セキュリティ情報漏洩の過去事例から学ぶ—カード非保持でも漏れる経路と、今からできる確認

---

「決済は代行会社に任せているから、うちにリスクはない」——そう考えていた事業者が、ある日突然、顧客への謝罪文を準備することになった事例が複数公表されています。

ECサイトやD2Cの現場でLPや入力フォームを扱い続けていると、ひとつ気になることがあります。キャンペーンのたびに増えていく入口と、終わったあと誰も確認しなくなる入口の存在です。この記事では、公表されている過去の事例と公的機関のデータをもとに、漏えいがどこから起きているのかを整理します。法的な助言ではありませんが、今日から確認できることが必ずあります。

---

漏えいは減っていない—最新の統計が示す現実

令和6年度は過去最多の19,056件

画面の前で「うちは小規模だから大丈夫」と思っている方に、まず数字を見ていただきたいと思います。

個人情報保護委員会の年次報告によれば、令和6年度に民間事業者から処理した漏えい等報告の件数は19,056件にのぼり、集計開始以来の過去最多を記録しました。令和7年度は17,139件と前年度より減少しているものの、依然として高い水準が続いています（出典：個人情報保護委員会）。

「減ってきた」という見方もできますが、1日あたり約47件が報告されている計算です。この件数の中に、自社と近い規模・業種の事業者が含まれていないと言いきれるでしょうか。

番号盗用による被害が大半を占める

漏えいが起きた結果として何が失われるのか。クレジットカードに絞ると、その実態が見えてきます。

日本クレジット協会の2025年統計によれば、クレジットカード不正利用被害額は510.5億円にのぼり、そのうち番号盗用被害額が475.4億円を占めています（出典：日本クレジット協会）。被害のほぼ全てが、カード番号そのものを盗まれることから発生しているという構造です。

この数字が意味するのは、カード情報が漏えいした時点で、既に経済的な被害が動き始めているということです。

---

カード情報を保持していなくても、入力画面から漏れる

決済代行を使っているから安全とは限らない

「カード情報の非保持化」は、EC事業者にとってセキュリティ対策の重要な一歩です。自社のサーバーにカード番号を保存しない仕組みにすれば、そのサーバーが攻撃されてもカード情報は漏れない——その前提は正しい。

しかし、ここに見落とされやすい盲点があります。非保持化は「保存されたデータの漏えい」を防ぐものです。「入力の瞬間の情報を傍受される」リスクを防ぐものではありません。

お客さまがカード番号を入力する画面、その画面を構成するプログラムが改ざんされれば、入力された情報は送信ボタンを押す前から外部に送られている可能性があります。

Webスキミングと呼ばれる手口の実態

この手口は「Webスキミング」と呼ばれています。決済ページやお問い合わせフォームに組み込まれたJavaScriptなどのプログラムが、第三者の不正アクセスによって書き換えられ、ユーザーが入力した情報を攻撃者が用意したサーバーにも送るように仕込まれます。

この攻撃の厄介な点は、見た目上のページに変化がほとんどないことです。お客さまは普段通りに購入を完了し、事業者のシステムも正常に動作しています。しかし水面下で、情報が漏れ続けている。発覚が遅れ、被害が長期間続いた事例が複数、公表されています（出典：各社の公表資料）。

---

実例1：決済ページのプログラム改ざんで顧客情報が外部に送られた

通販サイトの決済ページが改ざんされた事例

ある通販事業者のECサイトで、決済時に使用されているプログラム（JavaScript）が第三者の不正アクセスにより改ざんされていたことが確認されました（出典：各社の公表資料）。

この改ざんにより、お客さまが決済時に入力した情報が、事業者のシステムに届くと同時に、外部にも送られる状態になっていました。事業者がこの異常を検知した時点では、既に一定期間にわたって情報が漏えいし続けていたと考えられています。

外部の専門家によるフォレンジック調査（デジタル証拠の解析）を経て、漏えいの可能性がある期間と件数が確定されました。

漏えいの可能性がある期間と件数

フォレンジック調査の結果、漏えいの可能性がある期間は2025年7月23日から2025年8月8日と確定されました。

この期間に漏えいの可能性があると判定されたクレジットカード情報は30,431件、付随する顧客情報は29,932名分にのぼりました（出典：各社の公表資料）。

約2週間の間に、3万人近い顧客の情報が外部に送られていた可能性がある——この事実を読んだとき、自社のサイトの最終確認日をすぐに思い出せるでしょうか。

漏えいに含まれていた情報の種類

漏えいの可能性がある情報に含まれていたのは、クレジットカード番号・有効期限・セキュリティコードという決済情報だけではありませんでした。氏名・住所・電話番号・メールアドレスという、顧客の個人情報もあわせて含まれていました（出典：各社の公表資料）。

