最終更新：10 月 27 日 17:24（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 会員がやること ／ 発表ごとのちがい ／ 技術的な詳細 ／ EC サイトの点検表 ／ 経緯
ひとことで言うと
ネットショップとつながる仕組みに入られ、会員の名前やメールアドレスなどを取られたかもしれない事故（10 月 27 日の発表まで）
- プロ向けの映像・音響機材を売るシステムファイブのオンラインショップで、ショップとつながっている一部のシステム（開発と保守は外部の会社に委託）に、何者かが入り込んだ。10 月 22 日にサイトを一時止め、10 月 24 日の夜に再開した
- 取られたかもしれないのは、会員のうち最大 15,671 名の名前・メールアドレス・顧客 ID・ポイント・商品レビューに関する情報
- クレジットカードの情報・パスワード・電話番号・住所は対象外。ログインは、パスワードのかわりに、メールに届く 6 桁の認証コードを入れる方式に変わった
どうすればいい？
よくある疑問と答え
-
自分が対象かどうかは、どう分かる？
会社がアクセスの記録（アクセスログ）などから対象の人を調べ、分かった人から順に個別に連絡するとしています（10 月 24 日のお知らせ）。
→ 会員がやること -
カードの情報やパスワードは漏れた？
対象外で、流出は確認されていません。電話番号と住所も対象外です。カードの情報とパスワードは、もともと同社のシステムでは持っていないと説明されています。
→ 発表ごとのちがい - ログインのしかたが変わったのはなぜ？ 再開のときに、登録したメールアドレスに届く 6 桁の認証コードでログインする方式に変えました。安全と使いやすさのための変更で、パスワードが漏れたためではないとしています。
- ポイントはどうなる？ ポイントのサービス・商品レビュー・オンラインでの帳票の発行などは止まっていて、再開の時期は決まっていません。止まっている間のポイントの付与、有効期限の延長、失効したポイントの回復などを検討中です。
-
気をつけることは？
同社を装ったメール、不安をあおる案内、あやしいサイトへの誘導です。同社がメールや電話で、パスワード・カードの情報・セキュリティコードを聞くことはありません。
→ 会員がやることの一覧 -
ネットショップを持つ会社が見直すことは？
カートだけでなく、ポイントやレビューなど、ショップとつながる仕組みと、その開発・保守を任せている会社まで見直します。点検表を下に載せています。
→ EC サイトの点検表
詳しくは：システムファイブの会員 ／ EC サイトを持つ会社の点検表 ／ 会員へのお知らせの項目の型
この記事では、システムファイブ（SYSTEM5）のオンラインショップへの不正アクセスと情報流出について、システムファイブの 10 月 22 日・24 日・27 日のお知らせだけをもとに、何が起きたのかと、会員がやること・EC サイトを持つ会社が見直すことを整理します。
何が起きたか
10 月 27 日までの 3 回のお知らせで分かっていることです。システムファイブは、プロ向けの映像・音響機材の販売を中心に、オンラインショップやショールームなどを運営している会社です。
システムファイブによると、オンラインショップとつながっている一部のシステムに、何者かが入り込みました。そのシステムの開発と保守を任せている会社（委託事業者）から報告を受けて分かったもので、10 月 22 日に Web サイトを一時止めました。委託事業者と一緒に、どこまで影響があるかと原因を調べ、システムの弱点（脆弱性）の修正に取り組みました。そして安全対策をしたうえで、10 月 24 日の 19 時ごろにオンラインショップを再開しました。
社内のネットワークや、ショッピングカートの仕組みそのものの弱点から入られたことは確認されていません。同社が運営するほかの Web サイトと、代理店専用のネットショップは対象外です。
| こと | 10 月 24 日 | 10 月 27 日（調査結果） |
|---|---|---|
| 人数 | 最大で約 15,000 名 | 最大 15,671 名 |
| 対象の情報 | 氏名・メールアドレス・ポイント情報・商品レビュー関連情報 | 名前・メールアドレス・顧客 ID・ポイント・商品レビュー関連情報（顧客 ID が加わった） |
