フューチャーショップ（futureshop）の不正アクセス — SaaS型ECの停止と1店舗の会員情報漏えいの経緯と、ネットショップが備える3つの対策

フューチャーショップ（futureshop）の不正アクセスとは

2026年10月21日、株式会社フューチャーショップは、SaaS型ECプラットフォーム「futureshop」のサーバーの一部に第三者の不正なアクセスがあったと発表しました。対象はc02、c05、c12、g06の4台で、同社はその日の11時30分から4台をメンテナンス状態に移しています。その2日後の10月23日には、これとは別の不正アクセスによって、futureshopを使う1店舗の会員情報が漏えいしたことも公表しました。

同じ週には、PHPの重大な脆弱性への対策として、全店舗を止める長時間のメンテナンスも行われ、同社は10月25日にこれらが別々の事象だと整理して説明しました。最新の動きは、当社の事例速報「フューチャーショップのサイバー攻撃被害」で更新しています。

同じ週に重なった3つの事象

店舗からは一続きに見えた出来事を、同社は次の3つに分けています。

発覚から再開と公表までの経緯

4台のサーバーを使う店舗では、10月21日の昼から22日の深夜まで、約1日半にわたってECサイトと管理画面が使えませんでした。その間に全店舗の停止も重なり、再開の翌日には漏えいの公表が続きました。

漏えいした会員情報

漏えいが確認されたのは、10月17日の不正アクセスで対象になった1店舗の会員情報です。同社は、カード情報は決済代行会社が直接処理しており、自社のサーバーを経由せず保存もしていないと説明しています。

SaaS型ECの不正アクセスで、なぜ店舗の営業まで止まったのか

SaaS型のECは、多くの店舗が同じ提供元のサーバーとソフトウェアの上で動くため、提供元がサーバーを止めれば、そのまま店舗の売り場も閉じることになります。futureshopの事例で店舗に及んだ影響を、公表された内容から3つに分けて見ていきます。

共通のサーバーで起きた問題は、そこに載る店舗の画面をまとめて止める

4台のサーバーへの不正アクセスでは、対象の店舗でECサイト、管理画面、FTP・APIが使えなくなりました。被害の拡大を防ぐためにサーバーごと止めると、そのサーバーに載る店舗は、自店の状態にかかわらず営業を止めることになります。IPAの「中小企業のためのクラウドサービス安全利用の手引き」も、1台のコンピュータを多数で共用するクラウドでは、1台のインシデントが多数に影響すると説明しています。

店のメール、CMSのページ、問い合わせフォームも一緒に止まる

影響は、売り場の外にも及びました。第二報によれば、対象店舗の契約ドメインのメールアドレスも、安全のため送受信が止められています。PHPの対策では、CMSサーバオプションでトップページや特集ページを作っていた店舗で、ページや画像が表示されなくなることが案内されました。さらに、開発元の判断で終了したフォーム作成サービスを使っていた店舗では、フォームでの問い合わせを受けられなくなっています。

漏えいが起きれば、店も報告の当事者になる

1店舗の会員情報の漏えいについて、同社は当該店舗との連名で個人情報保護委員会に報告しました。個人情報保護委員会のガイドラインは、個人データの取扱いを委託している場合、報告の対象になる事態では、原則として委託元と委託先の双方が報告の義務を負い、連名で報告できると定めています。プラットフォームの中で起きた漏えいでも、会員の情報を集めた店は、報告やお客様への連絡を担う側に立つということです。

SaaS型のECプラットフォームを使う店舗が狙われる理由

SaaS型のECが狙われるのは、1つの基盤に多くの店舗の注文と会員の情報が集まり、そこを破れば多くの店に手が届くからです。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、委託先やSaaSの共通基盤が1つ破られると、利用する企業すべてに被害が広がり得ると整理しています。IPAの「ECサイト構築・運用セキュリティガイドライン」も、SaaS型サービスでも被害は起きているとして、SaaSなら対策は要らないという考え方を誤りだと述べています。店の規模より、どの基盤に載っているかで狙われると考えたほうが実態に近いでしょう。

SaaS型ECの停止や漏えいに備えるには？ネットショップが取るべき3つの対策

SaaS型のECでネットショップを運営する事業者が優先したいのは、①プラットフォームが止まった日に、サイトの外でお客様へ知らせて問い合わせを受ける手段を持つ、②管理画面・FTP・APIのアカウントと、店が足したCMSやWordPressを店の責任で固める、③プラットフォームで漏えいが起きたときの報告とお客様への連絡の手順を決める、の3つです。①は止まった日の混乱を抑えるため、②は店の側に入口を残さないため、③は漏えいの後の対応を遅らせないための備えになります。

