佐嘉平川屋のカード情報漏えい — 決済アプリの改ざん（Webスキミング）で約1年分のカード決済が対象になった経緯と、ECサイトを守る3つの対策

佐嘉平川屋のカード情報漏えいとは

2026年6月15日、佐賀県武雄市の株式会社佐嘉平川屋は、自社が運営する「佐嘉平川屋オンラインショップ」が第三者の不正アクセスを受け、お客様の個人情報とクレジットカード情報が漏えいした可能性があると発表しました。原因は、ショップのシステムの一部の脆弱性を突かれ、ペイメントアプリケーション（決済の仕組み）が改ざんされたことです。同社は温泉湯豆腐などを製造・販売する豆腐メーカーで、自社のオンラインショップのほか、楽天市場の店舗と直営店でも商品を販売しています。

楽天市場の店舗と直営店のカード決済は、オンラインショップとはまったく別のシステムを使っているため、今回の漏えいには含まれていません。2026年10月時点で、同社サイトは自社のECサイトを準備中として、楽天市場の店舗へ案内しています。

発覚から公表までの経緯

異変を知らせてきたのは、一部のクレジットカード会社でした。同社は連絡を受けたその日にカード決済を止め、第三者調査機関の調査と警察への被害申告を始めています。

漏えいした可能性のある情報と対象者

漏えいの可能性は、カード情報とそれ以外の個人情報とで、対象の期間と人数が分かれています。発表の冒頭では件数（個人情報73,213件、カード情報6,303件）を、本文では対象のお客様の人数を示しています。

同社はカード会社と連携して、漏えいした可能性のあるカードの取引を監視し、再発行の手数料がお客様の負担にならないようカード会社に依頼しています。

Webスキミング（決済ページの改ざん）とは

Webスキミングとは、ECサイトの注文画面や決済画面に不正なプログラムを仕込み、お客様が入力したカード情報などをその場で攻撃者のもとへ送らせる手口です。商品を選んで支払うまでの流れは普段と変わらないため、お客様も店も、入力した情報が抜き取られていることに気づけません。佐嘉平川屋で公表された内容は、この手口の特徴とそのまま重なります。

佐嘉平川屋で起きたこと

同社のFAQによれば、悪意のある第三者が委託先のサーバー上に不正なファイルを置き、お客様が注文フォームに入力した情報を外部に送信する動作をさせていました。FAQの別の問いでは、原因を「システムの一部の脆弱性を利用した第三者の不正アクセスにより、不正ファイルを設置されたため」と説明しています。同社は、以前から緊急または重大な脆弱性はないと認識していたものの、調査で一部のシステムに脆弱性が見つかったと明かしています。

カード情報を保存していない店でも、漏えいは起きる

同社はお客様のカード情報を一切保有していませんでした。それでも漏えいが起きたのは、カード情報が保存された場所ではなく、入力される画面そのものが狙われたためです。IPAの「ECサイト構築・運用セキュリティガイドライン」も、ECサイトが改ざんされると決済代行会社の画面に移る手前でカード情報が盗まれるとして、カード情報を持たない「非保持化」だけでは不十分だと明記しています。その場合の漏えいは、決済代行会社ではなくECサイトを運営する事業者の責任範囲になる、という整理です。

異変を最初に知らせたのは、カード会社だった

佐嘉平川屋で異変が分かったのは、カード会社からの連絡がきっかけでした。カード情報の対象期間は2025年3月21日からの約1年に及んでいます。決済画面の改ざんは表示や購入の流れを変えずに進むため、店の側から異変をつかむ手がかりが少ないのが、この手口のやっかいな点です。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」でこの事例を取り上げ、決済ページを改ざんされてもホームページの見た目は何も変わらないため、外からの脆弱性診断がなければ見つけるのが難しいと指摘しています。

決済ページの改ざんで、中小企業のECサイトが狙われる理由

ECサイトが狙われるのは、カード情報と個人情報が毎日入力される場所であり、守りの穴が外から見つけやすいからです。IPAによれば、ECサイトからの情報流出では被害の大半を中小企業の自社構築サイトが占めており、ガイドラインもこの状況を受けて作られました。実際に被害を受けたECサイトの手口を見ると、決済画面の改ざんにつながる脆弱性がもっとも多くなっています。

IPAは同じガイドラインで、管理者画面へのアクセス制限の不備をきっかけに決済画面へ不正アクセスされる例が最近多く報告されているとも述べています。攻撃者は会社の名前や規模ではなく、自動の探索で見つかった穴から順に標的を選びます。地方の食品メーカーのショップでも、決済の画面を公開している限り、探される側にいると考えるべきでしょう。

