最終更新：10 月 24 日 08:16（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ リンツの会員 ／ futureshop で店を開いている会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
ネットショップを作るサービス futureshop から、リンツの会員の情報が漏れた（10 月 23 日のお知らせまで）
- ネットショップを作って動かすサービス「futureshop」のサーバーが、ソフトの弱点（脆弱性）を突かれた。使っていた 1 店舗、リンツのオンラインショップと公式アプリの会員の情報 3,147,469 件が漏れた
- 漏れたのは、氏名・メールアドレス・住所・生年月日・電話番号など。クレジットカード情報は含まれない
- これとは別に、10 月 21 日にも 4 台のサーバーへの不正アクセスが見つかった。こちらは、購入者の個人情報が外に漏れたことは確認されていない
どうすればいい？
よくある疑問と答え
-
自分は対象？
漏れたのは、リンツのオンラインショップと公式アプリの会員の情報です。対象の人には、10 月 26 日（月）から登録のメールアドレスへ順に連絡が届きます。ほかの futureshop のショップでは、同じ手口で入り込まれた跡は確認されていません。
→ 会員がやること -
カード番号は漏れた？
漏れていません。futureshop では、カード番号は決済代行会社が直接受け取り、futureshop のサーバーを通らないしくみです。
→ 漏れた情報の一覧 - パスワードは変えたほうがいい？ 同じパスワードをほかのサービスでも使っていれば、そちらを変えてください。リンツのパスワードは、オンラインショップの再開のときに変更をお願いする予定とされています。
-
リンツのオンラインショップは使える？
10 月 21 日から止まっています。止める前の注文は、予定どおり届けるとしています。公式アプリでは、ログインしている人は店舗でポイントを貯めたり使ったりできます。
→ 止まっていたもの - 問い合わせ先は？ リンツの会員専用の窓口（0120-713-065・9:00〜21:00・土日祝日を含む）です。お知らせは、公式サイトにブラウザで直接アクセスして確かめるよう案内されています。
-
futureshop で店を開いている会社は？
フューチャーショップからの個別の連絡と、止まっていた間の注文・メールを確かめます。フォームのサービスを使っていたなら、代わりの問い合わせ先を載せます。
→ 店舗の会社がやること -
4 台のサーバーの件と関係ある？
フューチャーショップのお知らせには、関係は書かれていません。
→ 技術的な詳細
詳しくは：リンツの会員 ／ futureshop で店を開いている会社
この記事では、futureshop（フューチャーショップ）の不正アクセスと、それによる情報漏洩について、フューチャーショップのお知らせ（10 月 21 日〜23 日）と、利用していたリンツ＆シュプルングリージャパンのお知らせだけをもとに、何が起きたのかと、リンツの会員・futureshop で店を運営している店舗の事業者がやることを整理します。
何が起きたか
futureshop は、株式会社フューチャーショップが提供する、ネットショップを作って動かすためのサービス（EC サイト構築サービス）です。10 月 21 日から 23 日にかけて、同社は不正アクセスと緊急メンテナンスについて、いくつかのお知らせを出しました。中身は次の 3 つに分かれます。
- 1 店舗の会員の情報が漏れた（10 月 23 日のお知らせ） 10 月 17 日の夜、サーバーのソフトの弱点を突かれ、翌 18 日に、リンツの会員の情報が取られました。futureshop は 19 日に気づき、入り口をふさいでいます。
- 4 台のサーバーへの不正アクセス（10 月 21 日〜22 日のお知らせ） 21 日に、一部のサーバーへの不正なアクセスが見つかり、そのサーバーを使う店舗を止めました。購入者の個人情報が外に漏れたことは確認されていません。
- すべての店舗を止めた緊急メンテナンス（10 月 21 日〜22 日） 不正アクセスへの対応とは別に、プログラムの言語「PHP」の重大な弱点に備えて、すべての店舗を一時止めました。22 日の夜に再開しています。
この 3 つがどう関係するかは、お知らせには書かれていません。時刻やサーバーの名前などの細かい点は、下の「技術的な詳細」にまとめています。
ネットショップの会員がやること
会員の情報が漏れたことが確認されているのは、リンツのオンラインショップと公式アプリの会員です。以下は、リンツ＆シュプルングリージャパンの案内です。
- リンツやオンラインショップを名乗る不審なメール・SMS・電話・郵便物が届くおそれがある。心当たりのないメールや SMS のリンク・添付ファイルは開かない。不審な連絡を受けたら、リンツの窓口へ知らせる
- リンツから、メールや電話でパスワードやクレジットカード情報を尋ねることはない
- 同じパスワードをほかのサービスでも使っているなら、念のためそちらを変える。リンツのパスワードは、オンラインショップが止まっている間は変えられない。再開のときに変更をお願いする予定で、方法はお知らせのページで案内される
- お知らせは、公式サイト（https://www.lindt.jp/）にブラウザで直接アクセスして確かめる
