ECサイトでは、氏名や住所、電話番号、メールアドレス、注文履歴など、多くの個人情報が取り扱われています。さらに決済方法によっては、クレジットカード番号や有効期限など、悪用された場合の影響が大きい情報も関係します。そのため、ECサイトへの不正アクセスや改ざんが発生すると、利用者だけでなく、運営企業の信用や事業継続にも大きな影響を及ぼす可能性があります。

ECサイトの情報漏えいは、顧客データベースそのものが盗まれるケースだけではありません。購入画面や決済ページに不正なJavaScriptを埋め込み、利用者が入力したカード情報をリアルタイムで外部へ送信する「Webスキミング」のような手口もあります。この場合、ECサイト側でカード情報を保存していなくても、入力途中の情報が盗まれる可能性があります。

また、利用者に「個人情報が漏えいした可能性があります」と通知が届いた場合も、そのメール自体がフィッシングである可能性を考慮する必要があります。漏えい通知を受けたら、メール内のリンクを開くのではなく、ECサイトの公式ページやカード会社の公式窓口から事実を確認することが重要です。

そこで本記事では、ECサイトから漏えいする可能性のある情報、代表的な侵害経路、利用者が今すぐ確認すべきこと、クレジットカード情報が流出した場合の対処、EC事業者側の初動、行政報告や顧客対応、フォレンジック調査で原因と被害範囲を確認する方法までを解説します。

ECサイトから漏えいする可能性がある主な個人情報

ECサイトでは、会員登録、商品購入、配送、決済、問い合わせなどの過程でさまざまな情報を取り扱います。漏えいした情報の種類によって、利用者が受けるリスクや優先すべき対処も異なります。

