目次
ECサイトやECシステムを運営する上で、セキュリティ対策は避けて通れない課題です。
実際、個人情報の流出や不正アクセスといった被害は年々増加しており、対策が不十分なままだと、社会的信用の損失や売り上げの減少といった深刻な影響を招くことも。
特に中小規模のECサイトは、セキュリティ対策に十分なリソースを割けず、狙われやすい傾向にあります。
本記事では、ECサイトで実際におきたセキュリティトラブルの実例を紹介するとともに、最新テクノロジーを活用したセキュリティ対策についてわかりやすく解説します。
ECサイトにおけるセキュリティトラブルの実例
ECサイトが広く普及した今、セキュリティ対策の不備によるトラブルが増加しています。
ここでは、ECサイトにどのようなリスクが潜んでいるかを明らかにすべく、実際におきたセキュリティトラブルの事例を紹介します。
・クレジットカード情報の流出
・ウェブサイト改ざんによる個人情報の流出
・不正ログインの発生
・「リスト型攻撃」による不正ログインで情報の流出
クレジットカード情報の流出
2024年6月、岸和田スポーツが運営する公式通販サイト「Kemari87KISHISPO」が不正アクセスを受け、1万4000人分のクレジットカード情報および約3万8,000人分の個人情報が漏洩した可能性があると発表されました。
サイトシステムの一部に存在していた脆弱性が悪用され、不正なスクリプトが実行されたことが原因です。
これにより、カード名義と番号、セキュリティコードに加え、氏名や住所、電話番号などの個人情報までが外部に流出した可能性があるとされています。
同社は漏洩の可能性がある顧客に個別連絡を行い、カード会社と連携してモニタリングを実施するなどの対応を進めています。
今回の事例は、長期間にわたるセキュリティの不備が見過ごされていたことが背景にあり、定期的なシステム点検や脆弱性診断の重要性を浮き彫りにする出来事となりました。
Webサイト改ざんによる個人情報の流出
2024年7月、シャープが運営する公式オンラインストア「ココロストア」および食材宅配サービス「ヘルシオデリ」が不正アクセスを受け、最大で10万人分の個人情報が流出した可能性があると発表されました。
原因は、Webサイトのソフトウェアに存在した脆弱性でした。
この脆弱性を突いた攻撃により、注文者203人の氏名や住所、電話番号、メールアドレスに加え、一定期間中にログインした約2万6000人がウイルス感染のリスクにさらされました。
さらに、約75,000人のアクセスユーザーにも流出の可能性があり、クレジットカード情報が含まれていた可能性も否定できないとしています。
シャープは、サービスの利用を一時停止し、再発防止に向けた対応を進めました。
不正ログインの発生
食品宅配サービス「ISETAN DOOR」では、2024年11月24日から25日にかけて、第三者による不正ログインが発生しました。
外部で不正に入手されたIDとパスワードが用いられ、最大11,073件のアカウントが不正にアクセスされた可能性があります。
これにより、氏名や住所、連絡先、購入履歴などの個人情報が閲覧された恐れがあるとのことです。
ただし、クレジットカード情報は外部の決済代行会社で管理されていたため、流出の可能性は低いとされています。
同社は対象者への個別連絡やパスワードのリセットを実施し、被害の拡大を防止。
また、reCAPTCHA（ログイン時に人間かどうかを判断し、不正アクセスを防止する仕組み）の導入や、WAF（Webアプリケーションファイアウォール）の強化など、再発防止策にも取り組んでいます。
「リスト型攻撃」による不正ログインで情報の流出
スポーツ用品ブランドのヨネックスが運営する公式オンラインショップにて、2024年11月7日から8日にかけて第三者による不正ログインが行われたことが判明。
手口は「リスト型攻撃」と呼ばれるもので、他社サービスから流出したIDとパスワードの組み合わせを用いてログインが試みられました。
この攻撃により、223件の不正ログインが確認され、うち53件については氏名や住所、購入履歴などの個人情報が閲覧された可能性があるとしています。
さらに、クレジットカード番号の一部も参照可能な状態だったとのことです。
同社は、全会員のパスワードを無効化し、再設定を求める処置を講じたほか、個人情報保護委員会への報告や警察庁への相談も行いました。
ECサイトにおけるサイバー攻撃の各種手法
ECサイトにおけるサイバー攻撃の手法は、AIを悪用した詐欺やコードへの不正なスクリプトの埋め込みなど、年々巧妙化しています。
ここでは、近年ECサイトで特に注目されている3つの攻撃手法について解説します。
・AIを使ったフィッシング
・JavaScriptスキマー
・サプライチェーン攻撃
