メインコンテンツへスキップ
見出し画像

【号外】Weekly EC Mall News 緊急特集：海外ECモールと越境物流を狙うサイバー攻撃 ── 被害の実態・対抗策・これからの備え

    越境ECべったり屋

    2026年10月18日（日）緊急リリース

    この記事の3行まとめ
    ・2026年の攻撃は「モール本体」よりも、委託先・連携アプリ・物流会社・元社員の認証鍵といった“周辺”から入り込む型が主流に。韓国Coupangには過去最大の約4億ドルの制裁金が科されました
    ・9月下旬にはヤマト運輸・佐川急便・日本郵便で不正アクセスの公表が相次ぎ、日本郵便は国際郵便の調査請求サービスでも被害を確認。欧州では物流大手CEVAへの攻撃で、Zalandoなど10社以上の顧客データと配送が止まりました
    ・越境セラーが今すぐやるべきことは、パスキー導入・代行業者の権限整理・配送データの最小化・年末商戦前の顧客向け注意喚起の4つです

    いつもWeekly EC Mall Newsをお読みいただきありがとうございます。

    今回は通常号とは別に、号外としてお届けします。ここ数週間、ECプラットフォーム、物流会社、そしてそれらを支える委託先へのサイバー攻撃と情報漏えいの公表が国内外で集中しています。年末商戦（ブラックフライデー〜クリスマス）を前に、越境ECに関わる皆さんが知っておくべき情報を緊急でまとめました。

    ※本記事の情報は2026年10月18日時点で公表されているものです。調査中の案件も多く、数字や状況は今後変わる可能性があります。

    1. 海外ECモール・関連企業のサイバー攻撃被害と対抗策

    2026年の被害を整理すると、大きく4つの型に分けられます。

    ① 内部の認証鍵が悪用される：韓国Coupang

    韓国最大のECモール**Coupang（クーパン）**では、ユーザー認証システムの開発に関わっていた元社員が、社内の認証鍵を偽造して約7か月にわたり顧客データにアクセスしていました。韓国政府の調査では、流出したのは約3,367万件。氏名、メールアドレス、住所、注文履歴などが含まれ、韓国のEC業界で過去最悪の事案とされています。

    • 2026年6月11日、韓国の個人情報保護委員会（PIPC）は過去最大となる6,246億ウォン（約4億900万ドル）の制裁金を科しました。物流子会社のCoupang Fulfillment Servicesにも別途制裁金が出ています

    • 侵害の報告義務（24時間以内）を守らなかったことや、データ保全命令に従わなかったことも問題視されました

    • Coupangは約1.69兆ウォン（約12億ドル）相当のクーポン補償を実施。韓国法人CEOは辞任し、2026年の売上成長は鈍化する見通しを示しています

    対抗策：Coupangは**ゼロトラスト（社内でも無条件には信用しない）**への移行を進め、VPN依存をやめる方針を示しています。Coupangは制裁金については不服として争う姿勢です。

    💡 教訓：退職者や異動者の権限・鍵が「生きたまま」残っていないか。規模を問わず、すべてのEC事業者に当てはまるポイントです。

    ② 委託先・連携サービスから侵入される（サプライチェーン型）

    Global-e（越境EC決済・代行）
    2026年1月、越境ECの決済・注文処理を代行するGlobal-eのクラウド環境に不正アクセスがあり、複数ブランドの注文データ（氏名・連絡先・注文内容など）が閲覧されました。被害を公表したハードウェアウォレット大手Ledgerの顧客には、直後から漏えいデータを使った精巧なフィッシングメールが届いています。

    BigCommerce（ECプラットフォーム）
    2026年9月13〜17日、BigCommerceと連携する外部アプリ「Ribon」の認証情報が盗まれ、一部の加盟店ストアに不正なスクリプトが埋め込まれました。プラットフォーム本体ではなく、店舗が入れていたアプリが入口でした。

