ゼビオ子会社の通販に不正アクセス 購入者情報最大128,311件が漏えいの可能性

ゼビオホールディングスは2026年10月23日、子会社の株式会社GALLERY・2の通販で、個人情報が漏えいした可能性があると発表した。通販が使う、ほかの会社のECプラットフォーム「Commerble(コマーブル)」が不正アクセスを受けた。

何が起きたのか

GALLERY・2は、渋谷や新宿などに店を持つスポーツ用品店だ。通販サイト「Gallery・2オンラインショップ」は、株式会社CommerbleのECプラットフォームで動いていた。ECプラットフォームは、通販サイトを動かす仕組みを貸すサービスだ。

Commerbleの親会社から届いた報告書によると、経緯は次のとおりだ。

• 10月16日、Commerble側のシステム管理用の認証情報(システムに入るためのIDやパスワードなど)が不正に取られた
• 10月17日、管理用のクラウド環境を経由して顧客データベースに入られ、顧客情報を表示する操作が行われた
• 10月18日、支払いの入力画面の改ざんが見つかり、同じ日に通販サイトを止めた

アクセス制限の設定の不備などが悪用されたという。詳しい原因と流出の範囲は、調べている最中だ。

漏えいした可能性がある情報

Commerbleによると、対象は2019年4月2日から2026年10月18日までの利用者の情報だ。

区分どうしで重なりがあり、足した数が人数になるわけではない。情報を表示する操作は確かめられたが、外へ持ち出された事実は今のところ確認されていない。

クレジットカード番号とログインパスワードは含まれない。Commerbleによると、調査の結果、カード番号の漏えいは無かった。不正な利用などの二次被害も、今のところ確認されていない。

利用者へのお願いと問い合わせ先

GALLERY・2は、対象のお客様への個別の通知と注意の呼びかけを準備している。会社を装った不審なメールなどが届いたら、リンクを開かず、個人情報や決済情報を入力しないよう求めている。問い合わせは「G2-セキュリティ窓口」(security@gallery2.jp)で受け付けている。

会社の対応と業績への影響

GALLERY・2は10月21日付で、個人情報保護委員会(個人情報の扱いを見守る国の機関)に報告した。Commerbleは警察に通報した。Commerbleと親会社のシグマコンサルティング株式会社は、管理用の機能を外から使えなくした。認証情報を変えるなどの対策もしたという。

Commerbleは、ほかの利用企業の環境でも予防の対策を進めている。調べた記録の範囲では、ほかの環境に同じ不正アクセスの跡は見つかっていない。

ゼビオグループは、外部のクラウドサービスの管理の体制を点検する。業績への影響は軽微だと見込んでいる。

まとめ

GALLERY・2の通販が使う「Commerble」が不正アクセスを受け、購入者の情報が漏えいした可能性がある。カード番号とパスワードは含まれない。会社を装う不審なメールに注意するよう呼びかけている。