AIを使ったフィッシング
AIを使ったフィッシングは、運営者になりすましたメールやSMSを使って、顧客のアカウント情報やクレジットカード情報を不正に取得する攻撃です。
AIによって生成された文章が使われるため、従来のように機械的で不自然な文面ではなく、ターゲットに合わせた高度なカスタマイズが可能になっています。
たとえば、公式のロゴやドメインを巧妙に模倣した偽サイトへと誘導し、顧客が偽サイトにログイン情報を入力すると、そのデータが盗まれるといった被害が発生。
こういった攻撃は、ブランドイメージの毀損や不正アクセス、不正決済などの被害へとつながります。
JavaScriptスキマ―
JavaScriptスキマーは、ECサイトの決済ページなどに悪意あるコードを埋め込むことで、入力された情報を外部に送信する攻撃です。
サイバー犯罪集団「Magecart」の活動に代表されるような、ECサイトを標的にしたスキマー攻撃は年々高度化しています。
特に、サードパーティ製のライブラリやプラグイン経由でコードが改ざんされる事例が多く、管理の目が行き届きにくい箇所が狙われやすいのが特徴。
表面的には正常に動作しているように見えるため、被害に気づくまでに時間がかかり、広範囲な被害につながりやすい点に注意が必要です。
サプライチェーン攻撃
サプライチェーン攻撃は、取引先やシステム提供元といった外部パートナーを狙い、そこを経由して間接的に自社を攻撃する手法です。
ECサイトでは、チャットツールや決済ゲートウェイ、アクセス解析など、さまざまな外部ツールが連携しているため、攻撃のリスクが高まっています。
攻撃者は外部サービスにマルウェアを仕込んだり、アップデートを装って不正なコードを送り込んだりして、あたかも正規のプロセスであるかのようにシステムに侵入します。
運営者が直接管理していない領域で発生するため、セキュリティ対策が盲点になりやすく、検知や対応の遅れにつながりやすいのが特徴です。
ECサイト構築・運用におけるセキュリティ対策が重要な理由
ECサイトを構築・運用するにあたってセキュリティ対策が重要である理由を3つ解説します。
・セキュリティ対策が義務化されているため
・社会的信用を維持するため
・経済的な機会損失を防ぐため
セキュリティ対策が義務化されているため
ECサイトを運営する事業者には、今やセキュリティ対策の実施が実質的に義務付けられています。
特に、クレジットカード決済を導入している場合、「クレジットカード・セキュリティガイドライン」に基づいた対応が求められます。
このガイドラインは、割賦販売法に基づく法的なセキュリティ義務を具体化したもので、2025年4月以降はEC加盟店に対して脆弱性対策やEMV 3-Dセキュアの導入が実質的な必要要件に。
対応が不十分だと不正利用や情報漏洩のリスクが高まるだけでなく、加盟店契約を継続できないケースも想定されます。
つまり、法令遵守と事業継続の観点からも、セキュリティ対策は避けて通れない経営課題と言えるでしょう。
参照：経済産業省「クレジットカード・セキュリティガイドライン」が改訂されました
社会的信用を維持するため
ECサイトにおけるセキュリティ対策は、社会的信用を維持するためにも重要です。
セキュリティの甘さは、顧客からの信頼を一瞬で損なう大きな要因となります。
仮に一度でも情報漏洩やなりすまし被害が発生すれば、「このサイトは安全ではない」との印象が広がり、既存の顧客が離れていくだけなく、新規顧客の獲得にも大きな影響を及ぼします。
近年では特に、SNSやレビューサイトなどを通じて、顧客の声が即座に拡散されるため、セキュリティ事故が社会的信用の損失につながりやすいです。
ブランド価値は、商品やサービスの質だけでなく、顧客データをどう守るかという姿勢でも評価されます。
顧客に「安心して利用できるサイト」と認識してもらえるよう、ECサイト運用においては信頼を築く努力が欠かせません。
経済的な機会損失を防ぐため
経済的な損失を防ぐためにも、ECサイトのセキュリティ対策は必要不可欠です。
ECサイトにおいてセキュリティ事故が発生した場合、その経済的損失は非常に大きなものとなります。
実際に、サイトの一時閉鎖による平均売上損失は1社あたり約5,700万円、事故対応費用も平均で約2,400万円にのぼるとの調査結果も出ています。
さらに、被害原因の調査や顧客への補償、広報対応などにも多大なコストが発生しがちです。
こうしたリスクの認識が乏しいまま運営を続けていると、攻撃を受けた際に取り返しのつかない損失を被ることになります。
経営資源の無駄な流出を防ぐためにも、セキュリティ対策は重要な投資です。
参照：IPA「ECサイト構築・運用セキュリティガイドライン」
最新テクノロジーも活用したセキュリティ対策８選
