- ネットショップを作るためのサービス「futureshop」（運営：株式会社フューチャーショップ）のサーバーが外部から不正アクセスを受け、futureshopを使っている1店舗の会員情報が外部に漏えいしたと、同社が10月23日に発表しました。件数は3,147,469件です。
- この件数は1店舗の会員の件数です。futureshop全体の件数ではありません。同社は、その店舗以外のデータに同じ手口でアクセスされた跡は見つかっていないとしています。対象の店舗名は、同社の発表には書かれていません。
- 漏れたのは、会員ID、氏名、メールアドレス、住所、生年月日、電話番号、性別、ハッシュ化されたログインパスワードなどです。クレジットカード情報は含まれていないとしています。
- これとは別に、futureshopは10月21日、4台のサーバー（c02・c05・c12・g06）への不正アクセスを確認し、続けてPHPの脆弱性への対応のため全店舗のサービスを止めました。10月22日 23:35に再開し、いまは全店舗のECサイトと管理画面が使えます。
- 対象の店舗の会員には、その店舗から案内が届く見込みです。届いた連絡の中のリンクは使わず、店舗の公式サイトで同じ告知が出ているかを確かめてください。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、フューチャーショップのお知らせと、futureshopを使う店舗が自社サイトに出した告知をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の状況はfutureshopのお知らせで確かめてください。
最新情報（随時更新）
- 10月23日：フューチャーショップが「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第一報）」を出しました。1店舗の会員情報3,147,469件が漏えいしたとしています［futureshop 10/23］。
- 10月22日 23:35：PHPの脆弱性への対応のための緊急メンテナンスが終わり、不正アクセスで止めていた4台のサーバーも含めて、全店舗でサービスが再開しました［futureshop 10/22］。
- 10月21日：4台のサーバーへの不正アクセスを確認したと発表し（第一報）、同じ日の夜から全店舗のサービスを止めました［futureshop 第一報・サービス停止］。
何が起きたか
futureshopは、会社や個人がネットショップを開くためのサービスです。商品ページ、買い物かご（カート）、会員登録などの仕組みを、フューチャーショップのサーバーでまとめて動かします。店舗ごとにサーバーを用意する必要がない代わりに、多くの店舗のサイトが同じ提供元のサーバーで動いています。そのため、提供元のサーバーで問題が起きると、多くの店舗に同時に影響が出ます。
今回、フューチャーショップは10月21日から23日にかけて、性格の違う3つのことを発表しています。
| 発表 | 内容 | 店舗・買い物をした人への影響 |
|---|---|---|
| 4台のサーバーへの不正アクセス（10月21日〜） | 10月21日 10:14ごろ、一部のサーバー（c02・c05・c12・g06）への不正なアクセスを確認 | そのサーバーを使う店舗のECサイト・管理画面・FTP・APIが止まった。10月22日の時点で、個人情報を見られた跡や持ち出された跡はないとしている |
| PHPの脆弱性への対応（10月21日〜22日） | PHPの重大な脆弱性への予防のための停止。21日 20:00から一部の機能を止め、21日 21:36からは全サービスを止めた | 全店舗のECサイト・管理画面・FTP・APIが使えなくなった。10月22日 23:35に再開 |
| 1店舗の会員情報の漏えい（10月23日発表） | 10月17日 23:02、サーバーで使っているソフトウェアの脆弱性を悪用されて不正にアクセスされ、18日 0:16に1店舗の会員情報を取られた。19日 15:30ごろに見つけた | その1店舗の会員 3,147,469件が漏えい |
10月23日の発表に書かれた「ソフトウェアの脆弱性」が何のソフトウェアなのかは書かれていません。また、この漏えいと、10月21日に発表した4台のサーバーへの不正アクセスが同じものかどうかも、告知には書かれていません。
時系列
フューチャーショップの告知に書かれた日時を並べると、次のとおりです。
| 日時 | できごと | 出典 |
|---|---|---|
| 10月17日（土）23:02 | 外部の第三者が、サーバーで使っているソフトウェアの脆弱性を悪用して不正にアクセス | 10/23 第一報 |
| 10月18日（日）0:16 | 対象の1店舗の会員情報が取得された | 10/23 第一報 |
