incidentlog.jp最終更新 2026-11-06
IncidentLogインシデントログ

2026-11-02 公表 · shimane-bussan-kyokai-20261102

島根県物産協会：一般財団法人 島根県物産協会 ＥＣサイトへの不正アクセスによる個人情報漏洩の可能性について

不正アクセス情報漏えい第1報AI関与: 未評価
公開データ JSON（CC BY 4.0）
影響件数
7人
8月13日15時30分頃～15日10時50分頃の間にECサイトで決済した人（うち購入に至った人は6人） · 可能性
対象となった情報
クレジットカード情報
侵入経路
Web アプリ・CMS・プラグインの脆弱性
公表に明記
漏えいの確認
可能性あり
第1報

要約

公表文の事実のみ

島根県は2026年11月2日、「物産観光館通信販売WEBサイト運営業務」を委託している一般財団法人島根県物産協会が運営するECサイト「しまねのふるさと直送便」で、第三者による不正アクセスにより個人情報が外部流出した可能性があると発表した。ECサイトの構築に使うEC-CUBEの「Amazon Payプラグイン」に脆弱性があり、そこからの不正侵入で8月13日に不正な管理者アカウントの作成と、決済画面の入力内容を読み取る不正なファイルの設置が行われた。対象は8月13日15時30分頃から15日10時50分頃までに決済した7人のクレジットカード情報（カード番号、有効期限、名義、セキュリティコード、支払い方法）。8月14日に保守業者が不正アクセスを確認してプラグインを無効化し、15日に不正なファイルを除去した。外部流出を示す通信の記録は確認されておらず、購入した6人の不正利用も11月1日現在確認されていない。物産協会は10月23日に該当者へメールで連絡した。

組織
一般財団法人島根県物産協会非営利団体
業種
卸売業，小売業 · EC・通販
所在地
島根県
発生（判明）期間
2026-08-13 〜 2026-08-15
根拠:「8/13　 15時30分頃　第三者による不正アクセスが発生し」[s1]
検知日
2026-08-14
第1報の公表日
2026-11-02
根拠:「令和8年11月2日」[s1]
影響件数
8月13日15時30分頃～15日10時50分頃の間にECサイトで決済した人（うち購入に至った人は6人） 7人（可能性）
根拠:「７人（うち購入に至った人数は6人）」[s1]
対象となった情報
クレジットカード情報
根拠:「カード番号（全16桁）、カード有効期限、カード名義、セキュリティコード」[s1]
漏えいの確認状況
可能性あり
侵入経路
Web アプリ・CMS・プラグインの脆弱性 公表に明記
根拠:「脆弱性が確認され、そこからの不正侵入により」[s1]
原因（公表の記述）
ECサイトの構築に使用しているEC-CUBEの「Amazon Payプラグイン」の脆弱性からの不正侵入により、不正な管理者アカウントの作成と、決済画面の入力内容を読み取る不正なファイルの設置（既存ファイルの改変）が行われた。
業務への影響
Amazon Payによる支払い（2026-08-14〜）
公表文の記載項目
原因 あり件数 あり時系列 あり最終報告 なし

経過

日数差は全事案の中央値と並べる（統計 §初動の相場）
  1. 発生2026-08-13〜 2026-08-15
  2. 1 日中央値 2 日検知2026-08-14
  3. 同日業務停止2026-08-141 業務
  4. 80 日第1報2026-11-02
  5. 復旧未公表
  6. 最終報告未公表

検知から第1報まで 80 日（全事案の中央値 3 日）

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

  • 漏えいの可能性があるとされている。公表文に記載された対象の範囲は「8月13日15時30分頃～15日10時50分頃の間にECサイトで決済した人（うち購入に至った人は6人）」。

すべきこと

  • カード会社の利用明細を確認し、身に覚えのない請求はカード会社に連絡する。カードの再発行は公表文の案内に従う。

公表文・続報

公表の時系列

各行に原文と保存版へのリンク
  1. 2026-08-14サービス停止【重要】Amazon Pay 一時停止のお知らせ

    島根県物産協会は、安全性確認およびシステム対応のため、ECサイト「しまねのふるさと直送便」でAmazon Payによる支払いを一時停止したと告知した。島根県の発表では、脆弱性への対応としてAmazon Payプラグインを無効化した8月14日に掲載した周知文にあたる。

    変更点: Amazon Payによる支払いを一時停止

    原文 · 保存版（当サイト）
  2. 2026-11-02第1報一般財団法人 島根県物産協会 ＥＣサイトへの不正アクセスによる個人情報漏洩の可能性について

    島根県は、委託先の島根県物産協会のECサイトでAmazon Payプラグインの脆弱性を突いた不正アクセスがあり、8月13日から15日に決済した7人のクレジットカード情報が流出した可能性があると発表した。

    原文 · 保存版（当サイト）

背景と関連情報

報道・分析・公的機関の出典から · 2026-11-04

経緯について。公表によれば、8月13日にEC-CUBEのAmazon Payプラグインの脆弱性を突かれて不正な管理者アカウントの作成と決済画面の入力内容を読み取るファイルの設置が行われ、8月14日に保守業者が不正アクセスを確認した。リアルタイムニュースNAVIによれば、保守業者が把握したのはプラットフォーム提供事業者からの連絡を受けたためで、同日のうちに不正アカウントの削除とプラグインの無効化などの対応が取られた [s8]。同記事は、侵入に使われた脆弱性が公式に公表されたのは10月14日で、8月の侵入時点では世に知られていなかったと伝えている [s8]。つまり公表済みの弱点を放置した結果ではないとの整理である。

