まんだらけの通販サイトが不正アクセスを受け、注文者の氏名・住所・電話番号・メールアドレスが漏えいした可能性があると公表されました。通販サイトは停止され、大オークション大会も延期に。一方でカード情報は非保持化のため保持しておらず、漏えいは確認されていません。何が守られ、何が守られなかったのかが見える事案です。
深夜の検知から、サービスを止めるまで
同社の発表によると、サーバーへの不正アクセスが確認されたのは2026年8月27日(木)23時頃でした。
漏えいの可能性があると判断した同社は関係サーバーを停止し、原因究明と影響範囲の調査に着手しました。
個人情報保護委員会への報告と警察への被害届の提出は済ませ、外部の専門家を交えた調査が続いています。
対象として示されたのは、2026年8月28日(金)6時までに通販サイトで注文した方の、注文時の氏名・住所・電話番号・メールアドレス
件数は公表されていません。攻撃の手口も明らかにされておらず、憶測で語れる段階ではないでしょう。
影響は小さくありません。通販は安全性確認のため停止され、9月1日の更新で再開予定は9月5日12時に変更されています。毎日オークションは9月7日から、大オークションは9月7日公開・9月9日落札開始の見込みで、状況によってはさらに動く可能性があります。事業を止めてでも確認を優先した判断です。
カード情報が守られたのは偶然ではありません
今回の発表で目を引くのが、クレジットカード情報の扱いです。
同社はカード情報を非保持化しており、自社側でそもそも保持していないため、漏えいは確認されていないと説明しています。
持っていないデータは、侵入されても漏れません
当たり前のようでいて、これ以上に確実な防御はありません。
守られた範囲は他にもあります。会員のパスワード、買取会員の情報、宅配買取のIDとパスワード・振込先口座、落札者情報、eKYC（オンラインで完結する本人確認）のデータも漏えいはないとされ、eKYCに至っては保持自体をしていないとのこと。
つまり、保持するデータを絞ることが、そのまま侵害時の被害範囲の上限を決める
というわけです。御社のサイトは、どの情報をどれだけの期間持っているでしょうか。
4点が揃うと、偽の連絡は本物らしく見えます
同社は、自社や関係者を装った不審なメールや電話への注意を利用者に呼びかけています。
氏名・住所・電話番号・メールアドレス。この4点が揃えば、「ご注文の商品の件で」と始まる連絡は一気に本物らしくなります。
カード番号が漏れていなくても、注文を知っているふりで番号を聞き出す電話やメールは成立してしまうのです。
公表する側には、注意喚起と問い合わせ窓口の明示がセットで求められます。同社はWeb制作部（03-3228-0007、ガイダンス「5」→「6」、12時から20時）と privacy@mandarake.co.jp を案内しました。窓口を早く出せるかどうかは、平時に決めてあるかどうかで決まります
有事に作り始めるものではありません。
自社の公開サイトで見ておきたい点
EC・会員・予約サイトを運用している立場で確認できることを挙げます。
まずは決済情報の保持範囲の棚卸し。カード番号を自社DBに残していないか、過去のCSV出力やログに紛れていないかも見てください。
次に、注文・会員データのバックアップと、侵害が疑われたときにサービスを止める判断の手順です。深夜に検知した場合、誰が停止を決められるでしょうか。
本人への通知・個人情報保護委員会への報告・警察への相談の連絡先も、担当者不在で辿れる形にしておきたいところ。顧客向けの注意喚起文は、雛形があれば公表と同時に出せます。
そして、公開サイトと社内システムのログが後から追えるかどうか。「いつまでの注文が対象か」を時刻単位で示せたのは、記録が残っていたからにほかなりません。
関連記事もあわせてご覧ください。