| 10月19日（月）15:30ごろ | システムの監視で不審なアクセスに気づき、判明。同じ日に対象の店舗へ個別に報告 | 10/23 第一報 |
| 10月21日（水）10:14ごろ | 一部のサーバー（c02・c05・c12・g06）への不正なアクセスを確認。c02はトライアル用の環境 | 10/21 第一報 |
| 10月21日（水）11:30 | 被害の拡大を防ぐため、4台のサーバーをメンテナンス状態にした。対象の店舗には個別に連絡 | 10/21 第一報 |
| 10月21日（水）20:00 | PHPの重大な脆弱性への予防として、全店舗を対象に一部の機能を停止。CMSサーバーで運用するページや、CMSサーバーから読み込む画像などが表示されなくなると案内 | 10/21 サービス停止のお知らせ |
| 10月21日（水）21:36 | 緊急メンテナンスを始め、全サービスを停止。ECサイト・管理画面・FTP・APIが使えなくなった | 10/22 メンテナンス継続のお知らせ |
| 10月22日（木）7:00時点 | 4台のサーバーについて、個人情報を見られた跡や外部に持ち出された跡はないと報告（第二報）。対象の店舗の契約ドメインのメールの送受信も止めた | 10/22 第二報 |
| 10月22日（木）23:35 | 緊急メンテナンスが終了。4台のサーバーも、侵入経路への対策とサーバー環境の作り直しをしたうえで再開 | 10/22 再開のお知らせ |
| 10月23日（金） | 1店舗の会員情報 3,147,469件の漏えいを発表。店舗と連名で個人情報保護委員会に報告し、警察にも相談 | 10/23 第一報 |
10月22日の再開のお知らせでは、4台のサーバーについて「お客様（購入者様）の個人情報の流出は確認されておりません」としていました。10月23日に発表された漏えいは、それより前の10月17日〜18日に起き、19日に判明していたものです。同社は、発表までに時間がかかった理由を、事実関係の確認と、店舗と組んで会員への案内や問い合わせ窓口の準備を進めていたためと説明しています。
漏れた情報
10月23日の第一報に書かれた内容です。
| 項目 | 発表の内容 |
|---|---|
| 対象 | futureshopを使っている店舗のうち、1店舗の会員情報 |
| 件数 | 3,147,469件（1店舗） |
| 漏えいした情報 | 会員ID、氏名、メールアドレス、住所、生年月日、電話番号、性別、メールマガジンの受信設定、登録店舗の情報、ログインパスワード（ハッシュ化済み）、そのほか会員情報として管理していた情報 |
| パスワード | ハッシュ化（元の文字列に戻しにくい形に変換）して保存していたため、取られた情報をそのまま使ってログインすることはできない、としている |
| クレジットカード情報 | 含まれていない。カード番号・有効期限・セキュリティコードは決済代行会社が直接処理していて、futureshopのサーバーは通らず、保存もしていない |
| 二次被害 | 10月23日時点で、具体的な二次被害の報告は確認されていない |
同社は、その店舗以外のデータへ同じ手口で不正アクセスされた跡は、いまのところ確認されていないとしています。悪用された脆弱性への対策は、すべての管理画面サーバーで済ませたとしています。外部の専門機関による調査も行うとしています。
影響を受けた店舗
会員情報が漏えいした1店舗の名前は、フューチャーショップの発表には書かれていません。同社は、対象の店舗と組んで、会員への案内や問い合わせ窓口の準備を進めているとしています。店舗側が公表したら、この記事に追記します。
10月21日〜22日のサービス停止では、futureshopを使う多くの店舗が、サイトやSNSで「オンラインショップが使えない」と知らせました。そのうち、この記事で本文を確かめ、自社サイトの告知でフューチャーショップの不正アクセスに触れていたものは次のとおりです。
| 店舗（対象のサービス） | 公表日 | 告知の内容 | 出典 |
|---|---|---|---|
| 京橋千疋屋（京橋千疋屋公式オンラインショップ） | 10月21日 | カートシステムの提供会社であるフューチャーショップから、サーバーへの不正アクセスの可能性が分かりサーバーを緊急停止すると報告を受け、オンラインショップが使えなくなったと告知。クレジットカード情報は決済代行会社で分けて管理していて、漏えい・影響はないとしている。当社や関係者を装った電話・メールに注意するよう呼びかけ | 公式（PDF） |
京橋千疋屋の告知は、サービス停止の時点のものです。会員情報が漏えいした1店舗かどうかは書かれていません。
futureshopのお店で買い物をした人がやること