氏名・住所・電話番号・メールアドレス

配送や会員登録に必要な基本情報です。これらが流出すると、迷惑メールやフィッシング、なりすまし、営業電話などに悪用される可能性があります。

氏名と購入履歴が組み合わさると、「先日購入した商品の再配送」「注文内容の確認」など、本人が信じやすいフィッシングにも利用される可能性があります。

ログインID・パスワード

ECサイトの認証情報が漏えいした場合、不正ログインによって登録住所の変更、ポイント利用、不正注文などにつながる可能性があります。

同じパスワードを他サービスでも使っている場合は、別サービスへのアカウントリスト攻撃にも注意が必要です。

注文履歴・購入商品・問い合わせ内容

注文履歴や商品情報は、氏名やメールアドレスと組み合わせることで、より精巧なフィッシングに利用される可能性があります。

クレジットカード番号・有効期限

カード番号や有効期限が漏えいした場合、不正決済やカード情報の売買につながる可能性があります。

セキュリティコードなどの決済情報

セキュリティコードまで流出した可能性がある場合は、不正利用リスクがさらに高くなります。

カード情報が漏えいした可能性がある場合は、不正利用が確認されていなくても、カード会社へ相談して停止・再発行の必要性を確認することが重要です。

ECサイトで個人情報が漏えいする主な手口

ECサイトの情報漏えいは、データベースへの直接攻撃だけでなく、Webページの改ざんや管理者アカウント侵害など、さまざまな経路から発生します。

Webスキミング

Webスキミングは、購入・決済画面に不正なJavaScriptなどを埋め込み、利用者が入力したカード番号や個人情報を外部へ送信する手口です。

EC事業者がカード情報をデータベースに保存していなくても、利用者が入力している瞬間の情報を盗まれる可能性があります。

CMS・ECカートの脆弱性悪用

ECサイトで使用しているCMS、ECカート、プラグイン、サーバーソフトなどの脆弱性を悪用し、不正ファイルを設置したり管理権限を取得したりするケースがあります。

SQLインジェクションなどによるDB侵害

Webアプリケーションの入力処理に脆弱性がある場合、データベースへ不正な命令を送り、会員情報や注文情報を読み取られる可能性があります。

管理者アカウントの乗っ取り

管理者の認証情報がフィッシングや情報窃取マルウェアなどで盗まれると、攻撃者が正規の管理画面からサイト改ざんや不正スクリプト設置を行う可能性があります。

アカウントリスト攻撃

別サービスから流出したメールアドレス・パスワードの組み合わせをECサイトへ自動的に試し、不正ログインを行う手口です。

委託先・外部スクリプト経由の侵害

決済事業者、広告タグ、アクセス解析、保守ベンダーなど、ECサイトと連携する外部サービスが侵害されることで影響を受ける場合があります。

ECサイトから個人情報漏えいの通知を受けたときにまず確認すること

ECサイトから漏えい通知が届いた場合は、通知の真偽と、自分の情報が対象になっているかを切り分けます。

通知の真偽を公式サイトから確認する

漏えい通知を装って偽サイトへ誘導するフィッシングも考えられます。

メール内のリンクを使わず、自分で公式サイトを開くか、公式アプリ、カード裏面の電話番号などから事実を確認してください。

漏えいした情報の種類を確認する

氏名・メールアドレスだけなのか、パスワード、カード番号、有効期限、セキュリティコードまで対象なのかで対処は大きく変わります。

対象期間を確認する

ECサイトから公表されている漏えい対象期間を確認します。

その期間中にカードを利用したか、会員情報を登録したかを照合してください。

カード利用明細を確認する

少額決済、海外加盟店、見覚えのないサブスクリプションなども含めて確認します。

ECサイトのログイン履歴・注文履歴を確認する

自分が行っていない注文、ポイント利用、配送先変更などがないか確認してください。

クレジットカード情報が漏えいした可能性がある場合の対処法

カード番号や有効期限、セキュリティコードが漏えいした可能性がある場合は、不正利用がまだ確認されていなくてもカード会社への相談を検討します。

カード会社へ連絡する

カード裏面の番号や公式アプリなどから、カード情報漏えいの対象になった可能性があることを伝えます。

利用明細を遡って確認する

ECサイトが公表している対象期間だけでなく、その前後も確認すると、不審な決済を見つけやすくなります。

停止・再発行の必要性を確認する

カード会社の判断に従い、カード番号変更や再発行が必要か確認してください。

不審な利用を申告する

少額であっても、身に覚えのない決済があれば申告します。

フィッシングを継続的に警戒する

漏えいした氏名、メールアドレス、購入履歴などを利用して、「注文取消」「返金」「再配送」などのもっともらしいフィッシングが届く可能性があります。

情報漏えい後は、カード不正利用だけでなく、漏えい情報を使った二次的なフィッシングまで含めて警戒することが重要です。

ECサイトのパスワードが漏えいした可能性がある場合の対処法

ログインIDやパスワードも漏えい対象に含まれている場合は、アカウント乗っ取りを防ぐため認証情報を変更します。

ECサイトのパスワードを変更する

ECサイトの公式ページから、他サービスでは使用していない新しいパスワードへ変更します。

同じパスワードの使い回し先を変更する

メール、金融、クラウド、通信キャリアなどで同じパスワードを使っている場合は、優先的に変更してください。

MFAを有効化する

利用できる場合は、ECアカウントや登録メールで多要素認証を有効化します。

登録メールアカウントも保護する

メールアカウントが侵害されると、ECサイトのパスワード再設定を悪用される可能性があります。

ECサイト運営者が個人情報漏えいを疑ったときの初動

EC事業者側で情報漏えいが疑われる場合、復旧を急ぐだけではなく、証拠保全と被害拡大防止を並行して進める必要があります。

侵害箇所を隔離・封じ込めする

決済ページや会員登録画面に不正スクリプトがある場合は、外部への情報送信を止めることを優先します。

ただし、何が起きたのか確認する前にファイルを削除すると証拠を失う可能性があるため、保全と封じ込めを並行して進めます。

Web・WAF・CDN・DBなどのログを保全する

少なくとも以下のログを確認・保存します。

• Webサーバーログ
• WAFログ
• CDNログ
• アプリケーションログ
• データベースログ
• 管理画面ログ
• IdP・認証ログ
• EDRログ
• 決済代行関連ログ

