- ネットショップの注文や在庫をまとめて管理するシステム「WASABI SWITCH」（提供：株式会社ワサビ）が第三者から不正アクセスを受け、利用店舗の注文情報が外部に流出したと、ワサビが10月16日に発表しました。
- 流出した情報には、注文した人の氏名、お届け先の住所、電話番号、メールアドレス、注文日時、商品名、金額などが含まれるとしています。クレジットカード情報は、WASABI SWITCHが持っていないため含まれないとしています。全体の件数と店舗数は、確認時点で発表されていません。
- 流出した注文情報を使い、「品切れのため返金します」と言ってLINEへの連絡やカード情報の入力を求める不審なメールが届いています。メールには本物の注文内容が書かれています。ワサビは、LINEでの連絡やカード情報・口座情報の入力を頼むことはないとしています。
- 利用店舗の発表も出ています。コメ兵グループは473件の漏えいを発表しました。バリュエンスジャパン（ALLU）、緑和堂、エコリング、TGM（LIFE）、ハーフプライス（農家さんの味方）、よちかも告知を出しています。
- ワサビは、テンプレート機能で使えるPHPの機能が今回の不正アクセスで悪用されていたとして、10月18日にその機能を止めました。PHPそのものの脆弱性とは書かれていません。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、ワサビの専用ページ・サポートサイトのお知らせと、WASABI SWITCHを使う店舗が自社サイトに出した告知をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の状況はワサビの専用ページで確かめてください。
最新情報（随時更新）
- 10月25日：ワサビが店舗向けページで、海外に住む購入者の情報が含まれる店舗に国別の件数を個別に知らせたとし、海外の購入者について10月25日に確定した取得範囲を示しました［ワサビ 店舗様へ］。
- 10月24日：農機具の買取・販売「農家さんの味方」を運営するハーフプライスが、注文情報の一部が流出したとの報告を受けたと告知しました［ハーフプライス］。
- 10月23日 22時時点：コメ兵ホールディングスが、グループ5社のECサイトで10月3日〜16日に注文した人の情報473件が漏えいしたと発表しました［コメ兵HD］。
- 10月23日：ワサビが、外部の専門会社による調査結果を利用店舗に報告しました［ワサビ 専用ページ］。
- 10月21日 18時時点：バリュエンスジャパンが、ブランド品販売「ALLU」の外部モール経由の注文者の情報が漏えいした可能性があると発表しました［バリュエンス］。
- 10月20日：ワサビが第六報で、登録情報（モールの認証情報やメールアカウントのパスワードなど）の暗号化が10月20日 5:00ごろに終わったと発表しました［第六報］。
何が起きたか
WASABI SWITCHは、ネットショップを運営する店舗が、楽天市場、Yahoo!ショッピング、メルカリShops、eBayなど複数の通販サイト（モール）の注文や在庫をまとめて管理するためのシステムです。ワサビは、リユース（中古品）の販売に向けたシステムとして紹介しています。店舗は各モールの注文をWASABI SWITCHに取り込んで処理するため、このシステムには、いろいろなモールで買い物をした人の注文情報が集まっています。
ワサビは、10月14日と16日に確認した不正アクセスについて、侵入経路は特定・遮断済みとしています。告知に書かれた内容を分けると、次のとおりです。
| 不正アクセス | 内容 | 分かっている影響 |
|---|---|---|
| 10月14日 | WASABI SWITCHのシステムへの第三者による不正アクセス。置かれていた不正なプログラム（マルウェア）を削除し、原因の脆弱性は修正済みとしている | 注文情報が外部に流出。購入者に届いた不審なメールは、この情報が悪用されたものと考えているとしている |
| 10月16日 4:00ごろ | 第一報で「別の原因による不正アクセス」と公表。侵入経路は特定済みとしている | 告知に個別の記載なし |
| 10月16日 3:00ごろ、10月17日 13:25ごろ〜15:07ごろ | 10月14日の件とは別の経路。流出した管理者パスワードを使って一部の店舗の管理画面にログインし、管理画面の機能を悪用して不正なプログラムを置いた（第三報） | 10月17日の注文データの一部と、店舗が登録していたメールアカウントの情報が抜き取られ、店舗の正式なメールアドレスから不審なメールが送られた |
10月16日 4:00ごろの不正アクセスと、管理画面への不正ログインが同じものかどうかは、告知には書かれていません。
