で、一部の人についてはメールアドレス・生年月日・性別も含まれます。お届け先として登録された情報は漏えいしていないことを確認したとしています。
第一報(7月24日)の段階では「漏えいした痕跡が確認された」という表現でしたが、第二報(9月15日)で外部への持ち出しの事実と件数が確定しました。第二報の時点で、本件が原因と確認された不正利用、金銭の被害、フィッシングメールなどの二次被害は確認されていません。
会社は、不正アクセスを確認したシステムへの外部からのアクセスを遮断しました。そのうえで安全性を確認し、本店の営業は続けています。モール店舗の営業状況は、各モールとの協議によって異なるとしています。業績への影響は公表されていません。
会社の対応と再発防止策
会社は痕跡を見つけた7月16日に外部アクセスを遮断し、調査を始めました。7月20日に個人情報保護委員会へ速報を出し、7月23日に警察に相談しています。7月24日に第一報を公表して専用の問い合わせ窓口(メール)を開き、7月27日から外部の専門会社によるフォレンジック調査を始めました。
調査報告書を受け取ったあと、9月14日に個人情報保護委員会へ確報を出し、9月15日に第二報を公表しました。同日から、対象の顧客に個別の通知メールを順次送っています。会社やECモール、カード会社を装った連絡に注意するよう呼びかけています。
再発防止策としては、システムへのアクセス権限と認証情報の管理方法の見直し、サーバとネットワークの監視と不正アクセスの検知体制の強化を進めています。今後も定期的な脆弱性診断とセキュリティ点検を行い、問題の早期発見に取り組むとしています。
公式サイトのFAQでは、公表までに時間がかかった理由を、被害拡大の防止を優先しつつ、事実関係と影響範囲を確認したうえで第一報を出したためと説明しています。問い合わせは専用のメール窓口に一本化し、そのためにSNSの更新を一時休止しました(再開は2026年11月ごろの予定)。登録している個人情報の削除を希望する人には、窓口で対応するとしています。
この事案から学べること
- 公開しているWebシステムの1つの脆弱性が、社内の複数のシステムへの入口になる。
- 決済情報とログイン情報を別のシステムに分けていたことで、漏えいの範囲が小さくなった。
- 侵入に気づいたきっかけはシステム障害の復旧作業だった。監視で先に気づける仕組みがあるかが問われる。
- 第一報から件数の確定まで約2カ月かかった。顧客への説明は、分かった範囲から段階的に出すことになる。
自社で確認すること
- 1 インターネットに公開しているWebシステムを一覧にし、定期的に脆弱性診断をしていますか。
- 2 Webサーバから、顧客情報を持つほかのシステムに、どの認証情報でどこまで入れるかを確認していますか。
- 3 障害が起きたとき、侵入の痕跡がないかを確認する手順が復旧の手順に入っていますか。
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- ムラウチドットコムでクレジットカード情報は漏れましたか?
- 会社の発表では、クレジットカード番号などの決済情報は別のシステムで管理しており、今回の不正アクセスの対象ではないことを確認しています。ログインIDとパスワードも対象外です。
- 何件の個人情報が漏れましたか?
- 2026年9月15日の第二報で、7,716,811件の個人情報が外部に持ち出されたことを確認したと発表されています。
出典
- 弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告(第一報) ↗ (株式会社ムラウチドットコム、2026-07-24)
- 弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告(第二報) ↗ (株式会社ムラウチドットコム、2026-09-15)
- ムラウチドットコムに不正アクセス、7,716,811件の個人情報が漏えい ↗ (ScanNetSecurity、2026-10-06)
- 弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告(お客様へのご案内・よくあるご質問) ↗ (株式会社ムラウチドットコム、2026-09-15)