ECサイトの決済ページ改ざんを防ぐには？店舗が取るべき3つの対策

ECサイトを運営する企業が優先したいのは、①委託先との保守契約に更新と脆弱性診断を書き込み、実施を確かめる、②決済画面と重要なファイルの変化を見張る、③カード会社から連絡が来た日に止められる初動の手順を決めておく、の3つです。①は穴を作らないため、②は改ざんに自分で気づくため、③は気づいた後の被害と混乱を抑えるための備えにあたります。

対策1：委託先との保守契約に「更新」と「脆弱性診断」を書き込み、実施を確かめる

ECサイトの穴を減らすいちばんの近道は、構築と保守を任せている委託先との契約に、ソフトウェアの更新と定期的な脆弱性診断をはっきり書き込むことです。佐嘉平川屋の事例でも、不正なファイルが置かれたのは委託先のサーバーでした。店の担当者がサーバーの中を直接触る機会はほとんどないからこそ、何をどの頻度でやってもらうかを契約で決め、報告で確かめる仕組みが要ります。

IPAのガイドラインは、外部委託先への丸投げをやめ、運用・保守の契約に動作環境の最新版へのアップデートや攻撃のモニタリングを含めるよう求めています。進め方は次の4段階が基本です。

1. 自社のECサイトが、どのカートシステムで動き、どこのサーバーに置かれ、誰が管理しているかを1枚の表にまとめる
2. 保守契約に「OS・ミドルウェア・プラグインの更新」「改修のたびのWebアプリケーション診断」「定期的なプラットフォーム診断」「事故が起きたときの連絡の期限」を書き込む
3. 管理画面に接続できる端末やIPアドレスを限り、管理者のIDは担当者ごとに分ける
4. 年に1回は、更新と診断の実施記録を委託先から書面で受け取り、指摘への対応が済んだかを確かめる

頻度の目安は、IPAが示す基準がそのまま使えます。改修をしていなくてもOSやミドルウェアの脆弱性は見つかり続けるため、プラットフォーム診断は四半期に1回が目安です。危険度「高」の脆弱性は迅速に、「中」は3か月程度をめどに修正するのが推奨されています。

よくある落とし穴は、契約書に「保守」とだけ書かれ、更新や診断が含まれていないことでしょう。新しい機能を足したり画面を作り替えたりした直後は、新しい穴ができやすい時期です。改修の発注と診断の発注をひと組にしておくと、抜けが生まれにくくなります。担当はECの責任者と経営者で、契約の見直しは次の更新の時期に合わせれば、追加の手間は数日で済みます。

対策2：決済画面と重要なファイルの「変化」を見張り、改ざんに自分で気づける状態にする

2つ目は、穴を突かれたときに、店の側が自分で異変に気づける状態をつくることです。佐嘉平川屋では、異変を最初に知らせたのはカード会社で、カード情報の対象期間は約1年に及びました。改ざんは画面の見た目を変えないため、人の目でショップを眺めるだけでは見つけにくいと考えたほうがよいでしょう。

IPAのガイドラインは、運用時の必須の要件として、アプリケーションやコンテンツ、設定などの重要なファイルの定期的な差分チェック（ファイル整合性監視）や、Webサイト改ざん検知ツールによる監視を挙げています。顧客情報を外部に送る不正なプログラムが公開ディレクトリに仕掛けられても、検知できるようにするためです。見張る対象は、次の表のように決めておきます。

判断の目安は、「決済画面のファイルが1行でも書き換わったら、その日のうちに誰かに通知が届く」状態です。あわせて、IPAが重要とする月1回のバックアップがあれば、改ざんに気づいた後に正しい状態へ戻せます。

落とし穴は、改修のあとに比べる基準を更新せず、検知の通知が鳴り続けて誰も見なくなることです。通知の受け手を委託先と店の両方に置き、改修の完了報告と基準の更新を同じ手順に含めておくと、通知が意味を持ち続けます。導入は委託先と相談しながら1〜2週間、その後の確認は月に1時間ほどの作業量です。

対策3：カード会社から連絡が来た日に止められるよう、初動の手順と窓口を決めておく

3つ目は、異変を知らされたその日に、決済を止めて調査を始められるよう準備しておくことです。佐嘉平川屋は、カード会社から連絡を受けた3月9日のうちにカード決済を止め、第三者調査機関の調査と警察への被害申告を始め、3日後には個人情報保護委員会に報告しています。この速さは、誰が何を決めるかが明確でなければ出せません。