「流出した管理者パスワード」が、1件目の不正アクセスで取られたものかどうかは、告知には書かれていません。ワサビは、侵入経路の技術的な詳細など、攻撃に悪用されるおそれのある情報は今は公表を控えるとしています［ワサビ 対応状況］。
時系列
ワサビの「経緯・更新履歴」とお知らせに書かれた日時を並べると、次のとおりです［ワサビ 経緯・更新履歴］。
| 日時 | できごと |
|---|---|
| 10月14日（水） | WASABI SWITCHのシステムに第三者が不正アクセス（後の調査で分かった発生日） |
| 10月15日（木） | 利用店舗から「購入者に不審なメールが届いている」と連絡。21:09に「不審なメールに関する注意喚起」を公表 |
| 10月16日（金）3:00ごろ | 一部の店舗の管理画面への不正ログインと、不正なプログラムの設置（第三報で判明） |
| 10月16日（金）4:00ごろ | 別の原因による不正アクセスを確認 |
| 10月16日（金）11:11 | 第一報。10月14日の不正アクセスで情報が外部に流出したと公表 |
| 10月16日（金）17:40 | フューチャーショップがAPIキーを停止し、futureshopとの連携が止まる |
| 10月16日（金）18:00 | 本来は使われていないはずのアカウントの一部が動いていたため、WASABI SWITCHの全アカウントを一時的に止めた（第二報） |
| 10月17日（土）13:25ごろ〜15:07ごろ | 複数の店舗の管理画面への不正ログイン。注文データとメールアカウントの情報を抜き取られた |
| 10月17日（土）20:08 | 第三報。店舗にメールアカウントのパスワード（SMTP認証・POP）の変更を至急依頼 |
| 10月18日（日） | 個人情報保護委員会に速報を提出。第四報で、受注・買取・顧客の取引情報をWASABI SWITCHから一時削除すると発表（削除前に保存済み） |
| 10月18日（日）18:29 | テンプレート（コンテンツテンプレート）でPHPを使えないように仕様を変更 |
| 10月18日（日）20:30〜23:30 | 全アカウントのパスワードを強制変更し、メールでの2段階認証を設定（第五報） |
| 10月20日（火）5:00ごろ | 登録情報の暗号化が完了（第六報） |
| 10月22日（木） | モール・配送業者の連携に使うパスワード・APIキーの変更手順を案内 |
| 10月23日（金） | 外部の専門会社による調査結果を利用店舗に報告 |
このほか、Luxclusif（10月16日 23:43ごろ）、SpeedPAK（10月17日 1:00ごろ）、Yahoo!ショッピング、BUYMA、Yahoo!オークションとの連携も止まっていると案内されています［ワサビ 対応状況・連携停止のお知らせ］。
流出した情報
| 項目 | 発表の内容 |
|---|---|
| 購入者の情報 | 注文に関する情報（氏名、お届け先の住所、電話番号、メールアドレス、注文日時、商品名、金額など）。正確な範囲は外部の専門会社と調査中 |
| 海外の購入者（10月25日に確定） | 取得された項目は、氏名、住所、メールアドレス、電話番号、注文日、注文金額、決済方法、店舗名。購入商品（商品名・数量）、クレジットカード情報、パスワードは取得されていないとしている（店舗向けページの海外の購入者についての案内） |
| 店舗の情報（管理画面への不正ログイン） | 10月17日の注文データの一部と、WASABI SWITCHに登録していたメールアカウントの情報。これを使って店舗の正式なメールアドレスから不審なメールが送られた |
| クレジットカード情報 | WASABI SWITCHは保持していないため、含まれない |
| 件数・店舗数 | 確認時点で、全体の件数・店舗数は発表されていない。影響を受けた店舗の一覧ページは、掲載に同意した店舗を確認中としている |
出典：ワサビ 購入者様へ・店舗様へ・第三報・影響を受けた店舗様
ワサビは、購入者からの問い合わせは店舗に代わってワサビが受けるとしています。自分が対象かを知りたい人は、ワサビのお問い合わせフォームに、購入した店舗名・注文番号・注文時のメールアドレスなどを送ると、調査結果が分かりしだい個別に連絡するとしています。電話窓口は準備中です。
影響を発表した店舗
この記事で本文を確かめた、店舗の自社サイトの告知です。件数を出しているのはコメ兵グループだけで、ほかは「流出した可能性」や「確認中」の段階です。
| 店舗（運営会社） | 公表日 | 告知の内容 | 出典 |
|---|---|---|---|
| KOMEHYO、BRAND OFF、ロデオドライブなど（コメ兵ホールディングスのグループ5社） | 10月23日 | 10月3日〜16日にグループのECサイトで注文した人の情報473件が漏えい（BRAND OFF・台湾・香港・ロデオドライブは10月14日の注文）。氏名、住所、電話番号、メールアドレス、注文内容など。メルカリShops、SNKRDUNK、eBay、Chrono24、楽天市場、Yahoo!ショッピングなど、モールごとの件数も公表。K-ブランドオフなどは10月16日19時から直営ECとモールの運用を止めた | 公式 |
