ネットショップで注文した商品について、「欠品のため返金する」「LINEで手続きしてほしい」というメールが届いていませんか。注文した商品名が正しく書かれていても、本物の連絡とは限りません。
ネットショップの受注管理サービス「まとまるEC店長」で不正アクセスがあり、373社に関係する最大21,873件の注文情報が外部へ流出した可能性があると、運営元のブランジスタソリューションが2026年11月10日に発表しました。実際の注文情報を利用した不審な返金・欠品案内も確認されています。
購入者が今すべきこと：届いたメールからLINEを登録したり、カード番号・銀行口座情報を入力したりせず、購入先の公式サイト・アプリで注文履歴を確認してください。すべてのYahoo!ショッピング・Qoo10利用者が対象という発表ではありません。
この記事は2026年11月10日付の公式第二報までを確認し、対象を調べる方法、詐欺メールへの対処、店舗管理者の実務対応を整理しています。
まとまるEC店長で何が起きた？373社・最大21,873件の注文情報に漏えいのおそれ
| 項目 | 11月10日の公式第二報 |
|---|---|
| 対象サービス | 「まとまるEC店長」：複数ECモールの受注・在庫などを一元管理するサービス |
| 対象となる企業 | 373社 |
| 流出した可能性がある注文情報 | 重複を除き最大21,873件（人数とは異なる） |
| 1社当たりの最大件数 | 392件 |
| 不正アクセスの日付 | 2026年11月1日と11月6日 |
| 対象情報の項目 | 氏名・住所・注文商品名の可能性を第一報で案内。第二報時点でも詳細調査中 |
| 対応状況 | 不審なファイルの隔離、データベースのパスワード変更、緊急の暫定措置 |
| 不審メール | 実際の注文情報を使い、返金・商品の欠品を装ってLINE登録へ誘導 |
第二報によると、11月1日の不正アクセスに関連する注文情報は2,400件、11月6日は19,524件です。両者を単純に合計せず、重複を除いた21,873件が公表値となっています。これは情報流出の可能性がある「注文情報の件数」であり、21,873人の漏えいが確定したという意味ではありません。
また、11月1日と6日は不正アクセスが行われた日付です。購入者が11月1日または6日に注文した場合だけを対象とするという説明ではありません。注文日の対象範囲や、企業ごとの該当件数については運営元・購入店舗の情報を確認する必要があります。
出典：まとまるEC店長・公式第二報（2026年11月10日）
自分の注文は漏えい対象？確認方法と対象店舗について
現在、公式第二報では373社の全社名や対象注文の一覧、購入者が直接照会できる検索ページは案内されていません。そのため、Yahoo!ショッピングやQoo10で購入した経験があるだけでは、今回の対象かどうかは判断できません。
確認する場合は、①購入先の公式アプリ・サイトで注文履歴を開く、②店舗名・注文番号・購入日を手元に控える、③その店舗の公式お知らせや正規の問い合わせ窓口で今回の影響を確認するという順番がおすすめです。
注文番号や氏名、住所をブログのコメント欄やSNSへ投稿しないでください。不審メールに返信して「対象ですか」と問い合わせることも避け、必ず購入先の正規の窓口を使ってください。
第一報で不審メールの報告があった販路はYahoo!ショッピングとQoo10です。ただし、これは両モール全体のシステムが侵害されたとする発表ではありません。問題は各店舗が裏側で使う受注管理サービスです。
「返金するのでLINE登録して」は危険？偽メールの特徴と対処
運営元は、実際の注文情報を記載し、商品の欠品や返金を口実にLINE登録へ誘導する不審メールを確認しています。商品名や注文内容が合っていることは、メールの差出人が正規の店舗である証拠になりません。
| メールで求められたこと | 取るべき対応 |
|---|---|
| 返金手続きのためLINEを追加 | 追加せず、購入先の公式サイトやアプリから店舗へ確認 |
| メールのURLから返金申請 | リンクを開かず、注文履歴・正規窓口で確認 |
| クレジットカード番号・銀行口座情報を入力 | 入力しない。すでに入力した場合は金融機関・カード会社へ相談 |
| ログインID・パスワード・認証コードを入力 | 入力しない。入力済みの場合は公式画面からパスワード変更・認証設定を確認 |
メールを受け取っただけで、直ちにカード再発行やモールのパスワード変更が必要と決まるわけではありません。一方、偽サイトで認証情報や決済情報を入力した場合は、今回の注文情報漏えいとは別に、二次被害への対応が必要です。
不審メールは削除を急がず、受信日時・送信元・本文・ヘッダーなどを記録して店舗に伝えると調査に役立ちます。記録のためにメール内のURLへアクセスする必要はありません。
漏えいした可能性がある個人情報は？カード番号やパスワードは？
11月9日の第一報では、情報漏えいの可能性がある項目として氏名、住所、注文商品名が挙げられています。11月10日の第二報では、具体的な項目や影響範囲は引き続き調査中としています。注文者の電話番号・メールアドレスなどについても、今回の公式資料だけで漏えいの有無を断定できません。
