WASABI SWITCH続報シュッピン注文2216件と全体の調査中を分ける

資料で確認できること

10月15日の店舗からの連絡が調査の端緒

会社は2026年10月15日、利用店舗から、購入者のもとに不審なメールが届いているとの連絡を受けたと公表しました。メールには実際の注文情報が記載され、『返金手続き』を装って外部のメッセージサービス上のアカウントへ連絡するよう促す内容だったと説明しています。

調査の結果、10月14日にWASABI SWITCHのシステムへ第三者による不正アクセスがあり、利用店舗の注文情報などが外部に流出していたことが判明したとしています。

• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告

資料で確認できること

シュッピンで注文情報2216件と管理アカウント31件を確認

シュッピンは、ワサビ社から10月23日に流出データの報告を受けたと公表しました。同社が運営する外部モールの注文情報2216件と、管理アカウント情報31件が対象です。対象チャネルは楽天市場、eBay、Yahoo!ショッピング、Chrono24としています。

注文情報には氏名、フリガナ、メールアドレス、電話番号、住所、支払方法、合計金額、会員IDが含まれます。管理アカウント情報は管理者ID、ログインID、暗号化パスワードです。クレジットカード番号は対象外と説明しています。

• 資料 01シュッピン株式会社：委託先である株式会社ワサビにおける不正アクセスに伴う、個人情報流出に関するお詫びとお知らせ

当事者の説明

会社は、流出情報が不審メールに悪用されたとみている

会社は、購入者に届いた不審メールについて、流出した情報が悪用されたものと考えていると説明しています。これは会社の調査に基づく評価であり、JBJが送信者やデータの取得経路を独立して確認したものではありません。

同時に、実注文情報を使った不審な返金案内が報告された以上、受信者が公式サイトや購入店舗の既知の連絡先から確認する必要性は高いといえます。不審メールに記載された連絡先を使って真偽確認をしてはいけません。

• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告

当事者の説明

10月14日と16日早朝に、原因が別とされる二つの不正アクセス

会社は10月14日の不正アクセスについて、侵入経路を特定して遮断し、設置されていた不正プログラムを削除し、再発防止策を実施したと説明しています。

さらに10月16日午前4時ごろ、14日の事案とは別の原因による不正アクセスを確認したと公表しました。こちらも侵入経路は特定したものの、第一報の公開時点では対策を進めている段階です。二つの事案の影響範囲が重なるか、どの情報がどちらで流出したかは示されていません。

• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告

当事者の説明

シュッピン直営サイトは対象外　外部モール店舗とは分ける

シュッピンは、自社運営のMapCamera.com、GMT.com、BRILLER-GMT.com、KINGDOM NOTE.comの受注管理にはWASABI SWITCHを使っておらず、本件との関連はないと説明しています。

外部モール店舗の注文と、同社直営サイトの登録・注文を混同しないことが必要です。同社は対象モールの一部店舗を一時休止し、直営サイトは営業を継続しています。

• 資料 01シュッピン株式会社：委託先である株式会社ワサビにおける不正アクセスに伴う、個人情報流出に関するお詫びとお知らせ

当事者の説明

11月予定の暗号化対応と、今回の流出範囲は別に確認する

会社は10月16日13時30分の追記で、11月予定のバージョンアップにおいて、各モールの認証情報、外部連携用FTPアカウント情報、メールアカウント情報、WASABI SWITCH API情報を暗号化して保管すると説明しています。

この追記は重要な改善方針ですが、列挙された認証情報が今回実際に流出したと認めた記載ではありません。現時点までの保管方式、暗号化の範囲、鍵管理、切替日、対象事案との関係は、今後の説明を待つ必要があります。

• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告

未確認の点

全体の件数、対象店舗・購入者、二つの侵入の対応関係は未確定

10月26日の確認時点で、WASABI SWITCH全体の対象店舗数、購入者の実人数、流出データの総件数、不審メールの送信件数、金銭被害やアカウント被害の有無は、公開資料だけでは確定できません。

シュッピンが示した2216件は注文単位で、顧客の実人数とは異なります。また、同社の確認範囲を他の利用店舗やWASABI SWITCH全体の件数に置き換えることはできません。

• 資料 01シュッピン株式会社：委託先である株式会社ワサビにおける不正アクセスに伴う、個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告

確認の範囲

このコラムの確認範囲

本稿は2026年10月26日にWASABI SWITCHの10月16日付第一報、シュッピンの10月24日公表・25日更新の案内、IPAの10月16日付発表を照合して更新しました。JBJは会社、利用店舗、購入者、調査会社、関係当局、メール送信者、攻撃者への直接取材や、メール・システム・ログ・流出データの独立調査を行っていません。掲載画像は注文経路と不審な案内を公式窓口で照合する姿勢を表した説明用イメージで、実際の会社・店舗・購入者・設備・画面・注文情報・不審メール・被害記録ではありません。

• 資料 01シュッピン株式会社：委託先である株式会社ワサビにおける不正アクセスに伴う、個人情報流出に関するお詫びとお知らせ
• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告
• 資料 03独立行政法人情報処理推進機構：不正アクセス特別相談窓口の開設について

JBJの見解

実際の注文情報が入った連絡でも、正規の案内とは限らない

氏名や注文内容に合ったメールが届けば、受信者は正規の案内だと信じやすくなります。今回の会社発表では、実際の注文に関する情報を記載し、返金手続きを装って外部の連絡先へ誘導する不審メールが報告されています。

一方、不審メールの送信者、送信件数、受信者の範囲、流出情報との技術的な対応関係は第一報だけでは確定できません。受信者の不安を軽く扱わず、会社の説明を独立調査の結論に置き換えないことが必要です。

JBJの見解

メール全文と注文記録を分け、公式窓口から確認する

不審な返金案内を受けた場合は、メールの受信日時、差出人、件名、本文、リンク先、求められた行動、記載された注文情報を記録してください。第三者の個人情報を広げない範囲で、元データを削除せず保存します。

注文状況は、メール内のリンクや連絡先ではなく、購入したモールや店舗の公式サイト、過去に利用した正規の窓口から確認してください。事業者側で不正アクセスが疑われる場合は、IPAの特別相談窓口など技術的な初動支援も利用できます。

• 資料 02株式会社ワサビ：【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告
• 資料 03独立行政法人情報処理推進機構：不正アクセス特別相談窓口の開設について

JBJの見解

被害防止を優先し、責任の検証と未確認の断定を分ける

実注文情報を使った不審メールは、受信者を信じ込ませる危険があります。まず外部アカウントへの連絡や送金を止め、公式窓口で確認する案内を利用店舗と購入者へ具体的に届けることが必要です。

同時に会社には、流出項目と件数、対象通知、二つの侵入経路、認証情報の保管状況、再発防止策を説明する責任があります。JBJは改善を求める正当な批判を弱めず、第一報にない被害人数や流出情報を作って会社・店舗・購入者への攻撃を広げることにも加担しません。