| ALLU（バリュエンスジャパン） | 10月21日 | ALLUの外部モール経由の注文者の情報（氏名、住所、電話番号、メールアドレス、注文日時、商品名、金額など）が漏えいした可能性。範囲・期間はワサビが調査中。対象のモールは楽天市場、Yahoo!ショッピング、auPayマーケット、SNKRDUNK、ラクマ、海外のShopify US（当時の越境直営サイト）、eBay、Reebonz、THE LUXURY CLOSET、Luxclusif（farfetch）。閉店・休止中の店舗で過去に買った人も対象になりうる。10月16日に第一報を受け、同日に利用を停止 | 公式 |
| 新古美術緑和堂（緑和堂、Yahoo!オークションのストア） | 10月20日 | 注文情報が流出した可能性があるとの報告をワサビから受けた。10月16日にECサイトの停止を判断。自社の顧客への具体的な影響は確認中 | 公式 |
| メルカリShops「My EcoRing」（エコリング） | 10月20日 | 注文情報が流出した可能性があるとの報告をワサビから受けた。10月20日に通知を受け、ECサイトの停止を判断。具体的な影響は確認中 | 公式 |
| LIFE（TGM） | 10月20日 | 自社の顧客の情報が流出したかどうかは確認できていない。買取の顧客の登録情報への影響も確認中。一部のモールとの連携を止め、新規の顧客登録・買取情報のアップロードも止めた | 公式 |
| 農家さんの味方（ハーフプライス） | 10月24日 | 注文情報の一部が外部に流出したとの報告をワサビから受けた。件数・期間の記載なし | 公式 |
| BRAND SHOP YOCHIKA（よちか） | 10月19日 | 影響を確認中。告知の時点では、自社の顧客情報が流出対象になったとの報告はないとしている | 公式 |
このほかにも告知を出している店舗があるとみられますが、この記事では本文を確かめられたものだけを載せています。告知が確認できたら追記します。
バリュエンスジャパンは同じ10月21日に、「なんぼや」のオンライン買取システムへの不正アクセスも発表しています。こちらはWASABI SWITCHとは別のシステムで、2026年9月14日〜10月18日 9時の利用者のうち最大1,165名の情報（電話番号は全員、氏名・住所・生年月日・メールアドレス・銀行口座情報などは最大439名、本人確認書類の画像は10名）が漏えいした可能性があるとしています。店頭・出張・宅配買取には影響がないとしています［バリュエンス 10/21］。
買い物をした人がやること
WASABI SWITCHは店舗の裏側で使われるシステムなので、買い物をした人からは見えません。楽天市場やメルカリShops、eBayなどでブランド品・中古品の店から買った人は、自分の注文が含まれている可能性があると考えて、次の点に気をつけてください。
届いているのはこんなメール
- 実際の注文内容（注文日時・商品名・金額・お届け先など）が書かれている
- 「商品が品切れになったので返金する」として、LINEアカウントへの連絡や友だち追加を促す
- 返金の受付期限を設けて、急がせる
- 管理画面への不正ログインでは、店舗の正式なメールアドレスから不審なメールが送られたことも分かっています。送信元が本物の店でも、それだけで信用しないでください
やること
- 返金の連絡には応じない：メールに返信しない、リンクを開かない、書かれたLINEアカウントを友だち追加しない。ワサビは、LINEでの連絡やカード情報・口座情報の入力を頼むことはないとしています。
- 注文や返金の状況は、モールのマイページで確かめる：楽天市場やメルカリなど、買ったサイトに自分でログインし、注文履歴を見ます。メールのリンクからは開きません。
- カード番号・口座番号・暗証番号・ワンタイムパスワードは入れない：今回流出した情報にカード情報は含まれていないので、「カード情報の確認が必要」という連絡はまず疑ってください。
- 入力してしまったら、すぐ連絡する：カードはカード会社（カード裏面の番号）に、振り込んでしまったら金融機関に連絡します。警察相談専用電話「#9110」、消費者ホットライン「188」にも相談できます。
今回の偽メールは、流出した実際の注文情報を使っています。注文日や商品名が合っていても、店舗やワサビからの連絡とは限りません。ワサビからの個別の連絡は [email protected]（株式会社ワサビ 事故対応窓口）から送るとしています［ワサビ 専用ページ］。
住所や電話番号も含まれるため、郵便や電話での不審な連絡にも気をつけてください。パスワードは流出した項目に含まれていませんが、ほかのサービスと同じパスワードを使っている場合は変更を、可能なサービスでは2段階認証の設定を、ワサビも勧めています。
