チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「通販でカードを使ったら、番号もセキュリティコードも盗まれるんでしゅか？」
「身に覚えのない請求が来たらどうすればいいのか、分からなくて不安なんでしゅ……」
チップス大好きな温泉湯どうふを買っただけなのに、カード情報まで危ないなんて怖いんでしゅ……。
ボス通販サイトの改ざんは利用者には見えにくい。だが仕組みを知れば、被害に気づいて動ける。順に見ていくぞ。
本記事では、佐嘉平川屋のECサイトで起きた不正アクセスについて、流出の範囲と利用者・運営者が取るべき行動を整理します。
読み終える頃には、通販サイトのカード情報漏えいに冷静に対処する手順がつかめます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
まず何が漏れた可能性があるのかを整理します。
佐嘉平川屋は2026年6月15日、自社のオンラインショップが不正アクセスを受け、個人情報が漏えいした可能性があると公表しました。
きっかけは3月9日にカード会社から寄せられた漏えい懸念の連絡で、同社は同日にカード決済を停止しています。
第三者調査機関の調査の結果、決済機能が改ざんされ、入力されたクレジットカード情報が抜き取られていた恐れがあると判明しました。
対象となる利用者には、メールや書状で個別に連絡しています。
流出した可能性のある情報を整理すると以下のとおりです。
| 区分 | 内容 |
|---|---|
| カード情報 | 名義人名・カード番号・有効期限・セキュリティコード（最大5,783名分） |
| その他の個人情報 | 氏名・生年月日・住所・電話番号・メールアドレス（最大30,170名分） |
| カード情報の対象期間 | 2025年3月21日〜2026年3月10日 |
| 検知のきっかけ | カード会社からの連絡（2026年3月9日） |
チップスセキュリティコードまで盗まれるって、かなりまずいんじゃないでしゅか？
ボスああ。本来カード会社が保存を禁じている情報まで抜かれた。入力した瞬間に横取りされた可能性が高い。次でその仕組みを見るぞ。
なぜカード情報が抜かれたのか、その手口と対策を掘り下げます。
今回の原因は、サイトの脆弱性を突いて決済の仕組みが改ざんされたことです。
攻撃者はECサイトの入力画面に不正なプログラムを仕込み、利用者が打ち込んだカード情報をその場で盗み取ります。
この手口はWebスキミングと呼ばれ、見た目は正規のサイトのままなので利用者は気づきにくいのが厄介です。
運営者は、カード情報を自社で持たない設計や、改ざんを検知する仕組みで防ぐ必要があります。
運営者と利用者がそれぞれ取るべき行動は次のとおりです。
チップス自分でもカードの明細をこまめに見ることが大事なんでしゅね。
ボスそうだ。佐嘉平川屋は再発行の手数料を負担すると表明している。気づいたら遠慮なくカード会社に動いてもらえ。
佐嘉平川屋の事案では、決済フォームの改ざんによってセキュリティコードを含むカード情報が抜かれた可能性があります。
被害に気づきにくいWebスキミングだからこそ、運営者はカード情報を持たない設計を、利用者は明細の確認を習慣にすることが二次被害を防ぎます。
同社はカード会社や警察、個人情報保護委員会と連携して対応を進めています。
ECサイトの決済やカード情報を守る最前線で力を発揮したい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。
参考: 佐嘉平川屋「不正アクセスによる個人情報漏えいのお詫びとご報告」
参考: 佐賀新聞「武雄市の佐嘉平川屋に不正アクセス クレジットカード情報5783人分流出か」
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