クレジットカードなどの決済情報は、まとまるEC店長側では保持していないと第一報で説明しています。ただし、偽の返金画面へ誘導された先でカード番号を入力すると、カード情報を盗まれるおそれがあります。「サービスがカード情報を保持していないこと」と「偽メールが安全であること」は別問題です。
第二報では、EC店長のログイン情報が流出したことを示す事実は現時点で確認されていないとする一方、予防措置として利用店舗にログインパスワードの変更を要請しています。これは店舗の管理アカウントに対する案内で、購入者のYahoo!ショッピングやQoo10のパスワードが流出したという発表ではありません。
原因は？不審なスクリプトとデータベースのパスワード変更を技術的に解説
運営元が公表したのは、注文情報を照会する不審なスクリプトファイルがサーバー内で発見されたという事実です。関連ファイルや痕跡データは隔離され、データベースのパスワード変更と被害拡大防止の暫定措置が実施されました。
受注管理システムでは、モールから取り込んだ注文をサーバーのデータベースで管理することがあります。不正なプログラムがそのデータにアクセスできる状態なら、通常の管理画面を経由せずに注文情報を参照する危険が生じます。ただし、これは仕組みを説明する一般論であり、今回その方法で情報が持ち出されたと確定したわけではありません。
現段階では、侵入時に悪用された脆弱性、認証情報の窃取の有無、具体的な侵入経路、外部への送信方法などは公表されていません。スクリプトが見つかったという理由だけで、SQLインジェクションやWebシェルが原因と断定することもできません。
データベースのパスワード変更は、既存の認証情報の不正利用を防ぐために取り得る対策の一つですが、それだけで侵入経路が完全に閉じられたとは判断できません。公式発表では原因究明と追加対策が継続中です。
まとまるEC店長を利用する店舗・情シス担当者が確認すること
- 管理画面のログインパスワードを変更：公式第二報の要請事項です。過去のパスワードを使い回している場合は他サービスへの影響も確認します。
- 購入者向けの注意喚起：実際の注文名を使った返金・欠品メールでも、LINE追加、リンクへのアクセス、決済情報入力は行わないよう知らせます。
- 問い合わせと注文の照合：不審メールの受信日時、注文番号、購入モール、店舗名を正規の管理画面と照らし合わせ、運営元のサポートへ報告します。
- ログ・証拠の保全：不審メールのヘッダー、管理画面の操作履歴、連携設定など、取得できる情報を保存します。削除・上書きの前に保全を優先します。
- 外部連携の点検：利用しているAPI・連携認証情報・アクセス権限を棚卸しし、必要な変更は運営元と調整します。今回APIキーの漏えいが確認されたという意味ではありません。
- 公式続報の確認：自社の対象件数、対象期間、通知方針、侵入経路、恒久的な対策の完了状況を順次確認します。
公式第二報には店舗から購入者へ送る注意喚起メールの参考文面も掲載されています。利用する際は店舗名、連絡先、実際の対象状況を確認して調整してください。
よくある質問
Q. Yahoo!ショッピングやQoo10の会員全員が対象ですか？
いいえ。現在判明しているのは「まとまるEC店長」の影響が疑われる注文情報です。両モールの会員全員が対象になったという発表ではありません。購入した店舗からの案内などで確認してください。
Q. 11月1日・6日に買った商品だけが対象ですか？
いいえ、そうとは確認されていません。11月1日・6日は不正アクセスの日付です。対象となる注文期間は公式第二報では明示されていません。
Q. 購入者もパスワードを変更すべきですか？
公式のパスワード変更要請は「まとまるEC店長」の利用店舗に向けたものです。購入者のモール会員パスワードが流出したという発表は確認されていません。ただし、偽メールのリンク先でパスワードを入力した場合は、すぐに正規サイトから変更してください。
Q. 他の受注管理システムの事故と同じですか？
別件です。過去にはWASABI SWITCHでも注文情報を使った偽返金メールが問題となりましたが、同じ攻撃者・侵入経路と断定できません。詳細はWASABI SWITCHの対象店舗と返金詐欺の対処法で解説しています。
まとめ｜返金メールは注文内容が合っていても公式サイトから確認を
今回のポイントは、373社・最大21,873件の注文情報に漏えいのおそれがあること、そして実際の注文情報を悪用した偽の返金・欠品案内が確認されていることです。漏えいした情報の項目や全対象注文の特定、侵入経路は調査が続いています。
購入者はメール中のURLやLINE案内を使わず、購入先の公式注文履歴から確認してください。店舗側は管理画面のパスワード変更と顧客への注意喚起を優先し、続報と自社の注文情報を照合してください。
公式発表・更新履歴
情報確認日：2026年11月10日（日本時間）。新しい公表で件数や対象情報の範囲が変わる可能性があります。