    Salesforce経由の大規模恐喝（ShinyHunters）
    ハッカー集団ShinyHuntersは、企業が顧客管理に使うSalesforceを狙った攻撃を続けています。手口は、電話で社員をだまして不正なアプリ連携を承認させる、あるいはゲストユーザーの公開設定ミスを突くというもの。2026年にはZara、セブン-イレブン（約18万人分）などが被害を受けました。9月29日には主要メンバーとされる人物がオランダで逮捕されたと報じられています。

    対抗策：Salesforceは「プラットフォームの脆弱性ではなく設定と人を狙った攻撃」だとして、ゲストユーザー権限の見直しなどの推奨設定を公開しています。

    ③ ECプラットフォームそのものの脆弱性

    Magento / Adobe Commerce（自社越境ECで広く利用）

    • 8月：顧客のログイン状態を別の顧客アカウントに切り替えられてしまう脆弱性（CVE-2026-71362）が修正されましたが、修正の直後から悪用の試みが観測されました

    • 9月：認証なしでサーバー上のプログラムを実行できる最高深刻度（CVSS 10.0）の脆弱性「StyleSmuggler」（CVE-2026-75650）が、修正前の段階から悪用されました。9月4日に攻撃が確認され、Adobeは7日に緊急パッチを公開。米CISAや豪州のサイバー当局も警告を出しています。最初の報告からわずか50分後に侵害されたサーバーもあったとのことです

    ⚠️ StyleSmugglerについてAdobeは、**パッチ適用に加えて暗号化キーの再発行（ローテーション）**も必要としています。パッチだけで終わらせないよう注意してください。

    国内でも：Eストアー「ショップサーブ」
    BASEグループのEC構築サービス「ショップサーブ」では、アプリの脆弱性を突かれ、2026年5月21日〜8月1日にデータベースの情報が外部に送られていました。10月16日の最終報では、約2,336万人・7,858店舗が対象。うち約210万人分にはカード情報の一部（番号の先頭6桁・下4桁、有効期限）が含まれます。すでにサービスを解約した店舗の過去の顧客データまで対象になった点が大きな教訓です。

    ④ セラーアカウントの乗っ取り

    • Shopify：大量の購読登録メールで受信箱を埋め、セキュリティ通知を見えなくしてからアカウントを乗っ取る「サブスクリプション・ボミング」が問題に。米国の古着店では、乗っ取られたアカウントから勝手に融資を申し込まれ、約3万3,400ドルの被害が出ました

    • Amazon（国内の事例）：Amazon運用代行のZonExpertは10月1日、委託元から付与されていたセラーセントラルのアカウントが第三者に変更され、63事業者分の購入者情報（氏名・住所・電話番号・注文履歴）が閲覧できる状態になっていたと公表しました。代行業者1社を通じて、多数の店舗に影響が広がった形です

    真偽が未確認の「大量データ販売」の主張

    ダークウェブでは、大手モールのデータを売るという投稿も相次いでいます。いずれも現時点で真偽は確認されていません。

    • Temu：約3億1,000万件の販売を主張（7月）。Temuは自社システム由来ではないと否定

    • 楽天：約1億100万件の販売を主張（10月4日）。楽天からの漏えい発表はなし

    • メルカリ：約2,400万件の販売を主張。サンプルが生成AIで作られた可能性が高いと分析されています

    💡 ポイント：真偽にかかわらず、こうした“話題”は「お客様の情報が漏えいしました」というなりすまし連絡の口実に使われます。

    モール・プラットフォーム側の主な対抗策

    • Amazon：2026年7月から全セラーセントラルアカウントで**パスキー（指紋・顔認証などによるパスワード不要のログイン）**を利用可能に。2026年後半には一部アカウントで必須化される予定です。さらに、1つのログインを複数人で共有することは認めず、**担当者ごとに個別アカウント（セカンダリーユーザー）**を発行する運用を求めています