ほかの futureshop のネットショップの会員について、フューチャーショップは、10 月 23 日の時点で、対象の店舗以外のデータに同じ手口で入り込まれた跡は確認されていないとしています。使っているショップから案内が届いたら、その内容に従ってください。
止まっていたもの
- すべての店舗の緊急メンテナンス（10 月 21 日〜22 日） PHP の重大な脆弱性への対応のため、futureshop と futureshop omni-channel を使うすべての店舗で、EC サイト・管理画面・FTP・API を止めました。安全が確かめられるまでの念のための措置として 10 月 21 日の夜から止め、再開の見込みの時刻を何度か延ばしたうえで、10 月 22 日（木）23 時 35 分に終えました。
- フォームのサービスの終了（10 月 23 日） フォームを作るサービス「フォームメーラーFreePlus」「新フォームメーラー」は、開発元のフューチャースピリッツが急いで終了すると決め、10 月 23 日で提供を終えました。長く提供してきたサービスで、必要なセキュリティの水準を保ち続けるのが難しいと判断したためとしています。不正アクセスや情報漏えいの事実は確認されていないとしています。保存されていたデータは、2027 年 1 月 29 日（金）までに申し込むと、個別に受け取れます。
- リンツのオンラインショップ（10 月 21 日から停止中） リンツ＆シュプルングリージャパンは、10 月 21 日（水）16 時から、安全が確かめられるまでオンラインショップを止めています。止める前の注文は、予定どおり届けるとしています。公式アプリは、ログインしている人は店舗でのポイントの付与と利用を続けられます。新しい会員登録・新しいログイン・会員情報の確認や変更などは使えません。
futureshop でネットショップを運営している事業者がやること
フューチャーショップの店舗向けのお知らせから、店を運営している会社が確かめることを並べます。
- 自社が 4 台のサーバー（c02・c05・c12・g06）の対象かを確かめる。対象の店舗には、お知らせとは別に個別に連絡しているとしている。調査の結果は、ほかの店舗にも案内するとしている
- 管理画面のログインパスワードをほかのサービスでも使っているなら、そちらも変える。フューチャーショップや自社を名乗る不審なメール・電話・SMS に気をつける。フューチャーショップから、メールや電話でパスワードやログイン情報を尋ねることはない
- 止まっていた間の注文・問い合わせ・メールを確かめる。対象の店舗では契約ドメインのメールの送受信も止められ、止まっていた間に受け取ったメールはサーバーに保存されているとしている。メールの送受信と FTP の接続の困りごとは、10 月 24 日（土）・25 日（日）の 10:00〜17:00 に、サポートセンターが臨時に電話で受け付ける（06-6485-6485）
- 「フォームメーラーFreePlus」「新フォームメーラー」を使っていたなら、フォームのページへのリンクを隠し、メールや電話など代わりの問い合わせ先をショップに載せる。保存データが要るなら、2027 年 1 月 29 日（金）までにフューチャースピリッツへ申し込む
次に読む：ネットショップの仕組みから漏れた別の例（ショップサーブ） ／ 外部のサービスで事故が起きたときの初動（委託先の事故の比較）
利用していた事業者の公表の例
futureshop でネットショップを運営していた会社も、自社の会員への影響を公表しています。ここでは、自社の公式サイトで公表している例を紹介します。
- リンツ＆シュプルングリージャパン（10 月 23 日） チョコレートのリンツのオンラインショップを運営する会社です。リンツ＆シュプルングリージャパンによると、10 月 19 日（月）にフューチャーショップから報告を受け、オンラインショップと公式アプリで共通の会員アカウントの情報 3,147,469 件が取得されたことが分かりました。書いてある事実はフューチャーショップからの報告にもとづくもので、今後の調査で変わる可能性があるとしています。 10 月 23 日 11 時の時点で、漏えいした情報が悪用された事実は確認されていません。対象の人には 10 月 26 日（月）から登録のメールアドレスへ順に連絡し、メールが届かない人には、このお知らせをもって連絡に代えるとしています。会員専用の電話窓口（0120-713-065）とメールの窓口を設けています。
経緯
| 日付 | 内容 |
|---|---|
| 2026 年 10 月 23 日 | フューチャーショップが、1 店舗の会員情報 3,147,469 件の漏えいを第一報で公表。同じ日に、リンツ＆シュプルングリージャパンも、オンラインショップと公式アプリの会員情報の漏えいを公表。フューチャーショップは、フォームのサービスの提供終了と、10 月 24 日・25 日のサポートセンターの臨時の電話受付（メールの送受信と FTP の接続の困りごと）も案内 |
| 10 月 22 日 | 4 台のサーバーへの不正アクセスの第二報。その時点で個人情報の参照や持ち出しの跡はないとした。23 時 35 分に緊急メンテナンスを終え、すべての店舗でサービスを再開 |
| 10 月 21 日 | 10 時 14 分ごろ、4 台のサーバー（c02・c05・c12・g06）への不正アクセスに気づき、11 時 30 分からメンテナンスの状態に（第一報）。16 時、リンツがオンラインショップを停止。夜、PHP の脆弱性への対応のため、すべての店舗の緊急メンテナンスを始めた |