公表との差として注目されるのは、報告と注意喚起の遅れである。FNNプライムオンラインによれば、物産協会は事態の発覚後ただちに県への報告や利用者への注意喚起を行わず、10月中旬以降にようやく実施しており、約2か月間にわたり対応を怠っていたと謝罪した [s4]。リアルタイムニュースNAVIの時系列では、8月14日に協会が発生を把握し、10月23日に利用者へ注意喚起、11月2日に公表となった [s8]。本廣保徳専務理事は「私どもが承知していない情報ではと勘違いしていた」と述べた [s4]。協会のサイトは大手通販サイトのアカウントでも購入できるため、漏えいのおそれのある情報が協会のサイトに直接入力されたものではないと勘違いし、対応が遅れたと弁明している [s4]。

影響の範囲について、FNNプライムオンラインによれば、対象は8月13日から15日に購入手続きをした7人で、カード番号やセキュリティコードなどが不正に閲覧できる状態になっていた [s4]。7人のうち6人とは連絡が取れ、被害は確認されていないという [s4]。リアルタイムニュースNAVIは、対象7人のうち購入手続きを完了したのは6人だと伝えている [s8]。同記事によれば、外部流出を示す通信記録は確認されておらず、11月1日現在この6人のカードの不正利用も確認されていない [s8]。

再発防止と当局の動きについて。島根県は物産協会に対し、問題が発生した際に早急に報告するよう改めて指示するなど、再発防止に努めるとしている [s4]。リアルタイムニュースNAVIによれば、協会はプラットフォーム提供事業者によるEC-CUBE本体の情報漏洩リスク低減策の実施に合わせて対応し、WAF（不正な通信を検知して防ぐ仕組み）を導入した [s8]。同記事は、個人情報保護法上、クレジットカード番号のような情報が悪意によって漏れた疑いがある場合は、個人情報保護委員会への60日以内の確報が必要になると解説している [s8]。

同種事案との関係では、同記事が参考として、IPAが2019年にEC-CUBEを土台にした通販サイトで決済画面の改ざんなどの被害が相次ぎ、漏えいしたカード番号が約14万件に上ると注意喚起していたことを挙げている。ただし同記事は、これは今回の原因を示すものではないと断っている [s8]。山陰中央新報の関連記事一覧には、島根県教委が委託したバスツアー応募者150人分の情報漏えいの可能性（不正アクセス）も並んでおり、島根県は同じ11月2日に別の委託事業者への不正アクセスも公表している [s5][s7]。

攻撃グループ

帰属の根拠と確度

この事案に結びついた攻撃グループの記録はありません。

手口と痕跡

Web アプリ・CMS・プラグインの脆弱性: SQL インジェクション、既知 CVE、管理画面の脆弱性 · ATT&CK T1190

Web アプリや CMS、プラグイン、管理用 API の既知の脆弱性や SQL の組み立て不備を、インターネット側から突いて侵入する手口。公開システムは常に攻撃対象になり、修正の遅れが入口になる。s3s5

兆候と見分け方

  • Metabase では POST /api/session/reset_password（400）に続き GET /api/user/current（200）が出れば、侵害の可能性が高いとされる s2
  • User-Agent に curl や python-requests が見られ、不審な送信元 IP（例 213.163[.]202[.]171）からのアクセスが確認されている s1
  • Web シェルへの GET・POST の繰り返しアクセスや、アプリケーションサーバー上の .war・.jsp ファイルの出現が手掛かりになる s1
  • API で権限変更や不正アカウント作成が行われた形跡が、被害の痕跡として挙げられている s1

備えの要点

  • JPCERT/CC は、既知の脆弱性の影響版を使っているなら修正済みのアップデートを適用するよう勧めている s1
  • Metabase は、直ちに更新できない場合に /api/session/reset_password への通信遮断を案内している s2
  • JPCERT/CC は、業務上不要な管理機能の公開停止と、API へのレート制限、各エンドポイントのアクセス制御、トークンの最小権限化・有効期限設定を勧めている s1
  • 内閣官房国家サイバー統括室は、多要素認証の導入、不要アカウントの無効化、ログ保管と大量アクセスの監視を求めている s3

この手口に共通する一般的な解説で、この事案の公表内容ではありません。出典番号（sN）は手口ページの出典一覧を指し、全文も同ページに。

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

関連

同じ組織・委託先・製品・業種・手口の記録

一覧で探す: 2026年の統計 · 卸売業，小売業の事案 · 島根県の事案 · Web アプリ・CMS・プラグインの脆弱性の事案

出典

項目別の根拠引用（5）
  • disclosedAt: 「令和8年11月2日」[s1]
  • cause.initialAccess: 「脆弱性が確認され、そこからの不正侵入により」[s1]
  • occurredFrom: 「8/13　 15時30分頃　第三者による不正アクセスが発生し」[s1]
  • affected.counts: 「７人（うち購入に至った人数は6人）」[s1]
  • affected.dataTypes: 「カード番号（全16桁）、カード有効期限、カード名義、セキュリティコード」[s1]

この記録について

記録の作成
2026-11-03
更新
2026-11-05
出典の最終取得
2026-11-05
識別子
shimane-bussan-kyokai-20261102
  • 2026-11-03更新: Claude Code（intake-review）が一次公表（sources の s1）から下書きを更新。公開の判断は人
  • 2026-11-05更新: 背景と関連情報を出典 5 件で追加（自動）

当サイトが書いた要約・分類・突合の結果は CC BY 4.0 で利用できます（出典と利用条件）。 この記録の訂正・削除を依頼する