手順書に入れておきたいのは、次の5つです。

1. カード決済を止める権限を持つ人と、止める操作の方法（管理画面か、委託先への依頼か）を決めておく
2. 調査を依頼する第三者調査機関の候補と連絡先を、決済代行会社や委託先と前もって確かめておく
3. 警察（都道府県警察のサイバー犯罪相談窓口）と、個人情報保護委員会への報告の担当を決める
4. お客様への個別連絡の文面、FAQ、相談窓口の電話とメールのひな形を用意する
5. 漏えいの公表の後に出回りやすい、店を名乗る偽のメールへの注意文も用意しておく

個人情報保護委員会への報告は、件数が少なくても欠かせません。クレジットカード番号のように財産的な被害が生じるおそれのある情報や、不正アクセスなど不正の目的によるおそれがある漏えいは、1件でも報告の対象になるためです。速報は発覚から3〜5日以内がおおむねの目安で、手順書にはこの期限を書き込んでおきます。

判断の目安は、「連絡を受けた日の夕方までに、決済の停止と調査の依頼が済んでいる」ことです。落とし穴は、決済を止めると売上も止まるため、確かめているうちに判断が先送りになることでしょう。止めるかどうかの判断を個人の迷いに任せず、「カード会社から漏えい懸念の連絡が来たら止める」と先に決めておくのが確実です。再開には改修が前提になる点も、佐嘉平川屋のFAQが示すとおりです。手順書づくりは経営者とECの責任者で半日ほどあれば形になり、年に1回、連絡先が変わっていないかを見直します。

ECサイトと公式サイトの入口ごとに見る、ガーディアンの支援

ECサイトを運営する企業が守るべき入口は、決済画面だけではありません。公式サイト、店の名前で届くメール、管理画面まで、入口ごとに確かめることと当社のサービスを並べると次のようになります。

漏えいの後も、お客様への案内を出し続ける公式サイトを持つ

ECサイトで事故が起きると、お客様への案内、FAQ、相談窓口の電話番号を載せる場所として、公式サイトの役割が一気に大きくなります。佐嘉平川屋も、公表の約3か月後に、同社を装うフィッシング詐欺メールへの注意を公式サイトで呼びかけました。SCSC Dog は、ホームページの更新と24時間365日の有人監視、WAF、障害時の復旧を当社が担い、自社ドメインのなりすましメール対策も標準で整えます。基盤の稼働率は直近365日で99.99994%（当社集計）で、案内を出したい時に止まらない窓口を用意できます。

ECサイトの穴は、外からの診断で先に見つける

注文フォームや会員ページのように、お客様が情報を入力する画面は、SCAN DOG 正規版で継続して診断するのが向いています。改修で新しい穴ができていないかを確かめ、結果と対応の状況をダッシュボードで追えます。管理画面の露出やCMSの古さをまず一通り洗い出すなら、グループ会社や取引先の通販サイトもまとめて診断できる SCAN DOG ライト版が手早い入口になるでしょう。

SCS評価制度とECサイトの運用

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、対策の水準を★の数で示す任意の制度で、★3・★4の申請受付は2026年度末に始まる予定です。取引を直接規制するものではないものの、卸や業務用の取引を持つ企業では、取引先から同等の対策を尋ねられる場面が出てくるとみられます。

この事例と関係が深いのは、★3の要求事項「4-4-1 情報機器、OS及びソフトウェアの安全な構成」と「6-1-1 インシデント対応手順」です。前者ではサーバーやネットワーク機器の設定変更を申請・承認制にすることが、後者では発見報告から初動、調査・対応、復旧、最終報告までの手順と、社内外の連絡先を定めることが求められています（IPA「★3・★4 要求事項・評価基準」）。対策1の契約の見直しと対策3の手順書は、この2つへの準備を兼ねます。制度の中身はSCS評価制度への対応で解説しています。

まとめ

佐嘉平川屋の事例では、システムの脆弱性を突かれて委託先のサーバーに不正なファイルが置かれ、注文フォームの入力内容が外部へ送られていました。店はカード情報を保有していませんでしたが、5,783名のカード情報と30,170名の個人情報が漏えいした可能性があります。

ECサイトを運営する企業が今日から進めたいのは、次の3つです。

• 委託先との保守契約に、更新と定期的な脆弱性診断を書き込み、実施の記録を受け取る
• 決済画面と重要なファイルの変化を改ざん検知ツールで見張り、通知の受け手を決める
• カード会社から連絡が来たら、その日のうちに決済を止めて調査を始める手順書をつくる

ECサイトとは別に、会社のホームページの守りの基本がどうなっているかは、77's Check!! を使えば無料で調べられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応