改ざんされたHTML・JavaScriptを保全する

Webスキミングが疑われる場合は、改ざんされたHTMLやJavaScript、外部通信先、ファイルの更新日時などを保全します。

管理者アカウントと認証イベントを確認する

管理画面への不正ログイン、新規管理者追加、権限変更、通常とは異なるIPアドレスからのアクセスなどを確認します。

漏えい対象・対象期間を確定する

「どの情報が」「いつからいつまで」「何人分」「外部へ送信された可能性があるのか」を整理します。

アクセスされた可能性と、実際に外部送信された事実は分けて評価してください。

決済事業者・法務・関係部署と連携する

カード情報が関係する場合は、決済代行会社、カード会社、PCI DSS関連者などとの早期連携が必要になる場合があります。

ECサイトの個人情報漏えいで必要になる報告・本人通知

個人情報漏えいが一定の要件に該当する場合、個人情報保護委員会への報告や本人通知が必要になることがあります。

個人情報保護委員会への報告要否

個人情報保護委員会は、一定の要件に該当する個人データの漏えい等について報告義務を定めています。

不正目的による漏えいのおそれがあるケースなどでは、原則として速報を発覚後3～5日以内、確報を発覚後60日以内に行う枠組みが示されています。

本人通知の要否

漏えいしたデータの種類やリスクに応じ、本人への通知も検討します。

通知では、漏えいの事実だけでなく、利用者が取るべき対策や問い合わせ先を分かりやすく示すことが重要です。

漏えい対象者・情報の種類の確定

対象人数だけでなく、氏名・住所・カード情報など、どのデータ項目が対象かを整理します。

決済事業者・取引先への連絡

カード情報に関する事故では、決済代行会社やカード会社との連携が必要になる場合があります。

対外公表の内容を整理する

未確認事項を断定せず、事実と調査中の事項を分けて説明します。

公表後に内容が何度も変わると信用低下につながるため、技術調査と法務確認を並行して進めることが重要です。

ECサイトの個人情報漏えいを防ぐための対策

ECサイトでは、カード情報の非保持化だけでなく、Webページ改ざんや管理者アカウント侵害まで含めた多層的な対策が必要です。

カード情報を非保持化・トークン化する

カード情報そのものをECサイト側で保持しない構成にすることで、データベース侵害時の影響を抑えられます。

ただし、Webスキミングでは入力途中の情報が狙われるため、非保持化だけで十分とは限りません。

CMS・ECカート・プラグインを更新する

ECサイトを構成するソフトウェアを棚卸しし、サポート切れや既知脆弱性が残っていないか継続的に確認します。

管理画面へMFA・アクセス制限を導入する

管理画面、ソースコード管理、クラウド、決済管理画面などは特に強固な認証を設定します。

Webスキミング対策を実施する

外部JavaScriptを必要最小限にし、CSP、改ざん監視、SRIなどを活用して不正なコード追加を検知・抑止します。

WAF・bot対策・異常ログイン検知を行う

Web攻撃、不正ログイン、自動化されたアカウントリスト攻撃などを監視・制御します。

脆弱性診断・ペネトレーションテストを実施する

ECサイトの公開機能だけでなく、決済フロー、管理画面、外部API、クラウド構成などを含めて定期的に確認します。

ECサイトの個人情報漏えいでやってはいけないこと

ログや改ざんファイルを保存せず削除する

攻撃者が設置したJavaScriptや不正ファイルには、侵入経路や外部送信先を特定する手掛かりが残っている場合があります。

パッチ適用だけで侵害終了と判断する

脆弱性を修正しても、すでに管理者アカウントや不正ファイルが残っていれば侵害が継続する可能性があります。

漏えい有無を確認せず断定して公表する

「漏えいした」「漏えいしていない」のどちらも、技術的な根拠を確認してから説明する必要があります。

カード情報非保持だから安全と判断する

決済画面上で入力情報が盗まれるWebスキミングでは、カード情報を保存していなくても被害が発生する可能性があります。

原因調査前にサーバーを初期化する

再構築を急ぐことで、侵入経路や攻撃者の滞留期間を確認する証跡が失われる可能性があります。

ECサイトの個人情報漏えいをフォレンジック調査で確認する方法

ECサイトで情報漏えいが疑われる場合、単に不正ファイルを削除するだけでは、侵入経路や漏えい範囲を把握できないことがあります。原因と被害範囲を技術的に確認するために利用されるのがフォレンジック調査です。