WASABI SWITCHを使っている店舗・EC事業者がやること
ワサビは店舗向けページとお知らせで、アカウントの再開手順、パスワード・APIキーの変更手順、購入者への案内文のひな形などを出しています［ワサビ 店舗様へ・パスワード・APIキー変更のご案内］。まずはワサビからの個別の連絡とチャットを確かめてください。
1. ワサビが店舗に頼んでいること
- メールアカウントのパスワード変更：「メール > アカウント管理」に登録していたメールアカウントのSMTP認証パスワードとPOPパスワードを、メールサービス側で変える。送信履歴に身に覚えのない送信がないか、自動転送の設定が勝手に変わっていないかも確かめる（第三報）
- アカウントの見直し：再開したアカウントはパスワードを変え、使っていないアカウントは止めたままにする。見覚えのないアカウントがあればサポートに知らせる（第二報）
- 強いパスワードと2段階認証：ワサビは、メンバーIDがWASABI SWITCHの利用ドメインと同じ文字列のアカウントや、推測されやすいパスワードのアカウントを狙った不正ログインの試みを確認したとしています。全アカウントのパスワードを強制変更し、メールでの2段階認証を設定しました（第五報）
- モール・配送業者の認証情報の再発行：各モールのAPIトークンやパスワード、外部連携のFTPパスワードなどを、10月20日 5:00の暗号化完了より後に変更・再登録する（第六報、10月22日の案内）
2. 一般的な点検の観点
以下はこの記事からの一般的な観点で、ワサビの指示ではありません。
- 受注管理システムと連携しているモールや配送業者の管理画面のログイン履歴を確かめ、知らない場所からのログインがないかを見る
- 連携のために発行したAPIキーやトークンのうち、今は使っていないものを失効させる
- モールの管理画面や自社のメールアカウントでも、2段階認証を設定する。システムをまたいで同じパスワードを使っていないかを見直す
- 連携が止まっている間は在庫が自動で同期されないため、売り越し（売れた商品が他のモールで販売中のまま残る）に注意する
3. 購入者への案内と報告
- ワサビは、購入者への案内文のひな形を用意しています。案内には、LINEでの連絡やカード情報の入力を頼むことはないと書き、問い合わせ先はワサビの専用窓口（購入者様へ）を案内する形になっています。
- 個人情報保護委員会への報告は、ワサビが10月18日に速報を出し、店舗との連名での一括提出を案内しています（回答期限は2026年11月11日 17:00）。海外の購入者がいる店舗には、各国の当局への報告の代理提出も案内しています（返信期限は10月27日 16:00）。期限と内容は、ワサビからの個別のメールで確かめてください。
自社のWebサイトやサーバーに侵入の跡がないかの確かめ方は「乗っ取られていないか確かめる侵害チェックの方法」にまとめています。
PHPとの関係
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」を追っています。WASABI SWITCHとの関係について、告知から分かることは次のとおりです。
- ワサビは第五報で、「WASABI SWITCHのテンプレートエンジン（コンテンツテンプレート）で利用できるPHPの機能が、今回の不正アクセスで悪用されていたことが判明」したとし、10月18日 18:29にコンテンツテンプレートでPHPを使えないように仕様を変更しました［第五報］。
- これは、WASABI SWITCHのテンプレートで使える機能が悪用されたという説明です。PHPという言語そのものの脆弱性（php2shellなど）が原因だとは書かれていません。
- 不正アクセスが起きたのは10月14日〜17日で、php2shellの修正版が出た10月21日より前です。
どの不正アクセスでこの機能が悪用されたのか、侵入経路の詳細は公表されていません。この記事でも、推測で原因を書くことはしません。
よくある質問
楽天市場やメルカリで買い物をしました。自分の情報も漏れましたか？
WASABI SWITCHを使っている店舗から買った場合に、可能性があります。楽天市場やメルカリなどのモール自体が不正アクセスを受けたわけではありません。自分が対象かは、買った店舗の告知を確かめるか、ワサビのお問い合わせフォームに購入した店舗名・注文番号などを送って確かめられます。
全部で何件漏れたのですか？
確認時点で、ワサビは全体の件数・店舗数を発表していません。店舗ごとの発表では、コメ兵グループが473件としています。
「返金します」というメールが届きました。どうすればいいですか？
