クレジットカード情報の流出とは
EC サイトでのクレジットカード情報の流出は、サイトが改ざんされ、購入者が入力したカード番号やセキュリティコードが攻撃者に送られることで起きる例が多く公表されています。カード情報を自社で保存していなくても、入力画面が改ざんされれば流出は起こります。
どのように被害が起きるか
攻撃者は、EC サイトのソフトウェアや追加機能の弱点、管理画面の ID・パスワードを悪用してサイトに入り込みます。そのうえで決済の入力画面を書き換えたり、偽の入力画面へ誘導したりして、購入者が入力したカード情報を盗み取ります。
流出は、カード会社から「このサイトで使われたカードが不正に利用されている可能性がある」と連絡を受けて発覚することが少なくありません。発覚までに数か月かかり、その間の購入者全員が対象になることもあります。
公表事例に多い影響
- 一定期間に購入した人のカード番号・有効期限・セキュリティコードが流出したおそれがあるとして、カード会社と連携した対応が必要になる。
- 調査のあいだ、カード決済や EC サイト自体を止める。
- 氏名・住所・電話番号・メールアドレスなども一緒に流出し、偽のメールや電話に使われるおそれがある。
事業者が平時に備えること
- カード情報が自社のサーバーを通らない決済方式（リンク型・トークン方式など）を選ぶ。
- EC サイトのソフトウェアと追加機能を最新に保ち、管理画面は接続元を絞って多要素認証をかける。
- 決済の画面やスクリプトが書き換えられていないかを検知する仕組みを入れる。
- サイトの制作・保守を委託している場合は、更新の担当と頻度を契約で決める。
利用者として気をつけること
対象になったという連絡を受けたら、カードの利用明細に身に覚えのない請求がないかを確かめ、あればカード会社に連絡してください。流出した氏名や連絡先を使った偽のメール・電話にも注意が必要です。
自社で確かめること
- 決済方式が、カード情報を自社のサーバーに通さない方式か確かめる
- EC サイトのソフトウェア・追加機能の版と、更新の担当を確かめる
- 管理画面に接続元の制限と多要素認証がかかっているか確かめる
Web サイトとメールの設定は、無料診断で確かめられます（CMS・メール認証・セキュリティヘッダ・SSL/TLS の4種類をまとめて）。
関連する用語
- カード情報
- クレジットカードの番号・有効期限・セキュリティコード・名義など。カード会社の基準では、事業者がこれらを保存しないことが求められています。
- Web スキミング（決済画面の改ざん）
- EC サイトの決済画面を改ざんし、購入者が入力したカード情報を盗み取る手口。
- トークン方式・リンク型決済
- カード情報を EC サイトのサーバーに通さず、決済代行会社の画面や仕組みで処理する方式。サイトが改ざんされた場合の被害を小さくできます。
- 多要素認証
- パスワードに加えて、スマートフォンに届く確認コードや専用のアプリなど、別の要素を組み合わせて本人を確かめる方法。パスワードが漏れても、それだけではログインできなくなります。
- CMS
- Web サイトの記事や商品を管理する仕組み（WordPress・EC-CUBE など）。本体や追加機能の更新が遅れると、侵入の入口になります。
カード情報の流出の公表事例（5件）
- 組織の公表資料信頼度 高タイムズモビリティ、カード情報の流出による個人情報の漏えいを公表（2026年9月25日）影響: 約660万件
- 組織の公表資料信頼度 高NTTソルマーレ、カード情報の流出による個人情報の漏えいを公表（2026年10月16日）影響: 約420万件
- 組織の公表資料信頼度 高ニフティ、カード情報の流出を公表（2026年10月19日）影響: 最大542,513件
- 組織の公表資料信頼度 高アドベンチャー、カード情報の流出による個人情報の漏えいを公表（2026年10月8日）影響: 約1,464万件
- 組織の公表資料信頼度 高ソースネクスト、カード情報の流出による個人情報漏えいのおそれを公表（2026年10月13日）影響: 22,519,960件
毎日の速報は X で。新しく掲載した事例と注意喚起をお知らせしています。
@incidentnews_jp をフォローするこのページは一般的な解説です。個別の事案の組織の対応を評価するものではありません。
メールで新着を受け取る
週1回（月曜日の朝）、新しく掲載・更新した公表事例のまとめ（手口・業種つき）をお届けします。無料。いつでも停止できます。
確認メールのリンクを押すと登録が完了します。メールマガジンについて・過去の号