不正アクセスの侵入経路

Webサーバー、WAF、管理画面、認証ログ、アプリケーションログなどを分析し、どの経路から侵入された可能性があるか確認します。

Webページ・JavaScriptの改ざん内容

不正なJavaScriptや外部参照先を分析し、カード入力情報などが外部へ送信される仕組みが設置されていなかったか確認します。

攻撃者の侵入・滞留期間

最初の不正アクセス時刻、ファイル改ざん、管理者操作などを時系列で整理し、どの期間が影響対象になり得るかを確認します。

漏えいした可能性のある個人情報

アクセスされたDB、ファイル、APIなどを調査し、氏名、住所、メール、注文情報など、どのデータが対象になった可能性があるか整理します。

カード情報の外部送信痕跡

Webスキミングが疑われる場合は、不正スクリプト、通信先、改ざん期間などを確認し、カード入力情報が外部送信された可能性を評価します。

管理者アカウント・サーバーへの不正操作

新規アカウント追加、権限変更、ファイル設置、設定変更、ログ削除など、攻撃者による操作の有無を確認します。

ECサイトで個人情報・カード情報漏えいが疑われる場合はフォレンジック調査会社に相談する

ECサイトから漏えい通知を受けた利用者で、カード不正利用もなく、ECサイト側から対象情報と対応方法が明確に案内されている場合は、カード会社への確認やパスワード変更などで対応できるケースがあります。

一方、ECサイト運営者側で不正なJavaScriptやファイル改ざんが確認された、いつから侵害されていたのか分からない、カード情報が外部送信された可能性がある、管理者アカウントが不正利用されている場合は、専門的な調査が必要になる可能性があります。

特に、復旧を急いで不正ファイルを削除したり、サーバーを再構築したりすると、どの脆弱性やアカウントから侵入され、いつからどの情報へアクセスされていたのかを確認する重要な証跡が失われる場合があります。

不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、Webサーバー、WAF、CDN、データベース、管理画面、認証ログ、改ざんファイルなどを分析し、不正アクセスの有無、侵入経路、攻撃者の滞留期間、漏えいした可能性のある情報を整理できます。

技術的な被害範囲を明確にすることで、カード会社・決済事業者との連携、個人情報保護委員会への報告、本人通知、再発防止策の策定にもつなげやすくなります。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

ECサイトの個人情報漏えいでは、氏名、住所、電話番号、メールアドレス、注文履歴だけでなく、クレジットカード番号、有効期限、セキュリティコードなどが影響する場合があります。さらに、カード情報をECサイト側で保持していなくても、決済ページへ不正なJavaScriptを埋め込むWebスキミングによって入力中の情報が盗まれる可能性があります。

利用者が漏えい通知を受けた場合は、メール内のリンクを開かず、ECサイトの公式ページから事実を確認してください。カード情報が対象の場合は利用明細を確認し、必要に応じてカード会社へ停止・再発行を相談します。ログイン情報が漏えいした場合は、そのECサイトだけでなく、同じパスワードを使っている他サービスも変更することが重要です。

ECサイト運営者側では、不正アクセスや改ざんが疑われた時点で、Web・WAF・CDN・DB・認証などのログ、改ざんファイル、不正JavaScriptを保全しながら封じ込めを進める必要があります。漏えいした情報、対象人数、侵害期間を技術的に整理したうえで、個人情報保護委員会への報告、本人通知、決済事業者との連携を検討します。

原因や漏えい範囲が不明な場合は、不正ファイルの削除やサーバー再構築を急ぐ前に、フォレンジック調査で侵入経路、攻撃者の滞留期間、改ざん内容、カード情報や個人情報の外部流出可能性を確認することが重要です。