    • eBay：2段階認証に加え、パスキーの設定を推奨しています

    • Adobe：緊急パッチの公開と暗号化キー再発行の指示

    • Coupang：ゼロトラスト化、補償プログラム、経営陣の刷新

    2. 日本から海外へ配送する物流サービス・関連企業の被害と対抗策

    9月下旬、国内物流大手3社で不正アクセスが相次ぐ

    ヤマト運輸「クロネコ代金後払いサービス」
    9月28日に不正アクセスを確認し、同日夜にサービスを停止。10月2日の第2報で、一部利用者の氏名・住所・電話番号・メールアドレスに加え、請求金額・債権残高・商品明細まで漏えいした可能性があると公表しました（カード情報・パスワードは含まれず）。10月9日に安全確認のうえサービスを再開していますが、調査は続いています。宅急便などほかのサービスは通常どおりです。

    佐川急便「お荷物問い合わせサービス」
    9月30日に不正アクセスを確認。9月30日からさかのぼって約100日分の送り主・届け先の情報（氏名・住所・電話番号など）が流出した可能性があります。会員でなくても、荷物の届け先になっていただけで対象になり得る点が特徴です。

    日本郵便「郵便局アプリ」と「国際郵便 調査請求Web受付」

    • 郵便局アプリ：19人分・69件の顧客情報が第三者に取得されたことを確認（追跡番号・品名・配達予定なども含む）

    • 国際郵便の調査請求Web受付サービス（神奈川・山梨の郵便局で試行中）：10月16日の公表で、約600件の顧客情報（差出人・受取人の氏名、住所、電話番号、メールアドレス、問い合わせ番号など）が閲覧可能な状態だったことが判明。さらに、このサービス用のメールアカウントから迷惑メールが約52万通送られていたと報じられています（7月中旬から）。Web受付は停止中で、窓口での書面受付に切り替えています

    3社の事案が同じ攻撃者によるものだという情報は、現時点では出ていません。

    ⚠️ 注意：今回漏れた可能性があるのは、商品名・金額・追跡番号・配達予定といった**「実際の取引」を知っているかのように見せられる情報**です。「ご購入の○○の代金が未払いです」といった、本物そっくりの詐欺連絡の材料になり得ます。

    越境物流・海外拠点でも

    • 近鉄エクスプレス（KWE）：5月15日、シンガポール現地法人のサーバーで不正アクセスを検知。シンガポールの航空輸出業務と倉庫業務の一部に影響しましたが、システムを遮断・隔離し、5月20日までに復旧しました

    • CEVA Logistics（欧州・物流大手）：8月、CEVAへの攻撃で、オランダの大手ECモールBolや百貨店De Bijenkorf、眼鏡チェーンAce & Tate、Zalandoなどの顧客データ（氏名・住所・電話番号・注文内容）が流出し、一部はダークウェブで売りに出されました。オランダ当局には少なくとも12社が報告。De Bijenkorfは配送が約1か月止まる事態になりました

    数字で見る物流への攻撃

    サプライチェーンリスク分析のEverstream Analyticsによると、物流関連のサイバー事案は2025年に前年比61%増（132件→213件）。2026年はさらに倍増する見通しです。攻撃者は1社ではなく、多くの企業が共有する輸送ネットワークを狙う方向に移っていると分析されています。

    物流側の対抗策

    • 素早い停止と隔離：ヤマト運輸は確認当日にサービスを止め、近鉄エクスプレスは関連システムを遮断・隔離して数日で復旧

    • データ連携の即時停止：BolはCEVAとのデータ交換をただちに止め、影響する商品を一時的に販売停止にしました

    • 壊せないバックアップ：7月に攻撃を受けた低温物流大手ニチレイは、改ざんできないバックアップと復旧体制により、約10日という短期間で全面復旧しています

    • 利用者への注意喚起：各社とも、メールやSMSのリンクから再配達や支払いをしないよう呼びかけています

    💡 EC事業者へのヒント：自社サイトが無事でも、物流会社や後払い事業者に渡した顧客データから漏れることがあります。どの委託先に、どの情報を、どれだけの期間渡しているかを一度棚卸ししておきましょう。