| 対象外 | クレジットカードの情報とパスワード（同社のシステムでは持っていない） | クレジットカードの情報・パスワード・電話番号・住所（流出は確認されていない） |
まだ発表されていないこと
- どのシステムか 「オンラインショップと連携する一部システム」とだけ書かれていて、名前や役割は出ていません。委託事業者の名前も出ていません。
- いつから入られていたか・どんな弱点か 不正アクセスの時期と、脆弱性の種類は書かれていません。
- ポイントの扱い 「検討しております」とされていて、具体的な内容はまだ出ていません。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 27 日 | 調査結果を公表。対象は最大 15,671 名で、顧客 ID も含まれると説明。電話番号と住所は対象外 |
| 10 月 24 日 | 一部の会員の個人情報が取られたと分かったと公表（最大で約 15,000 名）。19 時ごろにオンラインショップを再開し、ログインを認証コードの方式に変更。ポイント・レビュー・帳票の発行などは止めたまま。この時点で、個人情報保護委員会への報告と所轄の警察署への相談を済ませている |
| 10 月 22 日 | 委託事業者から、連携する一部システムへの不正アクセスと、個人情報が外に出たおそれの報告を受けたと公表（「脆弱性対応に伴うメンテナンスのご案内」）。Web サイトを一時止める |
システムファイブの会員がやること
システムファイブのオンラインショップに会員登録している人に向けた整理です。1 つめは同社からのお願いで、2 つめからは、この記事での整理です。
- 同社を装ったメール・SMS・電話に気をつける。書かれた URL や添付ファイルを開かず、誘導された先でパスワードやカードの情報を入れない（同社のお願い）
- 名前とメールアドレスに加えて、顧客 ID やポイントの情報も対象になっている。「ポイントが失効します」「顧客 ID の確認をお願いします」といった、本物らしいメールが来るかもしれない。ショップは、メールのリンクではなく、いつものブックマークやアプリから開く
- ログインに使う 6 桁の認証コードは、電話やメールで聞かれても人に教えない。コードを入れるのは、自分で開いたショップの画面だけにする
- ログインは、登録したメールアドレスに届くコードで行うので、そのメールのアカウントを守る。メールのパスワードをほかと使い回さず、2 段階認証をかけておく
- ポイントは、サービスが再開したら残りを確かめる。分からないことは、お知らせの末尾にあるお客様窓口（お問い合わせフォーム・メール）に聞く
技術的な詳細（EC サイトの担当者向け）
ここからは、ネットショップ（EC サイト）や、それとつながるポイント・レビュー・会員ページなどの仕組みを運用している担当者・エンジニア向けです。まず、3 回のお知らせから読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 侵入された場所 | オンラインショップと連携する一部のシステム。開発・保守は委託事業者 |
| 気づいたきっかけ | 委託事業者からの報告 |
| 確認されていないこと | 社内ネットワークやショッピングカートシステム自体の脆弱性に起因する不正アクセス。ほかの Web サイトと代理店専用の EC サイトは対象外 |
| 初動 | Web サイトを一時停止し、委託事業者と連携して影響範囲の特定・原因の調査・脆弱性の修正対応を進めた。安全対策を実施し、10 月 24 日 19 時ごろに再開 |
| 対象の特定 | アクセスログ等をもとに、影響を受けた可能性のある会員を特定 |
| 持っていなかった情報 | クレジットカード情報とパスワード情報は、同社のシステムで保有・管理していない |
| 認証方式の変更 | パスワードに代えて、登録メールアドレスに届く 6 桁の認証コードでログインする方式に変更（パスワードの流出によるものではない） |
| 止めている機能 | 関連システムの停止に伴い、ポイントサービス・商品レビュー・オンライン帳票発行機能など。安全性の確認と新しいシステムへの対応が済んだものから順に再開 |
| 発表に無いこと | 連携するシステムの名前と役割、委託事業者の名前、脆弱性の種類・CVE 番号、攻撃の手口、不正アクセスの時期 |