futureshopで作られたネットショップは、見た目では分かりにくいことが多く、「自分が使った店がfutureshopかどうか」はすぐには分かりません。まず、次のことを知っておくと判断しやすくなります。
- 今回漏えいが分かったのは1店舗の会員です。futureshopを使うほかの店舗の会員情報が漏れたとは、確認時点では発表されていません。
- 対象の店舗の会員には、その店舗から案内が届く見込みです。フューチャーショップは、店舗と組んで案内の準備をしているとしています。
本物の連絡かどうかの確かめ方
- メールやSMSの中のリンクは使わない：お店の公式サイトは、ブックマークや検索から自分で開きます。
- お店の公式サイトに同じ告知が出ているかを見る：出ていなければ、その連絡は疑ってかかります。
- パスワードやカード番号を聞いてきたら疑う：フューチャーショップは、メールや電話でパスワードやログイン情報を尋ねることはないとしています。また、今回漏れた情報にカード番号は含まれていません。「カード情報の再登録が必要です」という連絡は、まず偽物を疑ってください。
- 迷ったら、お店の公式サイトに載っている窓口に問い合わせる：連絡に書かれた電話番号ではなく、公式サイトの番号を使います。
今回漏れた情報には、氏名、メールアドレス、住所、電話番号、生年月日が含まれます。これらを使えば、名前入りの本物らしい偽メールや偽SMSを送ったり、電話をかけたりできます。「お詫びのポイントを差し上げます」「返金の手続きをしてください」「至急ログインしてください」といった連絡は、まず疑ってください。偽サイトにパスワードを入れてしまったら、すぐに本物のサイトでパスワードを変えてください。カード番号を入れた場合は、カード会社に連絡します。
ほかに念のためやっておくこと
- パスワードはハッシュ化されていましたが、ハッシュ化されたものから元の文字列を割り出そうとする攻撃はあります。対象の店舗と同じパスワードをほかのサービスでも使っている人は、ほかのサービスのパスワードを変えておくと安心です（これはこの記事からの一般的な助言で、フューチャーショップの指示ではありません）。
- 住所や電話番号も漏れているため、郵便や電話での不審な連絡にも気をつけます。
futureshopを使っているEC事業者がやること
フューチャーショップは、調査の結果をfutureshopを使う店舗に案内するとしています。10月21日の第一報では、店舗に次の3つをお願いしています。
- 管理画面へのログインに使っているパスワードを、ほかのサービスでも使っている場合は、すぐに変える
- フューチャーショップや店舗を装った不審なメール・電話・SMSに注意する
- フューチャーショップから、メールや電話でパスワードやログイン情報を尋ねることはない
このほか、今回の件に向けて確かめておきたい点をまとめます。以下は一般的な点検の観点で、フューチャーショップの指示ではありません。
1. 自社が対象かを確かめる
- 会員情報が漏えいした1店舗には、10月19日の時点で個別に報告したと発表されています。4台のサーバー（c02・c05・c12・g06）の店舗にも、10月21日に個別の連絡が出ています。届いた案内を確かめ、分からない点はfutureshopのサポートセンターに問い合わせます。
2. 管理画面のアカウントを見直す
- 管理画面のパスワードを変え、使っていないアカウントがあれば止めます。futureshopでは、管理画面のセキュリティ設定についての案内も出ています［futureshop 管理画面のセキュリティ］。
- APIで外部の受注管理システムなどとつないでいる場合は、つないでいる先の会社の告知も確かめます。
3. お客様への案内を準備する
- サービス停止の間に入った注文や問い合わせに漏れがないかを確かめます。10月22日の第二報では、4台のサーバーの店舗について、契約ドメインのメールの送受信を止めていたとしています。止まっている間に届いたメールは、サーバーに保存されているとのことです。
- お客様に知らせるときは、メールにリンクや入力欄を入れず、「公式サイトの告知と照合してほしい」「パスワードやカード番号をメールで尋ねることはない」と書いておくと、偽メールと区別しやすくなります。京橋千疋屋の告知も、当社や関係者を装った連絡への注意を呼びかけています。
4. 個人情報保護委員会への報告
漏えいが分かった1店舗について、フューチャーショップは店舗と連名で個人情報保護委員会に報告したとしています。個人情報保護委員会のページでは、不正アクセスによる漏えい（そのおそれを含む）や、本人の数が1,000人を超える漏えいは報告の対象とされています［個人情報保護委員会］。自社が対象かどうか分からない場合は、まずフューチャーショップからの案内を確かめてください。