つまりこの漏えいは、顧客の財産的リスクと、個人を特定できる情報の流出が同時に発生した事案です。D2Cの文脈で言えば、顧客リストそのものが漏えいしたことになります。

---

実例2：委託先の保守担当者の権限から900万件以上が持ち出された

コールセンター業務の委託先で発生した事件

次の事例は、攻撃者が外部から侵入したのではなく、内側にいた人物が情報を持ち出したケースです。

電話回線事業を営む企業グループが、コールセンター業務を子会社に委託していました。そのコールセンターのシステムの運用保守を担う別のグループ会社に、元派遣社員として在籍していた人物が、システム管理者のアカウントを悪用して顧客情報を持ち出しました（出典：各社の公表資料）。

自社の従業員ではない。しかし、自社のシステムへの管理者権限を持っていた人物による情報漏洩です。

持ち出された情報の規模と内容

持ち出された顧客情報は約900万件にのぼりました。うちクレジットカード情報を含むものが81件と報告されています。また、業務を委託していた企業や自治体の顧客情報も含まれており、影響が複数の組織に及びました（出典：各社の公表資料）。

900万件という規模は、単一の漏えい事案としては国内でも極めて大きな部類に入ります。しかし規模の問題ではなく、「自社のシステムを外部の誰かが管理している」という構造そのものが、同様のリスクを持つということが重要です。

サプライチェーン攻撃との関連性

この事例の構図は、独立行政法人 情報処理推進機構（IPA）が毎年発表している「情報セキュリティ10大脅威 2026」において、組織向けの2位に挙げられている「サプライチェーンや委託先を狙った攻撃」と重なります（出典：独立行政法人 情報処理推進機構（IPA）『情報セキュリティ10大脅威 2026』）。

委託先・保守担当者・外注先——自社の事業を動かすために必要なパートナーの存在が、同時にリスクの入口になりうる。この構造を理解しておくことは、発注する側の経営判断として不可欠です。

---

被害を受けたEC事業者に共通していた弱点

75%が構築プログラムやCMSの更新を放置していた

「なぜ自分の会社が狙われたのか」——被害を受けた事業者に共通するパターンが、公的機関の調査によって明らかになっています。

経済産業省・独立行政法人 情報処理推進機構（IPA）がサイバー被害を受けたEC事業者20社に実施した調査では、調査対象20社のうち75%が、ECサイト構築プログラムやCMSの脆弱性を放置または更新していなかったことが判明しました（出典：経済産業省・独立行政法人 情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」）。

プログラムの更新は、開発の仕事ではなく運用の仕事です。サイトが完成した時点から、実は継続的な管理が始まっています。

90%が運用時のセキュリティ対策をしていなかった

同じ調査で、さらに重い数字が出ています。

調査対象20社のうち90%が、保守など運用時のセキュリティ対策をしていなかったことが確認されました（出典：経済産業省・独立行政法人 情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」）。

サイトを作ることと、サイトを安全に動かし続けることは、別のことです。制作会社がサイトを納品した瞬間、セキュリティの責任は発注者に移ります。しかしその事実を認識していなかった事業者が、被害を受けた企業群の中に9割いたという現実があります。

事故対応にかかった平均費用

被害が発生した後のコストも、同調査から把握できます。

事故対応費用を支出した19社の平均は約2,400万円でした。また、1社あたりの平均漏えい件数は約3,800件と報告されています（出典：経済産業省・独立行政法人 情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」）。

フォレンジック調査の費用、顧客への通知・お詫びの費用、再発防止策の実装費用、そして対応にあたる人員のコスト。2,400万円という数字は、これらの合計です。セキュリティ対策をコストと感じるとすれば、この数字と比べてみてください。

---

D2Cが陥りやすい「残存フォーム」という盲点

キャンペーンごとにLPやフォームが増える現実

D2Cの現場には、他の業態にはあまり見られない特有の状況があります。

春の新商品、夏のキャンペーン、初回限定オファー、会員向け特別企画——施策のたびに、LPと入力フォームが作られます。単品リピート通販のサイクルを回していると、公開中の入口がどんどん積み重なっていく実態があります。600件を超えるLP制作に携わる中で、この構造を繰り返し目にしてきました。