    3. 今後予想される動き

    いつもの予測レポートと同様、**確度（高・中・要ウォッチ）**をつけて整理します。

    確度：高

    ① 年末商戦に向けて、フィッシングとアカウント乗っ取りが急増する
    Akamaiの調査では、アジア太平洋地域のコマース企業を狙うボットの活動は2025年に63%増え、世界で最も高い伸び率でした。今回の物流3社の件で「本物らしい配送情報」が出回った可能性もあり、偽の配送通知・関税支払い要求・返金連絡がさらに巧妙になると考えられます。

    ② パスキーの必須化がモール全体に広がる
    Amazonは2026年後半に一部アカウントでパスキーを必須にする予定です。パスワード＋SMS認証から、フィッシングに強いログイン方式への移行が業界標準になっていくでしょう。

    ③ 「周辺」から入る攻撃が続く
    Global-e、BigCommerceの連携アプリ、CEVA、Salesforce、そして国内のZonExpertと、2026年の大型事案の多くは委託先・連携先が入口でした。この傾向は当面続くと見られます。

    ④ Magento / Adobe Commerceへの攻撃が続く
    8月・9月と続けて悪用が確認されました。パッチを当てていない店舗を狙った大量攻撃が、年末にかけて続く可能性が高いと考えます。

    確度：中

    ⑤ 規制と罰則が厳しくなり、取引先から対策を求められる場面が増える

    • Coupangへの過去最大の制裁金は、各国の当局にとって基準となる事例になりそうです

    • EUでは**サイバーレジリエンス法（CRA）**の報告義務が2026年9月11日に始まりました（詳しくは次章）

    • 日本では経済産業省の**「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」**が2026年度中の開始を目指しています。企業の対策を星の数で評価する仕組みで、取引先から一定以上の評価を求められるケースが増えると見られます

    ⑥ 物流各社が「追跡・問い合わせ」サービスの本人確認を見直す
    今回狙われたのは、配送そのものではなく、問い合わせ・後払い・アプリといった顧客向けWebサービスでした。住所や注文内容を「本人しか知らない情報」として本人確認に使う方法は通用しにくくなり、アプリやワンタイム認証を組み合わせる方向に進むと考えます。

    要ウォッチ（不確実性が高いもの）

    • 楽天・Temu・メルカリの「大量データ販売」主張の真偽

    • ShinyHunters主要メンバー逮捕後の活動の変化（グループ名は複数の集団に使われており、すぐに収まるとは限りません）

    • AIエージェントによる自動購入が広がるなかでの、新しい不正の手口（Akamaiは「エージェント型ストアフロント」への攻撃を新たなテーマとして取り上げています）

    • 共用クラウドへのランサムウェア（国内ではIDCフロンティアのクラウドへの攻撃で495の組織に影響が出ており、1つの基盤の停止が多数の事業者に波及するリスクが顕在化しています）

    4. 日本から海外ECモールで販売するときに注意すべき点

    ① セラーアカウントは「パスキー＋担当者ごとのID」で守る

    • Amazonはパスキーをすでに全アカウントで利用可能にしています。必須化を待たずに今すぐ設定しましょう

    • 1つのIDとパスワードを社内や外部で使い回すのはやめ、担当者ごとにアカウントを発行。退職・契約終了時はその人の権限だけを削除できるようにします

    • アカウントに登録しているメールアドレスは、毎日確認する専用のアドレスに。Shopifyの事例のように、通知が埋もれると乗っ取りに気づけません

    ② 運用代行業者・外部ツールに渡す権限を最小限に

    • ZonExpertの件のように、代行業者1社の侵害で、多くの店舗の購入者情報が見られる状態になり得ます

    • 代行業者・在庫管理ツール・価格調整ツールなどに渡している権限を一覧にし、不要な権限や使っていない連携は削除しましょう

    • 契約時に「インシデント時の連絡期限」と「契約終了時のデータ削除」を取り決めておくと安心です

    ③ 自社越境EC（Magento・Shopify・BASE等）を持っている場合

    • Magento / Adobe Commerceは8月・9月のセキュリティパッチの適用状況を確認。StyleSmugglerは暗号化キーの再発行まで必要です

    • 連携アプリやプラグインを定期的に見直す（BigCommerceの事例は外部アプリが入口でした）

    • 乗り換え前の古いEC環境に顧客データが残っていないか確認を。ショップサーブでは、解約済み店舗の過去データまで漏えい対象になりました

    ④ 物流・決済の委託先に渡すデータを絞る

    • 発送や後払いのために、氏名・住所・電話番号・注文内容を物流会社や決済会社に渡しています。必要以上の項目を渡していないか、どれくらいの期間保存されるのかを確認しましょう