自社のWebサイトやサーバーに侵入の跡がないかの確かめ方は「乗っ取られていないか確かめる侵害チェックの方法」にまとめています。
PHPの脆弱性との関係
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」を追っています。futureshopとの関係について、告知から分かることは次のとおりです。
- 10月21日〜22日の全店舗の停止は、フューチャーショップの告知で「PHPに重大な脆弱性が確認されたため、安全が確認できるまでの予防的措置」と説明されています。これは予防のための停止です。
- 10月23日に発表された会員情報の漏えいの原因は、「当社サーバーで使用しているソフトウェアの脆弱性」と書かれていて、PHPとは書かれていません。漏えいが起きたのは10月17日〜18日で、PHPの修正版が出るより前です。
どのソフトウェアのどんな脆弱性だったのかは、続報を待つしかありません。この記事でも、推測で原因を書くことはしません。PHPの件で予防のために止まった国内のサービスは「PHP脆弱性で停止・メンテナンス中の国内サービス一覧」にまとめています。
よくある質問
futureshopのお店で買い物をしたことがあります。自分の情報も漏れましたか？
確認時点で漏えいが発表されているのは、1店舗の会員情報だけです。ほかの店舗のデータに同じ手口で不正アクセスされた跡は見つかっていない、とフューチャーショップは説明しています。対象の店舗の会員には、店舗から案内が届く見込みです。
3,147,469件は、futureshop全体の件数ですか？
いいえ。告知には「3,147,469件 /1店舗」と書かれていて、1店舗の会員の件数です。
どのお店の会員情報が漏れたのですか？
フューチャーショップの発表には、店舗の名前は書かれていません。店舗が公表したら、この記事に追記します。
クレジットカードは止めたほうがいいですか？
フューチャーショップは、漏えいした情報にクレジットカード情報は含まれていないとしています。カード番号は決済代行会社が直接処理していて、futureshopのサーバーには保存していないとのことです。ただし、偽サイトでカード番号を入力してしまった場合は別なので、すぐにカード会社に連絡してください。
futureshopのお店はいま使えますか？
10月22日 23:35に緊急メンテナンスが終わり、すべての店舗でECサイトと管理画面が使えるようになったとされています。稼働状況はfutureshopの稼働状況のページで確かめられます。
10月上旬のIDCFクラウドの件とは関係がありますか？
別の件です。10月上旬には、futureshopのメール配信オプション「future Scenario Cast」「futureCartRecovery」が、基盤のIDCFクラウドへの不正アクセスを受けて一時停止しました。この件についてフューチャーショップは、メール配信データの外部への流出はなかったと判断したとしています［futureshop 10/15］。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。futureshopのアカウントや個別の漏えい状況については、フューチャーショップのサポートセンターにお問い合わせください。相談はこちら
参考にした情報
- 株式会社フューチャーショップ「【重要】不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第一報）」（2026年10月23日）
- 株式会社フューチャーショップ「【重要】弊社サーバーへの不正アクセスに関するお詫びとお知らせ（第一報）」（2026年10月21日）
- 株式会社フューチャーショップ「【重要】弊社サーバーへの不正アクセスに関するご報告（第二報）」（2026年10月22日）
- 株式会社フューチャーショップ「【緊急メンテナンス】PHP脆弱性対応のためのサービス停止に関するお知らせ」（2026年10月21日）
- 株式会社フューチャーショップ「【緊急メンテナンス】PHP脆弱性対応のためのfutureshop緊急メンテナンス継続のお知らせ」（2026年10月22日）
- 株式会社フューチャーショップ「【緊急メンテナンス】futureshop緊急メンテナンス長時間化のお詫びとサービス再開のお知らせ」（2026年10月22日）
- 株式会社フューチャーショップ「【重要・第三報】IDCFクラウド不正アクセスに関する調査結果のご報告」（2026年10月15日）
- 株式会社京橋千疋屋「サーバー不正アクセスの影響によるオンラインショップ停止のお知らせ」（2026年10月21日、PDF）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