作ること自体は問題ではありません。問題は、終わった後の管理です。

「残存フォーム」とは何か

この記事では「残存フォーム」という言葉を使います。

定義は明確です。公開を終えたつもりで、更新や改ざん確認の対象から外れたまま、氏名・住所・決済情報などの入力をいまも受け付けられる状態で残っているLP・入力フォームのことです。

担当者の認識の上では「終わったキャンペーン」です。しかしシステム上では、お客さまが情報を入力できる状態のままです。そこに脆弱性があれば、攻撃の入口になります。誰も管理していないからこそ、気づかれにくい。

残存フォームが生まれやすい理由

「ちゃんと終わらせた」と思っていても、残存フォームは生まれます。

キャンペーンページの公開を止めても、以下のような状況が重なることがあります。

• サーバーやCDNにキャッシュが残っていて、ページが引き続き表示される
• 外部サイト（SNS・アフィリエイトサイト・メルマガの過去号）からのリンクが生きていて、アクセスが来ている
• 検索エンジンのインデックスが残っていて、検索結果から入力ページに直接到達できる

担当者が「閉じた」と認識した日と、実際にアクセス不能になった日は、ずれていることが多い。このずれが、知らないうちにリスクを生み続ける時間帯になります。

---

入口は自社サイトだけではない—サプライチェーン攻撃の脅威

委託先・保守の担当者の権限が狙われている

自社のサイトを強固にしても、それだけでは防ぎきれないリスクがあります。

独立行政法人 情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威の2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています（出典：独立行政法人 情報処理推進機構（IPA）『情報セキュリティ10大脅威 2026』）。

サイト制作会社、決済システムの保守担当、広告配信のツール提供会社——D2Cの事業を動かすためには、複数の外部パートナーが関わります。それぞれのパートナーが、自社のシステムへのアクセス権を持っています。そのアクセス権が悪用されれば、自社のセキュリティとは関係なく、情報が漏れます。

ランサム攻撃も脅威の上位に

同じ「情報セキュリティ10大脅威 2026」において、組織向け脅威の1位は「ランサムウェアによる被害」です（出典：独立行政法人 情報処理推進機構（IPA）『情報セキュリティ10大脅威 2026』）。

ランサムウェアとは、感染した端末・サーバーのデータを暗号化し、復元と引き換えに金銭を要求する攻撃です。EC事業者の場合、受注データ・顧客情報・在庫データが暗号化されれば、事業そのものが停止します。復旧にかかる時間と費用だけでなく、その間の機会損失も発生します。

自社だけでは防げない構造

委託先の権限から情報が漏れる場合、自社のシステムを完璧に管理していても防ぎきれません。

だからといって、委託先との関係を断つことは現実的ではありません。現実的な対応は、委託先の選定基準にセキュリティ要件を含めること、契約時にアクセス権の範囲と管理方法を明文化することです。「信頼しているから」ではなく「確認できているから」という根拠を、持てる体制に変えていくことです。

---

漏えいしたら報告と本人への通知が要る—法改正で規律が強まる

漏えい等報告の義務化と本人への通知

情報漏洩は、発生した後の対応にも法律上の義務が伴います。

個人情報保護法により、漏えい等が発生した場合、個人情報保護委員会への報告と、影響を受けた本人への通知が義務付けられています（出典：個人情報保護委員会）。これは任意ではなく、法的な義務です。対応が遅れれば、それ自体が違反となりえます。

令和8年改正個人情報保護法で規律が強まる

2026年の時点で、この規律はさらに強まっています。

令和8年改正個人情報保護法は2026年7月10日に成立し、7月17日に公布されました（出典：個人情報保護委員会）。改正により、漏えい等報告の対象類型や報告義務の内容がより明確化される方向にあります。最新の詳細については、個人情報保護委員会のウェブサイトでご確認ください。

