futureshopの不正アクセスや長時間メンテナンスの案内を見て、「利用した通販サイトは大丈夫なのか」「リンツの情報漏えいもPHPの問題なのか」と気になった方もいると思います。
株式会社フューチャーショップは2026年10月25日、同じ時期に重なったサービス停止、不正アクセス、1店舗の会員情報漏えいは、それぞれ別の事象と説明しました。
先に押さえたいのは、約314万件の会員情報漏えいは、10月23日にリンツが公表したものと同じという点です。10月25日に別の約314万件が新たに漏れたという発表ではありません。
この記事では、3件の違いと、購入者・ECサイト運営者が確認したい点を整理します。掲載内容は2026年10月25日に確認した公式発表に基づきます。
futureshopで何が起きた？3つの事象を比較
| 項目 | PHP脆弱性への対策 | 10月21日の不正アクセス | 1店舗の会員情報漏えい |
|---|---|---|---|
| 主な時期 | 10月21日～22日 | 10月21日10時14分頃に検知 | 10月19日判明・23日公表 |
| 原因・背景 | 通称PHP2Shellへの対応 | 関連サービスの脆弱性を悪用 | サーバーで使用するソフトウェアの脆弱性を悪用 |
| 影響 | 長時間のサービス停止 | 影響の可能性がある4台を緊急停止 | 会員情報3,147,469件の漏えい |
| 情報漏えいの扱い | 対策のための停止。停止自体は漏えい確認を意味しない | 10月25日の説明時点で漏えいは未確認 | 漏えいを確認済み。リンツの既報と同じ事案 |
「漏えいは確認されていない」という説明は、10月21日に検知した不正アクセスについてのものです。別に公表されたリンツの会員情報漏えいを否定する説明ではありません。
PHPを使わないfutureshop本体まで、なぜ停止したのか
公式説明によると、futureshop本体はPHPを使用していません。一方、CMSサーバーオプションではPHPが動く環境を提供しており、店舗によってはWordPressなどでトップページの一部や特集ページを作っています。
その部分だけを切り離すと、ECサイトとして正しく機能しない店舗が多いことが、サービス全体に関わる対応となった背景です。また、店舗ごとにPHPのバージョンが異なり、それぞれへの対応で作業が長引いたと説明しています。
PHP対策のための停止期間は10月21日21時36分～22日23時35分。22日15時以降、futureshop単体の店舗から順次再開し、続いて対応済みのCMS利用店舗が再開しました。
ただし、この再開案内だけで個々の通販サイトの営業状況までは判断できません。購入先が独自に停止を続けている場合は、その店舗の案内を確認してください。
10月21日の不正アクセスはPHP2Shellと無関係
10月21日10時14分頃に検知されたのは、futureshopの関連サービスの脆弱性を突いた不正アクセスです。フューチャーショップは、PHP脆弱性対策とは関係がないと明記しています。
影響を受ける可能性のある4台は、同日11時30分から緊急停止されました。10月22日の再開案内では、対象サーバーを「c02、c05、c12、g06」としています。
同社は侵入経路への対策とサーバー環境の再構築を行い、22日23時35分に対象店舗を再開しました。10月25日の説明では、全サーバーの記録を確認し、この事象による個人情報漏えいは確認されていないとしています。外部調査機関への依頼も進めています。
現段階では「漏えい未確認」です。調査がすべて終わり、今後も影響がないと確定した意味ではないため、対象店舗は続報も確認する必要があります。
1店舗・約314万件の漏えいはリンツの既報と同じ
会員情報漏えいにつながった不正アクセスは10月17日23時02分に始まり、18日0時16分に1店舗の会員情報が取得されました。フューチャーショップが不審なアクセスを確認したのは19日15時30分頃です。
フューチャーショップの10月23日発表は店舗名を記載していませんが、リンツは同日の公式発表で委託先を同社と明示しています。発生日時と件数も一致しており、同じ漏えい事案を、サービス提供会社と店舗側がそれぞれ公表しています。
対象は、リンツのオンラインショップ・公式アプリで共通の会員情報3,147,469件です。氏名、住所、メールアドレス、電話番号、生年月日、会員ID、ハッシュ化されたログインパスワードなどが含まれます。クレジットカード情報は含まれていません。
フューチャーショップは侵入経路を遮断し、悪用された脆弱性への対策を全管理画面サーバーに実施済みと説明しています。他店舗への同様の手法による不正アクセスの痕跡は、10月23日の発表時点では確認されていません。
出典：リンツ：委託先事業者への不正アクセスによる個人情報漏えい
通販の購入者が確認したいこと
futureshopを使った通販サイトで購入したという理由だけで、全員が今回の会員情報漏えいの対象になるわけではありません。まず、購入した店舗がどの案内を出しているかを確認してください。
- 購入先の公式サイトで、漏えい対象・営業状況・注文への影響を確認する。
- リンツと同じパスワードを他のサービスでも使っている場合は、他サービス側を変更する。
- 心当たりのないメールやSMSのリンク・添付ファイルを開かず、公式サイトを自分で開いて確認する。
リンツは10月23日の案内で、対象会員へのメールを10月26日から順次送る予定としています。メールが届かない場合も公式案内を確認してください。停止中はリンツ側のパスワードを変更できず、再開時に変更を求める予定です。
なお、リンツはメールや電話でパスワードやクレジットカード情報を尋ねることはないと案内しています。
ECサイト運営者は「自店がどの事象に関係するか」を確認
店舗側では、停止が解消したかに加え、自店がどの事象に関係しているかを整理しておくと、購入者への案内を作りやすくなります。以下は公式説明を踏まえた、当ブログの確認ポイントです。
- 契約・管理情報とサポートへの問い合わせで、4台の対象サーバーに該当するかを確認する。
- CMSサーバーオプションの利用有無を確認し、トップページ・特集ページなどの表示を点検する。
- 注文受付、会員ログイン、管理画面、利用中のAPI連携が正常に動くかを点検する。
- 購入者には、自店の状況と確認日時を明示する。「futureshop全体で漏えい」「PHPが原因」と一括りに案内しない。
店舗ごとの対象範囲や復旧状況が分からない場合は、推測せずfutureshopのサポートへ確認してください。
現時点で分かっていないこと
10月25日の説明からは、10月21日の関連サービスと会員情報漏えいで悪用されたソフトウェアの具体名・脆弱性番号までは分かりません。PHP2Shellと同じ原因だった、同じ攻撃者だったと結び付ける根拠も確認できません。
今後は、10月21日の不正アクセスに関する外部調査の結果、影響範囲の変更、各店舗の営業再開案内が確認点となります。購入者は購入先の案内を、店舗運営者は自店に届く個別連絡と公式発表を確認してください。