返信、リンクのクリック、LINEの友だち追加、カード番号・口座番号の入力はしないでください。注文や返金の状況は、買ったサイトのマイページ（注文履歴）で確かめます。すでに入力・振込をしてしまった場合は、カード会社や金融機関にすぐ連絡してください。
クレジットカードは止めたほうがいいですか？
ワサビは、WASABI SWITCHはカード情報を持っていないため、流出した情報にカード情報は含まれないとしています。ただし、偽のメールやLINEでカード番号を入力してしまった場合は別なので、すぐにカード会社に連絡してください。
補償はありますか？
ワサビは購入者向けページで、現時点では金銭的な補償を約束できる段階にないとしています。今後の方針は調査結果を踏まえて知らせるとしています。
futureshopの不正アクセスとは関係がありますか？
別の件です。ただし、WASABI SWITCHからの情報漏えいを受けて、フューチャーショップは10月16日 17:40にWASABI SWITCHとの連携に使うAPIキーをすべて止めています［ワサビ 10/16］。futureshopの件は「futureshopの不正アクセスのまとめ」で扱っています。
ワサビは以前にも不正アクセスを受けていましたか？
報道では、2026年4月にカスタマーサポート窓口（Chatwork）のスタッフアカウントへの不正アクセス、7月に開発環境の端末への不正アクセスがあったと伝えられています（ScanNetSecurity、ITmediaなどの報道）。今回の件との関係は、ワサビの告知には書かれていません。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。WASABI SWITCHのアカウントや個別の流出状況については、ワサビの事故対応窓口にお問い合わせください。相談はこちら
参考にした情報
- 株式会社ワサビ「WASABI SWITCHに関する重要なお知らせとお問い合わせ窓口」（2026年10月25日 23:15更新）
- 株式会社ワサビ「購入者様へ」
- 株式会社ワサビ「ご利用店舗様へ」
- 株式会社ワサビ「経緯・対応の記録」
- 株式会社ワサビ「セキュリティ事故対応・信頼回復レポート」
- 株式会社ワサビ「【重要】不審なメールに関する注意喚起」（2026年10月15日）
- 株式会社ワサビ「【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告」（2026年10月16日）
- 株式会社ワサビ「【重要・第二報】WASABI SWITCH全アカウントの一時非稼働とパスワード変更のお願い」（2026年10月16日）
- 株式会社ワサビ「【重要】フューチャーショップとの連携停止について」（2026年10月16日）
- 株式会社ワサビ「【重要】SpeedPAKおよびLuxclusifとの連携停止について」（2026年10月17日）
- 株式会社ワサビ「【緊急・第三報】メールアカウントのパスワード変更のお願い」（2026年10月17日）
- 株式会社ワサビ「【重要・第四報】取引情報データの一時削除とセキュリティ対策強化について」（2026年10月18日）
- 株式会社ワサビ「【重要・第五報】パスワードの強制変更・2段階認証の設定と、コンテンツテンプレートの仕様変更について」（2026年10月18日）
- 株式会社ワサビ「【重要・第六報】登録情報の暗号化対応完了のお知らせ」（2026年10月20日）
- 株式会社ワサビ「パスワード・APIキー変更のご案内」（2026年10月22日）
- 株式会社コメ兵ホールディングス「当社グループが利用する外部システム(委託先)への不正アクセスによる個人情報漏洩に関するお知らせ（2026年10月23日22時時点）」
- バリュエンスジャパン株式会社「【注意喚起（第一報）】当社が利用する外部の受注管理システムへの不正アクセスに伴う、不審なメール（返金案内・LINE誘導）へのご注意のお願い（2026年10月21日 18時時点）」
- バリュエンスジャパン株式会社 オンライン買取システムへの不正アクセスに関するお知らせ（2026年10月21日）
- 株式会社緑和堂「【重要】WASABI SWITCHへの不正アクセスに伴う個人情報流出の可能性と不審なメールに関するお知らせ」（2026年10月20日）
- 株式会社エコリング「【重要】WASABI SWITCHへの不正アクセスに伴う個人情報流出の可能性と、不審なメールに関するお知らせ」（2026年10月20日）
- 株式会社TGM「【重要】外部委託先への不正アクセスに関するお知らせ【2026年10月20日】」
- 株式会社ハーフプライス（農家さんの味方）「【重要】不正アクセスに関するお知らせとお詫び」（2026年10月24日）
- 株式会社よちか「WASABI SWITCHへの不正アクセスに関するお知らせ」（2026年10月19日）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