対策1：プラットフォームが止まった日に、お客様へ知らせて問い合わせを受ける手段を、サイトの外に用意する

ECプラットフォームが止まる日に備えて最初に整えたいのは、ECサイトとは別の経路で、お客様に状況を知らせ、問い合わせを受けられる手段です。futureshopの事例では、対象の店舗でECサイトと管理画面が約1日半使えず、契約ドメインのメールも止められ、フォームでの問い合わせを受けられなくなった店舗もありました。売り場と連絡の手段が同じ基盤に載っていると、停止の日には店からの発信がほとんどできなくなります。

IPAのクラウドの手引きも、サービスが止まったときの影響を前もって確かめておくよう勧めています。店の手順書には、次の5つを入れておきます。

1. ECの外にある連絡の手段（公式サイト、SNS、電話、モールの店舗など）と、それぞれにログインできる人を一覧にする
2. 停止を知らせる文のひな形を用意する（止まっている事実、注文と発送への影響、問い合わせ先、次に案内する時刻）
3. 店のドメインのメールが止まったときに使う、別の系統の連絡先を決め、配送業者や仕入先にも先に伝えておく
4. 受注、出荷予定、お客様の連絡先を毎日書き出し、管理画面に入れない間も発送と連絡を続けられるようにする
5. ページの一部が表示されないまま注文を受け続けるか、店をメンテナンス状態にするかを、判断する人と基準とともに決めておく

判断の目安は、「停止に気づいてから1時間以内に、サイトの外で最初のお知らせを出せる」状態です。落とし穴は、お知らせを出す手段が、ECのメールマガジン機能や店のドメインのメールなど、止まった基盤に頼っていることでしょう。再開の見込みは提供元の作業の進み方で変わるため、お客様向けの文には再開の時刻を約束せず、次に案内する時刻を書くほうが混乱を招きません。手順書はEC担当の責任者が半日ほどでまとめられ、繁忙期の前に見直せば足ります。

対策2：管理画面・FTP・APIのアカウントと、店が足したCMSやWordPressを、店の責任で固める

2つ目は、プラットフォームの上で店が管理している部分を、店自身の手で守ることです。フューチャーショップは第一報で、管理画面のパスワードをほかのサービスでも使っている店舗に変更を求めました。同社の説明によれば、多くの店舗がCMSサーバオプションの上でWordPressなどを動かし、トップページや特集ページを作っています。

IPAのECサイトのガイドラインは、SaaS型でも管理画面を乗っ取られれば不正ログインの被害が出るとして、管理画面に入る従業員を最小限にし、二要素認証と接続元の制限を入れるよう求めました。独自の処理を足した部分には、自社で構築したサイトと同じ水準の対策が要るとも書かれています。店で確かめる対象は次の表のとおりです。

判断の目安は、「管理画面に入れる人と端末をすべて言え、店が足したCMSの更新が1か月以内」の状態です。陥りやすいのは、制作会社に作ってもらったWordPressのページの更新を、店と制作会社のどちらが担うか決まっていないケースでしょう。担当を発注書に書き込み、更新の記録を毎月受け取る形にしておくと、抜けが生まれにくくなります。点検はEC担当の責任者と制作会社で1日ほど、その後は月30分の確認で回せます。

対策3：プラットフォームで漏えいが起きたときの、店としての報告とお客様への連絡の手順を決めておく

3つ目は、プラットフォームの側で漏えいが起きたときに、店がすぐ動けるよう段取りを決めておくことです。futureshopの事例では、10月19日に判明した漏えいが23日に公表され、その間に同社と店舗が連携して、お客様への案内と問い合わせ窓口を準備しました。報告も店舗との連名で行われています。

個人情報保護委員会への報告は、発覚から速やかに行う必要があり、ガイドラインは速報の日数の目安を、知った時点から概ね3〜5日以内としています。不正アクセスのように不正の目的が疑われる漏えいは、件数にかかわらず報告の対象です。店の手順書には、次の5つを書いておくと動きやすくなります。

1. 利用規約や契約で、事故のときに提供元から届く知らせの期限、窓口、受け取れる情報を確かめる
2. 個人情報保護委員会への報告と本人への通知の担当を決め、提供元と連名にするか、どう分担するかを平時に話しておく
3. お客様へのお詫びと通知の文、FAQ、電話とメールの問い合わせ窓口のひな形を用意する
4. 店を名乗る偽のメールに備え、「店からパスワードやカード番号を尋ねることはない」という注意文も用意する
5. 店が持つ会員情報を見直し、使っていない項目や、長く利用のない会員の情報をいつまで持つかを決めておく