この記事での整理です。今回は、カートそのものではなく、ショップと「つながっている仕組み」が入り口になったと説明されています。EC サイトの安全は、カートだけでなく、ポイント・レビュー・帳票などの周りの仕組みと、それを作って保守する委託先まで含めて考える必要があります。また、カードの情報とパスワードを自社のシステムで持たない作りだったため、この 2 つは対象外になっています。持たない情報は漏れない、という点は、仕組みを選ぶときの判断材料になります。
ログインの方式を、メールに届く認証コード（ワンタイムのコード）に変えたことで、ほかのサイトで漏れたパスワードを使い回される心配はなくなります。一方で、会員のメールのアカウントの安全さが、そのままショップのアカウントの安全さになり、コードを聞き出そうとする偽の連絡にも備える必要があります。会員への案内では、この 2 点を伝えると親切です（この記事での整理）。
次に読む：委託先から漏えいの連絡が来たときの初動（10 月の事故の比較） ／ EC サイト構築サービス futureshop の件と、ショップの事業者がやること
自社で見直すこと：EC サイトを持つ会社の点検表
EC サイトの情報漏洩は、カートだけでなく、ポイント・レビュー・会員ページ・帳票の発行・メール配信など、ショップとつながる仕組みからも起きます。そうした仕組みを外部の会社に作ってもらい、保守を任せている中小企業は少なくありません。個人情報保護委員会のガイドライン（通則編）にある「委託先の監督」と「技術的安全管理措置」に沿って、点検することをまとめました（この記事での整理）。
| 点検すること | 中身 |
|---|---|
| つながっている仕組みを一覧にする | ポイント・レビュー・帳票・メール配信・在庫や基幹システムとの連携など、カートのほかに会員の情報を扱う仕組みと、それぞれの開発・保守の会社を書き出す |
| 渡す情報を必要なものだけにする | レビューやポイントの仕組みに、住所や電話番号まで渡していないかを確かめる。ガイドラインは、委託する仕事に必要のない個人データを渡さないことを「当然のこと」としている |
| 委託先との約束を確かめる | 事故に気づいたら誰がどれだけ早く知らせるか、更新や脆弱性の修正を誰がいつ行うか、さらに別の会社へ任せていないか（再委託）を、契約や覚え書きで決めておく。ガイドラインの「委託契約の締結」にあたる |
| 委託先の状況をときどき確かめる | 更新の記録や脆弱性診断の結果を、定期的に見せてもらう。ガイドラインの「委託先における個人データ取扱状況の把握」にあたる |
| アクセスの記録を残す | 誰の情報が見られたかをあとから絞り込めるよう、つながる仕組みのアクセスログも残し、保存の期間を決める。システムファイブもアクセスログ等から対象者を特定している。ガイドラインの「ログ等の定期的な分析」にあたる |
| すぐ止める手順を決める | サイトやつながる仕組みを、誰の判断で、どの画面で止めるかを決める。メンテナンス中の画面と、最初のお知らせの文面も用意しておく |
| 持たなくてよい情報は持たない | カードの情報は決済の会社に任せ、自社のシステムに残さない。ログインの方式（2 段階認証・メールに届く認証コードなど）も、会員の数や扱う情報に合わせて見直す |
ひな形
会員へのお知らせの項目の型（この記事での整理）
システムファイブの 10 月 24 日のお知らせの組み立てを参考に、会員に知らせるときの項目を並べました。分かっていないことは「調査中」と書き、分かりしだい続報を出します。
- 何が起きたか（いつ・どの仕組みで・どう気づいたか）
- 漏れた可能性のある情報と、対象外の情報（カード・パスワード・住所など）
- 止めている機能と、再開の見込み
- 対象の人への連絡のしかた（いつから・どのアドレスから）
- 会員へのお願い（会社からパスワードやカードの情報を聞くことはない、と書く）
- 個人情報保護委員会への報告と、警察への相談
- 問い合わせ先
続報は、前のお知らせの末尾から「続報」としてリンクでつなぎます（システムファイブは、各お知らせの末尾に次のお知らせへのリンクを置いています）。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っている仕組みや委託先の事故の情報を追い、更新や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
