コメ兵グループの注文情報473件がEC一元管理システム「WASABI SWITCH」経由で流出、返金を装う詐欺メールも — 複数モールの受注をまとめる中小EC事業者の確認点
コメ兵ホールディングスのグループ会社アールケイエンタープライズは2026年10月23日、委託先の株式会社ワサビが提供するEC一元管理システム「WASABI SWITCH」が不正アクセスを受け、グループのECサイトで受けた注文の情報473件が流出したと公表した。対象はKOMEHYO、BRAND OFF、Rodeo Driveの自社ECと、楽天市場、Yahoo!ショッピング、メルカリShops、eBayなど国内外のモールで受けた注文である。流出した注文情報を使い、返金を装ってLINEへの連絡やカード情報の入力を求めるメールもすでに確認されている。複数のモールの受注を1つの管理システムにまとめている中小のEC事業者にとって、自社のサイトやモールの店舗が無傷でも、管理システム経由で全チャネルの注文が抜かれうることを示した事案である。
背景
アールケイエンタープライズの発表（10月23日22時時点）によると、経緯は次のとおりである。
- 10月14日：ワサビ社のサーバーに第三者が侵入
- 10月16日：グループ各社が顧客情報の漏えいの可能性について初期報告を受け、WASABI SWITCHとの連携とアクセスを遮断。BRAND OFFなどは同日19時から直営ECと各モールの運用を全面停止
- 10月23日：外部機関の調査報告を受け、10月3日〜16日の注文情報473件の流出を確認
流出した項目は、氏名、住所、電話番号、メールアドレス、注文内容などで、顧客によって異なる。クレジットカード情報は決済代行会社が管理しており、WASABI SWITCHには保存されていないため対象外である。内訳を見ると、eBayだけで約200件、メルカリShopsが約100件と、海外モールや複数の国内モールにまたがっている。
ワサビ社は侵入経路の遮断と脆弱性の修正を終えたとしている。発表には「当該システムを利用する店舗の購入者様に対し、注文情報を使った不審メールが届いている」とあり、コメ兵グループ以外の利用企業の顧客にも影響が及んでいる可能性がある。
リスクの全体像
EC一元管理システムは、複数のモールや自社ECの注文・在庫・出荷をまとめて扱うためのSaaSで、人手の少ない中小のEC事業者ほど頼っている。注文が入るたびに各モールから氏名・住所・電話番号・購入商品を取り込むため、システムの中には全チャネルの最新の顧客情報が集まる。モール側の店舗管理画面をどれだけ固めていても、この管理システムが破られれば注文情報はまとめて出ていく。
流出した注文情報は、すぐに詐欺に使われる。今回確認されたのは、返金を装ってLINEに誘導し、カード情報を入力させるメールである。氏名、注文日、商品名がそろっているため、購入者は本物の店舗からの連絡と区別しにくい。購入者がだまされれば、店舗に落ち度がなくても「あの店で買ったら詐欺に遭った」という評判が残る。
委託先で起きた漏えいでも、個人情報保護委員会への報告と本人への通知は、顧客から注文を受けた事業者の責任として残る。対象となる注文の特定には委託先の調査結果が必要で、その間も購入者からの問い合わせには自社で答えなければならない。
チェックリスト
WASABI SWITCHを使っている事業者はもちろん、EC一元管理システムや受注管理のSaaSを使う事業者は、次の点を確かめる。
- 委託先から侵害の連絡を受けたとき、連携を止める手順と、止めたときにどのモールの受注が止まるかを把握しているか
- 管理システムに、いつからの注文情報が残っているか（古い注文を自動で消す設定があるか）
- 管理システムのログインに二段階認証を設定し、退職者や外部の運用代行者のアカウントを消しているか
- 返金や再決済を装う詐欺メールについて、購入者に注意を呼びかける文面と掲載場所（自社サイト、各モールの店舗ページ）を用意しているか
- 対象の注文を特定したら、購入者に個別に連絡する手段（モールのメッセージ機能、メール）を確保しているか
打ち手
WASABI SWITCHの利用企業は、ワサビ社に自社の注文が流出対象に含まれるかを直接問い合わせる。連絡を待つのではなく、利用期間と連携しているモールを伝えて対象期間の確認を求める。並行して、自社サイトと各モールの店舗ページに「当店が返金のためにLINEへの登録やカード番号の入力を求めることはない」という注意書きを出す。この注意書きは、対象が確定する前でも出せる。
対象に含まれていた場合は、個人情報保護委員会への報告を準備する。速報は事態を知ってから概ね3〜5日以内、確報は30日以内（不正な目的によるおそれがある場合は60日以内）が求められる。本人への通知には、流出した項目と、返金を装うメールへの注意を必ず添える。
他の管理システムを使う事業者も、システムに残る注文情報の保存期間を見直す。出荷と返品の期間が過ぎた注文の個人情報は消すか、氏名や住所を伏せる。ログイン権限は担当者ごとに分け、使っていないアカウントを消す。委託先の契約で、侵害を知ってから何時間以内に連絡が来るかを決めておくと、今回のように初期報告から1週間後に件数が確定する場合でも、早い段階で注意喚起に動ける。
あわせて読みたい
- アバハウスに不正アクセス、注文内容と一致する「返金」詐欺メールが届く — 通販事業者が最初の72時間でやること
- ECサイト構築サービス「futureshop」に不正アクセス、1店舗の会員約315万件が流出 — SaaS型ECで出店する中小企業が確かめること
- メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
- 23万件が漏えいしたECサイト不正アクセス ― パスワードのハッシュ化では守れないもの
Omamori AI の結論
- 事実: EC一元管理システム「WASABI SWITCH」が10月14日に侵入され、コメ兵グループの国内外のモールと自社ECの注文情報473件が流出した。返金を装う詐欺メールがすでに届いている。
- 判断軸: 受注を集約するシステムは、全チャネルの顧客情報が1か所に集まる場所である。モールの店舗管理と同じ水準で、委託先の管理システムを守れているかを問う。
- 打ち手: 委託先に対象かどうかを確かめ、確定を待たずに購入者へ詐欺メールの注意を出す。保存期間を短くし、ログイン権限を整理する。
経営者視点で考えるべきこと
EC一元管理システムは、売上の入口であるすべてのモールにつながっている。今回、連携先の多いグループ会社は直営ECと各モールの運用を全面停止した。止めれば被害の拡大は防げるが、その間の売上は止まる。経営者は、自社が使う受注管理のSaaSが止まった場合に、どのモールの販売がどれだけ止まるか、手作業で受注を続けられるかを担当者と確認しておきたい。あわせて、委託先の侵害で自社の顧客が詐欺に遭ったとき、誰が・どこで・どの文面で注意を呼びかけるかを決めておく。購入者の信頼を守れるかどうかは、委託先の調査結果が出るまでの数日間の動きで決まる。