判断の目安は、「提供元から連絡を受けた日のうちに、報告の担当とお客様への連絡の段取りが動き出す」ことです。落とし穴は、プラットフォームの中の出来事だからと提供元の発表を待つだけになり、店の側の報告やお客様への連絡が後回しになることにあります。会員の件数や項目を店が把握していないと通知の文も窓口も用意しにくいため、5つ目の見直しは平時に済ませておきたい作業です。手順書は経営者と個人情報の責任者で半日ほどあれば形になり、年に1回、連絡先と契約の中身を確かめ直します。

ネットショップの守りを外から支える、ガーディアンの3つの支援

プラットフォームの中の守りは提供元が担い、店が足したページ、店の名前、お客様への窓口は店の側で守る必要があります。この店の側の守りを、当社は確かめる、見続ける、窓口を守る、の順に3つのサービスで支えています。

1. SCAN DOG ライト版：店が足したページと関連サイトを、まず外から確かめる

ECプラットフォームの上に店が独自に足したページ、CMSサーバーで動かす特集ページ、制作会社が管理する関連サイトは、どれも店の側の入口です。SCAN DOG ライト版は、対象のURLを並べた一覧をもとに、SSLの状態、管理画面やログインIDが外から見えていないか、CMSが古いまま残っていないかを外部から診断します。手を入れるべきページから順に並んだレポートが届くので、対策2の点検をどこから始めるかを決めやすくなるでしょう。

2. SCAN DOG 正規版：セールや改修のたびに、公開Webアプリケーションを診断し続ける

セールや新商品に合わせてページを作り替える店ほど、改修のたびに新しい穴ができていないかを確かめ続ける必要があります。SCAN DOG 正規版は、自社の公開Webアプリケーションを、毎日・毎週・毎月・半年ごと・1年ごとから選んだ頻度で診断し、結果と対応の状況を1か所で管理できるサービスです。制作会社に修正を頼むときにも、診断の結果がそのまま具体的な依頼の材料になります。

3. SCSC Dog：ECが止まった日も、店の公式サイトと店の名前を守る

ECサイトが止まると、売り場の中ではお客様に状況を伝えられなくなります。SCSC Dog は、店の公式サイトをECとは別の当社の基盤で運用し、更新、WAF、24時間365日の有人監視、障害時の復旧までを受け持つサービスです。店のドメインを名乗る偽のメールを受け取る側が見分けやすくなるよう、SPF・DKIM・DMARC も標準で整えます。当社がこの基盤で運用しているサイトは、2026年10月時点で76,325にのぼります。

SCS評価制度で問われる、外部サービスの管理と事業継続

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、セキュリティ対策の水準を★の数で表す任意の制度で、★3・★4の申請受付は2026年度末に始まる予定です。取引を直接規制するものではありませんが、法人向けの取引を持つネットショップでは、取引先から外部サービスの使い方を尋ねられる場面が出てくるとみられます。

今回の事例に関わるのは、★3の要求事項「3-1-3 外部情報サービスの管理」と「7-1-1 事業継続要件に沿った復旧準備」です。前者は、機密情報を扱う外部のサービスについて、セキュリティ要件を決めてサービスが満たしているかを確かめ、提供事業者と機密情報の扱いを取り決めることを求めています。後者は、重要なシステムについて業務の目標復旧レベルを定め、例として取引先の連絡先と複数の連絡手段を整え、人手でも業務を続けられるようにすることを挙げています（IPA「★3・★4 要求事項・評価基準」）。対策1の連絡手段と対策3の取り決めは、この2つへの準備にもなります。制度の中身はSCS評価制度への対応で詳しく解説しています。

まとめ

futureshopでは、2026年10月の1週間に不正アクセス2件とPHPの脆弱性への対策に伴う停止が重なり、対象サーバーの店舗はECサイトと管理画面が約1日半使えませんでした。10月17日の不正アクセスでは1店舗の会員情報3,147,469件が漏えいしています。

SaaS型のECでネットショップを運営する事業者が今日から進めたいのは、次の3つです。

• 公式サイト、SNS、電話など、ECの外でお客様に知らせて問い合わせを受ける手段と、停止を知らせる文のひな形を用意する
• 管理画面・FTP・APIのアカウントを点検し、店が足したCMSやWordPressの更新の担当を決める
• 漏えいが起きたときの報告の担当、お客様への通知の文、問い合わせ窓口を平時に決めておく

ECサイトとは別に、店の公式サイトの守りの基本がどこまでできているかは、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応