| 10 月 19 日 | 15 時 30 分ごろ、フューチャーショップがシステムの監視の中で不審なアクセスに気づく。対象の店舗（リンツ）に報告し、侵入の経路をふさいで、悪用された脆弱性への対策を行う |
| 10 月 17 日〜18 日 | 17 日 23 時 02 分、ソフトウェアの脆弱性を悪用した不正アクセス。18 日 0 時 16 分に、1 店舗の会員情報が取得される |
技術的な詳細（システム担当者向け）
ここからは、futureshop の店舗のシステム担当者や、EC の仕組みを運用しているエンジニア向けです。フューチャーショップのお知らせに書かれた内容を、発表ごとに分けて並べます。
1 店舗の会員情報の漏えい（10 月 23 日の第一報）
10 月 23 日の第一報で分かったことです。フューチャーショップによると、2026 年 10 月 17 日（土）23 時 02 分に、外部の第三者が、同社のサーバーで使っていたソフトウェアの脆弱性を悪用して不正にアクセスし、翌 18 日（日）0 時 16 分に、futureshop を使っている 1 店舗の会員情報が取得されました。10 月 19 日（月）15 時 30 分ごろ、システムの監視の中で不審なアクセスに気づいたとしています。
| 項目 | 内容 |
|---|---|
| 対象 | futureshop を使っている店舗のうち 1 店舗の会員情報。リンツ＆シュプルングリージャパンのオンラインショップと公式アプリで共通の会員アカウントの情報 |
| 件数 | 3,147,469 件（1 店舗）。情報が取得された 10 月 18 日 0 時 16 分の時点で退会していた会員は含まれない |
| 漏えいした情報 | 会員 ID、氏名、メールアドレス、住所、生年月日、電話番号、性別、メールマガジンの受信設定、登録店舗の情報、ログインパスワード（ハッシュ化済み）、その他会員情報として管理していた情報（フリガナ、会員登録日時、最終ログイン日時など） |
| 含まれないもの | クレジットカード情報。futureshop では、カード番号・有効期限・セキュリティコードは決済代行会社が直接処理し、同社のサーバーを通らず、保存もしていないとしている |
| パスワード | ハッシュ化して保存しているため、取得された情報をそのまま使ってログインすることはできないと説明している |
| 二次被害 | 10 月 23 日の時点で、具体的な二次被害の報告は確認されていない |
フューチャーショップは、侵入の経路を特定して遮断し、悪用された脆弱性への対策をすべての管理画面サーバーに実施したとしています。この店舗以外のデータに、同じ手法で不正アクセスされた痕跡は確認されていません。この店舗と連名で個人情報保護委員会へ報告し、警察署への相談も進めていて、外部の専門機関による調査も行う予定です。公表までに時間がかかった理由は、事実の確認とあわせて、店舗と一緒に、対象のお客様への案内と問い合わせ窓口の準備を進めていたためと説明しています。
4 台のサーバーへの不正アクセス（10 月 21 日〜22 日）
これとは別のお知らせです。フューチャーショップは、10 月 21 日（水）10 時 14 分ごろに、同社が運用するサーバーの一部（c02・c05・c12・g06。c02 は試用のための環境）への不正なアクセスに気づき、同日 11 時 30 分からこれらのサーバーをメンテナンスの状態にしました。対象の店舗では、EC サイト・管理画面・FTP・API が使えなくなり、店舗の契約ドメインのメールの送受信も止められました。
10 月 22 日の第二報では、その時点で個人情報の参照や外部への持ち出しの痕跡はないとし、サービスを再開した 22 日夜のお知らせでも、購入者の個人情報の流出は確認されていないとしています。4 台のサーバーは、侵入の経路への対策とサーバー環境の作り直しを行い、安全を確かめたうえで 22 日 23 時 35 分に再開しました。外部の専門機関による調査を予定しています。
- 発表に無いこと 悪用されたソフトウェアの名前・脆弱性の種類や CVE 番号・攻撃の手口。1 店舗の漏えい、4 台のサーバーへの不正アクセス、PHP の脆弱性への緊急メンテナンスの 3 つの関係。
次に読む：緊急メンテナンスのきっかけになった PHP の重大な脆弱性 ／ ホームページを作るサービス「Studio」の件
自社で見直すこと
ネットショップの仕組みを外部のサービスに任せていても、そのサービスで事故が起きれば、会員への説明と窓口の用意は自社にも求められます。リンツのお知らせのように、事実はサービスの提供元からの報告にもとづいて伝えることになります（この記事での整理）。
- 使っているサービスのお知らせを見る場所を控えておく ネットショップ・決済・フォーム・メール配信など、お客様の情報を預けているサービスと、それぞれの障害や事故のお知らせのページを一覧にしておく。
- ショップが止まったときの案内を用意しておく ショップやフォームが急に使えなくなったときに、どこで、どんな言葉でお客様に知らせるか、代わりの問い合わせ先をどうするかを決めておく。
- 自社からの連絡の手段を公式サイトに書いておく どのドメイン・どのアドレスから連絡するかを公式サイトに書いておくと、自社を名乗る連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