規律が整備されるということは、「知らなかった」という言い訳が通りにくくなるということでもあります。

報告対象となる4つの類型

現行の個人情報保護法において、漏えい等報告の対象となるのは次の4つの類型です（出典：個人情報保護委員会）。

1. 要配慮個人情報の漏えい等
2. 財産的被害のおそれがある漏えい等
3. 不正の目的によって行われた漏えい等
4. 1,000人を超える個人情報の漏えい等

注意が必要なのは、クレジットカード番号のみの漏えいであっても、「財産的被害のおそれ」に該当する可能性があるという点です。件数が少なくても、報告義務が生じるケースがあります。

「うちの漏えいは小さいから報告しなくていいだろう」という判断は、法律上は通用しない場合があります。

---

ECサイトを扱う経営者によくある質問

決済代行を使っていて、カード情報を保持していません。それでも漏えいのリスクはありますか？

はい、あります。カード情報を保持していないことは、入力画面が守られていることを意味しません。決済ページのプログラムが改ざんされれば、お客さまが入力した情報が外部に送られる可能性があります。実例として、ある通販事業者の決済ページが改ざんされ、カード番号・有効期限・セキュリティコードと、氏名・住所・電話番号・メールアドレスが漏えいした事例が公表されています。

3-Dセキュアを導入すれば、情報漏えいは防げますか？

3-Dセキュアは、クレジットカード不正利用の防止に役立つ仕組みですが、情報漏えい自体を防ぐものではありません。クレジット取引セキュリティ対策協議会のガイドラインでは、原則すべてのEC加盟店に3-Dセキュアの導入を求めていますが、これは認証を強化することで不正利用を減らすためのものです。入力画面の改ざんや委託先の権限悪用から情報を守るには、別の対策が必要です。

漏えいが発生した場合、どこに報告する必要がありますか？

個人情報保護法により、漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務付けられています。報告対象となるのは、要配慮個人情報・財産的被害のおそれ・不正の目的・1,000人超の4つの類型です。クレジットカード番号のみの漏えいも、財産的被害のおそれの類型に入ります。詳細は個人情報保護委員会のウェブサイトでご確認ください。

小規模なEC事業者でも、漏えい攻撃の対象になりますか？

はい、対象になります。独立行政法人 情報処理推進機構（IPA）の調査では、サイバー被害を受けたEC事業者の中に小規模事業者も含まれています。攻撃者は企業規模を問わず、脆弱性のあるサイトを探します。セキュリティ対策が手薄になりやすい小規模事業者が狙われやすいという指摘もあります（出典：独立行政法人 情報処理推進機構（IPA））。

終わったキャンペーンのLPやフォームは、どうすればいいですか？

公開を終えたLPやフォームは、完全に削除するか、更新と改ざん確認の対象に戻すことをお勧めします。キャッシュが残っていたり、外部サイトからのリンクが生きていたり、検索エンジンのインデックスが残っていたりすることで、いまも入力を受け付ける状態になっていることがあります。このような「残存フォーム」の状態が、漏えいのリスク経路になる可能性があります。最新の対応方法は、サイトの保守担当または専門家にご確認ください。

---

漏えい経路と弱点の対応表

漏えいの経路	入口になった弱点	根拠
決済ページ・入力フォームの改ざん	プログラム（JavaScript）が第三者の不正アクセスにより改ざんされ、入力情報が外部に送られる	各社の公表資料 ／ 経済産業省・独立行政法人 情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」
委託先・保守担当者の権限悪用	システム管理者のアカウントを悪用して顧客情報が持ち出される	各社の公表資料 ／ 独立行政法人 情報処理推進機構（IPA）『情報セキュリティ10大脅威 2026』（2位 サプライチェーンや委託先を狙った攻撃）
構築プログラム・CMSの脆弱性放置	更新されないまま放置されたプログラムの脆弱性が悪用される	経済産業省・独立行政法人 情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」（調査対象20社のうち75%が該当）
運用時のセキュリティ対策の欠落	制作後、改ざん確認や定期的なセキュリティ対策が行われない	経済産業省・独立行政法人 情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」（調査対象20社のうち90%が該当）
残存フォームの放置	キャンペーン終了後も削除されず、入力を受け付けたままになっているLP・フォーム	D2C事業者の実態観察（600件を超えるLP制作への関与に基づく）

---

この記事で取り上げた内容を、今日の移動中に一つだけ確認してみてください。自社で現在公開中のLPやフォームを、最後に誰が・いつ確認したか。その答えが出てくるかどうか——それが今日の出発点になります。

今のLPが「どこで・なぜ」成果を落としているのか。その一点を一緒に見るところから始めます。