DHCオンラインショップに不正アクセス、5,096アカウントの会員情報が書き換え、不審な注文27件と偽の会員登録71件も — 盗まれなくても起きるECサイトの被害
化粧品・健康食品のディーエイチシー（DHC）は2026年10月30日、自社のオンラインショップで第三者による不正アクセスがあり、5,096アカウントの会員情報が書き換えられたと公表した。不審な注文27件と、不正な新規会員登録71件も見つかっている。情報を盗み出すのではなく、会員の登録内容を書き換え、偽の会員を作り、注文まで入れていた点がこの事案の特徴である。自社でECサイトを運営する中小企業にとっては、「流出していないから被害は小さい」と言い切れない事例である。
背景
DHCの公表文によると、経緯と被害は次のとおりである。
- 10月28日：オンラインショップでの不正アクセスと、会員情報の書き換えを確認
- 書き換えられた会員情報：5,096アカウント（登録されたお届け先住所の合計は最大5,520件）
- 不審な注文：27件（キャンセル済み）
- 不正な新規会員登録：71件（取り消し済み）
書き換えられたアカウントについては、会員番号、本人を含むお届け先の氏名・住所・電話番号、購入履歴、クレジットカード番号の下4桁が、第三者に見られた可能性がある。カード番号の全桁はもともと保持しておらず、外部に持ち出された形跡は確認されていない。
DHCは、原因となったシステムの脆弱性を特定して対処し、不正アクセス元からの通信を遮断した。書き換えられた情報は元に戻し、個人情報保護委員会へ報告している。脆弱性の詳細は、被害の拡大を防ぐため開示していない。対象者への個別連絡を予定しており、11月4日には問い合わせ専用ダイヤルを開設する。
リスクの全体像
会員情報を書き換えられると、被害は「見られた」だけでは終わらない。お届け先の住所を書き換えたうえで注文を入れれば、商品を別の場所へ送らせることができる。登録されたカードで決済できる仕組みであれば、本人が気づかないうちに代金を払わされるおそれもある。今回は不審な注文が27件にとどまり、キャンセルも済んでいるが、気づくのが遅れれば商品の損失と返金の手間が積み上がる。
短時間に作られた偽の会員アカウントも注意が要る。新規登録の特典やポイントを狙った不正、盗んだカードの利用確認、のちの攻撃の足場づくりなど、使い道はいくつもある。登録の数が急に増えても、通常の申し込みと見分ける仕組みがなければ気づけない。
もう1つは、事故のあとに届く偽の連絡である。DHCも、同社を装った不審なメール、SMS、電話に注意するよう呼びかけている。お届け先の氏名・住所・電話番号と購入履歴が見られていれば、本物らしい「返金」や「再発送」の連絡を作れてしまう。被害企業が先に注意喚起を出すことで、顧客の二次被害を減らせる。
チェックリスト
自社でECサイトや会員サイトを運営している企業は、次の点を確かめる。
- 会員のお届け先住所やメールアドレスが変更されたとき、本人に通知が届く設定になっているか
- お届け先を変えた直後の注文や、見慣れない住所への発送を、出荷前に止めて確認できるか
- 1時間あたりの新規会員登録数や会員情報の変更数を、普段の量と比べて見ているか
- ECサイトの本体、プラグイン、外部の決済・会員連携の更新を、誰がいつ当てるか決まっているか
- カード番号の全桁やセキュリティコードを、自社のシステムに保存していないか
- 事故が起きたとき、顧客へ注意喚起を出す文面と窓口を事前に用意しているか
打ち手
まず、会員情報の変更を本人に知らせる仕組みを入れる。住所やメールアドレスが変わったら、変更前の連絡先へ通知を送る。これだけで、本人が書き換えに気づいて連絡してくれる経路ができる。
次に、出荷の前に止める仕組みを作る。お届け先を変えた直後の注文、初めて使う住所への高額な注文、同じ住所に複数のアカウントから届く注文などを、出荷担当が確認してから発送するルールにする。ECのカートや受注管理のシステムに、こうした条件で注文を保留する機能がないか確かめるとよい。
あわせて、新規登録と情報変更の件数を毎日見る。急な増加があれば、その時間帯のアクセス記録を確かめる。ECサイトの本体とプラグインの更新は、担当者と頻度を決めて記録に残す。事故のあとに備え、フィッシングへの注意を呼びかける文面と問い合わせ窓口を、平時のうちに用意しておく。
盗まれなくても、書き換えられれば被害になる。
あわせて読みたい
- CAPCOM IDに不正アクセス、1,177万件のメールアドレスが漏えい、パスワードを書き換えられた19件では通販サイトの住所・購入履歴まで — 会員IDを共通化する企業の点検点
- アエナのECアプリで会員マイページが機械的に連続閲覧、最大81万7,215人の住所・電話番号・カード下4桁が対象 — パスワードが漏れなくても起きる会員アプリの点検点
- アバハウスに不正アクセス、注文内容と一致する「返金」詐欺メールが届く — 通販事業者が最初の72時間でやること
Omamori AI の結論
- 事実: DHCのオンラインショップで、5,096アカウントの会員情報の書き換え、不審な注文27件、不正な新規会員登録71件が確認された。外部への持ち出しの形跡はなく、原因の脆弱性は対処済みとされている。
- 判断軸: 情報が流出したかだけでなく、登録内容の書き換えや不正な注文に気づけるかを問う。
- 打ち手: 会員情報の変更を本人に通知し、お届け先変更直後の注文は出荷前に確認する。登録と変更の件数を日々見て、急な増加を調べる。
経営者視点で考えるべきこと
ECサイトの事故というと、個人情報の流出件数に目が向きやすい。しかし今回のように会員情報を書き換えられ、注文まで入れられると、商品の損失、返金、顧客への連絡と、売上と現場の負担に直接はね返る。経営者が確かめるべきことは3つある。不正な注文を出荷前に止める仕組みがあるか。ECサイトの更新を誰が責任を持って行っているか。事故が起きたとき、顧客への注意喚起と個人情報保護委員会への報告を、誰がどの順で進めるかである。自社で作り込んだECサイトほど更新が後回しになりやすい。システムの維持にかける費用は、事故対応と信用の回復にかかる費用と比べて判断したい。
