要点
- アイリスオーヤマの公式通販サイト「アイリスプラザ」が不正アクセスを受け、2026年10月28日からサイトを止めている。
- 会社の発表では、クレジットカード情報の漏えいは「確認されておりません」。氏名・住所・電話番号・メールアドレスが漏れたかは、まだ調べている最中だと報じられている。
- アイリスオーヤマは不審なメールや通知を開かないよう呼びかけており、この件に便乗した偽の連絡に気をつけたい。
何が起きたか
アイリスオーヤマは2026年10月29日、公式通販サイト「アイリスプラザ」が不正アクセスを受けたと発表した。同社のニュースページと公式 X アカウントに出したお知らせによると、「お客様の安全確保のため」にサイトを一時停止し、情報漏えいの可能性も含めて調べている。
仙台放送は、アイリスプラザの説明として次のように報じている。きっかけは、通販サイトのサーバーで見つかった不審なファイルだった。見つけたのは10月28日の午後0時50分ごろで、その後の調べで不正アクセスの跡が確認された。日本経済新聞の報道では、ファイルが見つかってから約30分後にサイトを止めたという。
漏えいについて、会社が今言っていることは次のとおりだ。
- クレジットカード情報: 今の調査では漏えいは確認されていない
- そのほかの情報: 引き続き調べている
報道によると、調べている「そのほかの情報」には、氏名・住所・電話番号・メールアドレスが入っている。何件の情報が対象になりうるか、どこから入られたか、いつから入られていたか、サイトをいつ再開するかは、まだ発表されていない。会社は、詳しいことが分かったら自社のサイトで知らせるとしている。
なお、この話題は「不正ログイン」として広まることがあるが、会社の発表は「不正アクセス」だ。会員のアカウントが乗っ取られたとは言っていない。サーバーに不審なファイルが置かれていたという話である。
日本の利用者への影響
アイリスプラザは、家電や生活用品で知られるアイリスオーヤマの公式通販サイトだ。サイトが止まっているあいだは、ここで買い物ができない。問い合わせ先としては、株式会社アイリスプラザのコンタクトセンターが案内されている。
会員数や、漏えいの対象になりうる件数は発表されていない。今の時点で、個人情報が漏れたと確かめられたわけではない。ただ、氏名・住所・電話番号・メールアドレスは調べている最中なので、「漏れていない」とも言えない。
こうした発表のあとは、事件に便乗した偽メールがよく出回る。会社のお知らせも、不審なメールや通知が届いたら開かないよう呼びかけている。
今すぐやること
- 怪しい連絡は開かない。 アイリスオーヤマは、不審なメールや通知が届いても開封などしないよう呼びかけている。アイリスプラザの様子を知りたいときは、届いたメッセージを頼らず、ふだん使っているブックマークから見に行く。
- パスワードの使い回しをやめる。 パスワードが漏れたとは発表されていない。ただ、ひとつのパスワードをいくつものサイトで使っていると、どこか一か所で漏れたときに、ほかのサイトにも入られやすくなる。使い回しがあるなら、これを機にサイトごとに別のものにしておきたい（会社が勧めていることではない）。
- クレジットカードの利用明細を見る。 カード情報の漏えいは確認されていないが、アイリスプラザで使ったカードの明細に覚えのない請求がないか、しばらく見ておく。見つけたらカード会社に連絡する。
- 問い合わせは公式サイトに載っている窓口へ。 注文や漏えいのことは、アイリスプラザのコンタクトセンターに聞く。メールに書かれた電話番号ではなく、公式サイトに載っている番号を使う。
- 続報を待つ。 漏えいの有無や再開の時期は、会社がこれから発表する。アイリスオーヤマのニュースページで確かめる。
背景
通販サイトは、名前・住所・電話番号・メールアドレス・注文の記録がまとめて置かれているので、狙われやすい。サーバーに見慣れないファイルが置かれる被害は、決済画面を書き換えてカード番号を盗む攻撃や、データを持ち出す攻撃の入り口になることがある。ただし今回、そうした目的だったかどうかは発表されていない。
アイリスプラザは以前にも被害を受けている。ScanNetSecurity の報道によると、2008年7月、当時の「アイリスプラザインターネットショッピング」がデータベースを狙う攻撃（SQL インジェクション）を受け、2007年6月1日から2008年6月6日までに使われたカード番号28,105件が漏れた可能性があると発表した。
技術者向けの詳細
- 発表: 2026年10月29日、アイリスオーヤマのニュースページ「アイリスオーヤマ公式通販サイト「アイリスプラザ」 ECサイト一時停止のお知らせ」と公式 X アカウント（@irisohyama_info）
- 見つかった時刻: 2026年10月28日 12:50ごろ（日本時間。仙台放送の報道、アイリスプラザの説明として）
- きっかけ: EC サイトのサーバー内で不審なファイルが見つかり、調べたところ不正アクセスの跡を確認した（報道）
- 停止までの時間: 日本経済新聞の報道では、見つかってから約30分後。一次情報には書かれていない
- 漏えい: カード情報は「確認されておりません」。氏名・住所・電話番号・メールアドレスは確認中（報道）
- 発表されていないこと: 侵入経路、使われた弱点、入られていた期間、対象件数、ファイルの種類、再開の時期
- 侵入された跡の一覧（IoC）や、使われた製品・版の情報は出ていない
- 過去の件: 2008年7月24日に、SQL インジェクションでカード番号28,105件（うち987件は有効期限つき）が漏れた可能性を発表（ScanNetSecurity の報道）