# ゼビオ子会社GALLERY・2 購入者情報最大約12.8万件が漏えいの可能性

ゼビオホールディングスは、子会社GALLERY・2が利用するECプラットフォーム「Commerble」への不正アクセスで、購入者情報最大約12.8万件などが漏えいした可能性があると公表しました。外部へ持ち出された事実は確認されていないとしています。

ゼビオホールディングス株式会社は2026年10月23日付で、連結子会社の株式会社GALLERY・2が利用するECプラットフォーム「Commerble（コマーブル）」への第三者による不正アクセスで、お客様の個人情報が外部に漏えいした可能性があると公表しました。購入者情報は最大約12.8万件で、クレジットカード番号とログインパスワードは含まれていないとしています。

<Points>

- 10月17日に顧客データベースへの不正アクセスと顧客情報を表示する操作が確認され、10月18日には支払入力画面の改ざんも確認された
- 漏えいした可能性があるのは購入者情報 最大約12.8万件、住所情報 最大約12.2万件、メール送信履歴 最大約15.8万件
- 表示操作は確認されているが、外部へ持ち出された事実は現時点で確認されていない

</Points>

## 何が起きたか

「Commerble」の運営会社である株式会社Commerbleの親会社、シグマコンサルティング株式会社から受領した報告書によると、2026年10月16日に株式会社Commerble側のシステム管理用認証情報が不正に取得されました。10月17日には同プラットフォームの管理用クラウド環境を経由して子会社の顧客データベースへ不正にアクセスされ、顧客情報を表示する操作が実行されたことが確認されています。

10月18日にECサイトの支払入力画面の改ざんが確認されたため、子会社は同日、ECサイトを停止しました。

<Stats source="ゼビオホールディングス株式会社 お知らせ（2026年10月23日）">
<Stat value="最大約12.8万件" label="購入者情報" />
<Stat value="最大約12.2万件" label="住所情報" />
<Stat value="最大約15.8万件" label="メール送信履歴" />
</Stats>

## 漏えいした情報

| 区分 | 件数 | 内容 |
| --- | --- | --- |
| ①購入者情報 | 最大約12.8万件 | 重複を除いた購入者名、メールアドレス |
| ②住所情報 | 最大約12.2万件 | 重複を除いた購入者住所、配送先住所、電話番号 |
| ③メール送信履歴 | 最大約15.8万件 | 注文確認メール本文、送信先メールアドレス |

<Note tone="caution">

各区分には重複があり、件数の単純合計が漏えい人数を示すものではありません。これらは「漏えいした可能性のある」情報です。対象情報を表示する操作が行われたことは確認されていますが、現時点で外部へ持ち出された事実は確認されていません。

</Note>

クレジットカード番号とログインパスワードは、これらの情報に含まれていません。現時点で、個人情報の不正利用や金銭的被害等の具体的な二次被害は確認されていないとしています。改ざんされた支払入力画面に入力された情報の扱いについては、記載がありません。

## 原因と経緯

報告書では、システムのアクセス制限の設定不備等が悪用されたとの報告を受けています。具体的な侵入原因と情報流出の範囲は、株式会社Commerbleとシグマコンサルティング株式会社が引き続き調査しています。

<Flow
  title="認証情報の取得から公表まで"
  steps={[
    { label: "10月16日", note: "Commerble側のシステム管理用認証情報が不正に取得される" },
    { label: "10月17日", note: "顧客データベースへの不正アクセスと顧客情報を表示する操作" },
    { label: "10月18日", note: "支払入力画面の改ざんを確認し、ECサイトを停止" },
    { label: "10月21日", note: "子会社が個人情報保護委員会へ報告" },
    { label: "10月23日", note: "ゼビオホールディングスが公表" },
  ]}
/>

運営会社側からは、管理用機能の外部公開停止、認証情報・接続情報の変更、アクセス制限の是正、権限の見直し等の被害拡大防止措置を実施したとの報告を受けています。ECサイトは安全性を確認したうえで段階的な再開を検討し、グループとしても外部クラウドサービスの管理・監督体制を点検するとしています。連結業績への影響は軽微と見込んでいます。

## 利用者がやること

対象のお客様への個別通知と注意喚起は、調査状況を踏まえて準備を進めている段階です。公表文が求めているのは 1 の注意で、2 と 3 は公表文の記載ではなく、一般的な対策です。

<Steps>
<Step title="子会社を装うメールに注意する">

株式会社GALLERY・2を装った不審なメール等を受信した場合は、記載されたリンクへアクセスせず、個人情報や決済情報を入力しないでください。

</Step>
<Step title="注文に触れた連絡を疑う">

注文確認メールの本文も対象に含まれます。過去の注文に触れた連絡でも本物とは限らないため、メールの案内からログインしたり支払いをしたりしないようにします。

</Step>
<Step title="カードの利用明細を確かめる">

カード番号は対象の情報に含まれていませんが、支払入力画面の改ざんが確認されています。株式会社GALLERY・2のECサイトで購入したことがある場合は、身に覚えのない請求がないか明細を確かめると安心です。

</Step>
</Steps>

問い合わせ先は、G2-セキュリティ窓口（security@gallery2.jp）です。

## 出典

- [ゼビオホールディングス株式会社「第三者が運営する EC プラットフォームで発生した不正アクセスによる当社連結子会社の個人情報漏えいの可能性に関するお知らせ」（2026年10月23日）](https://www2.jpx.co.jp/disc/82810/140120261022554661.pdf)