    • 物流会社が1社だけだと、攻撃を受けたときに配送が止まります。De Bijenkorfは約1か月配送できませんでした。主要な発送ルートは2つ以上用意しておくと安心です

    ⑤ 海外の購入者に「公式ルートでの確認」を案内する

    • 年末に向けて、偽の配送通知や「関税を支払わないと荷物が届かない」という詐欺メッセージが増えると予想されます

    • 商品ページや発送通知メールに、「配送状況は当店またはモールの注文画面からご確認ください」「SMSのリンクから支払いを求めることはありません」と英語で一文添えるだけでも、購入者の被害とトラブルを減らせます

    ⑥ 販売先の国のルールを知っておく

    • EU：2026年9月11日から、CRA（サイバーレジリエンス法）の報告義務が始まりました。**ネットにつながる製品を自社ブランドでEU市場に出している事業者（EU域外の企業も含む）**は、実際に悪用された脆弱性や重大なインシデントを把握したら、24時間以内に第一報を当局へ報告する必要があります。違反時の制裁金は最大1,500万ユーロまたは全世界売上高の2.5%です。自社ブランドのガジェットや家電をEUに販売している場合は要確認です

    • 韓国：Coupangの事例のとおり、個人情報の取り扱いと報告の遅れには非常に厳しい姿勢です

    • 各国の法律の適用範囲は商品や取引形態によって異なります。対象になりそうな場合は、専門家への確認をおすすめします

    ⑦ 決済の不正対策は「効いている」が油断は禁物

    日本クレジット協会によると、2026年4〜6月のカード不正利用被害額は107.7億円で前期より5.2%減少しました。本人認証サービス（EMV 3-Dセキュア）の義務化などが効果を上げていると見られます。ただし、**被害の約9割はカード番号の盗用（なりすまし）**で、依然として大きな金額です。自社ECでカード決済を受けている場合は、カード会社のガイドラインに沿った対策を続けましょう。

    まとめ：越境セラーが今週やるべきこと

    1. セラーアカウントにパスキーを設定し、担当者ごとのアカウントに切り替える

    2. 運用代行業者・外部ツールの権限を棚卸しして、不要なものを削除する

    3. 自社ECがMagentoなら、8月・9月のパッチと暗号化キー再発行を確認する

    4. 物流・後払い事業者に渡している顧客データの項目と保存期間を確認する

    5. 年末商戦前に、海外の購入者向けに**「公式ルートで確認してください」という英語の注意書き**を入れる

    6. EUに自社ブランドのデジタル製品を販売しているなら、CRAの報告義務の対象か確認する

    情報ソース一覧

    海外ECモール・プラットフォーム

    物流

    動向・規制・統計

    公開前にご確認ください

    • 数字と状況は10月18日時点：ヤマト運輸・佐川急便・日本郵便の件は調査が続いており、対象件数などが今後更新される可能性があります。公開直前に各社の公式発表を確認してください

    • 未確認情報の扱い：楽天・Temu・メルカリの「データ販売」は、いずれも真偽未確認であることを本文で明記しています。見出しやSNS告知文で「漏えい」と断定しないようご注意ください

    • 社名・事例の扱い：被害企業名はすべて各社の公表や報道に基づいています。推測で被害を断定する表現は避けていますが、公開前に最新の公式発表と食い違いがないかご確認ください

    • noteの書式：noteは表に対応していないため、表を使わずに構成しています。画像は使っていません。アイキャッチ画像はnoteの「みんなのフォトギャラリー」から選ぶのが安全です

    あなたへのおすすめ