ECサイトを安全に運営するには、最新テクノロジーを取り入れた多層的なセキュリティ対策が不可欠です。
ここでは、実践的かつ効果的な8つのセキュリティ対策を紹介します。
・システムやアプリを最新状態に保つ
・管理画面へのアクセスを制限する
・SSLに対応する
・不正アクセスを検知するサービスやソフトを使う
・定期的にバックアップを行う
・セキュリティに関するルールを設ける
・セキュリティ教育を実施する
・定期的に脆弱性診断をする
システムやアプリを最新状態に保つ
ECサイトのセキュリティを維持するためには、システムやアプリを常に最新の状態に保つことが基本中の基本です。
古いバージョンのソフトウェアには、既知の脆弱性が放置されていることがあり、悪意のある第三者にとって格好の攻撃対象となります。
特に、CMS（コンテンツ管理システム）やプラグインは更新頻度が高く、セキュリティパッチが公開されたタイミングで即時対応することが重要です。
自動アップデート機能を活用すれば、手動による更新の手間を省きながら、セキュリティを強化できます。
運営者自身で対応が難しい場合は、外部の保守業者に依頼するなどして、常に最新の環境を保つ仕組みを整えましょう。
株式会社GeNEEでは脆弱性診断やセキュリティ監査、ペネトレーションテストにも対応しているため、ご相談ある方は下記から遠慮なくご相談いただけたらと思います。
管理画面へのアクセスを制限する
管理画面へのアクセスを制限することも、ECサイトを安全に運営するために必要なセキュリティ対策の1つです。
ECサイトの中でも管理画面は特に重要な情報が集まる場所であり、外部からの不正アクセスを防ぐためにアクセス制限が欠かせません。
具体的には、IPアドレスによる制限をかけることで、特定のネットワークからしかログインできないようにする方法が効果的です。
また、管理画面のURLを初期設定のまま使用していると、第三者に狙われやすくなるため、URLの変更も検討しましょう。
さらに、ログインには多要素認証を導入し、パスワードの漏洩だけでは突破できない仕組みを構築することも大切です。
こうした対策を組み合わせ、管理画面のセキュリティをしっかり強化しましょう。
SSLに対応する
ユーザーが安心して利用できるECサイトを運営するには、SSLに対応する必要があります。
SSL（Secure Sockets Layer）とは、ユーザーとサーバー間の通信を暗号化し、第三者による情報の盗み見や改ざんを防ぐ技術のこと。
特に、ECサイトでは、氏名や住所、クレジットカード情報などの大切な個人データを扱うため、SSL化は不可欠なセキュリティ対策です。
SSLに対応しているサイトはURLが「https」から始まり、ユーザーに安心感を与えることにもつながります。
こうしたセキュリティ対策をコストを抑えて実現したい場合におすすめなのが、HostingerというWebホスティングサービスです。
Hostingerのレンタルサーバーでは、無料のSSL証明書が標準搭載されており、追加費用なしでサイトの暗号化が可能です。
また、有害なファイルを積極的に検知して削除するマルウェアスキャナーや、CDN機能によるIP・国別のアクセス制御も利用でき、包括的なセキュリティ対策を実現できます。
コストをかけずにECサイトのセキュリティ対策を向上させたい場合には、無料でSSLを導入できるレンタルサーバーを活用しましょう。
不正アクセスを検知するサービスやソフトウェアを使う
サイバー攻撃の巧妙化にともない、不正アクセスを事前に検知し、迅速に対応するツールの活用も欠かせません。
侵入検知システム（IDS）やWebアプリケーションファイアウォール（WAF）は、ECサイトに対する異常なアクセスや不審な通信をリアルタイムで検知し、管理者にアラートを発します。
近年では、AIを活用したセキュリティソフトも登場し、過去の攻撃パターンを学習しながら、高度な攻撃に自動対応できる仕組みも。
こういったツールを活用することで、目に見えないリスクからサイトを守る体制を整えることが可能です。
自社に最適なツールを導入し、セキュリティ被害の未然防止に努めましょう。
定期的にバックアップを行う
ECサイトのセキュリティ対策の一環として、定期的にバックアップを行うことが大切です。
万が一、サイバー攻撃やシステム障害が発生しても、バックアップを定期的に取得していれば迅速に回復できます。
ECサイトにおいては、商品情報や注文履歴、顧客データなど、多くの重要情報が保管されているため、定期的なバックアップは必須です。
バックアップは自動化しておくと手間がかからず、うっかり忘れるリスクも回避できます。
さらに、バックアップデータは本番環境とは別の場所に保管するのが望ましく、クラウドストレージの活用も有効です。
セキュリティはもちろん、事業継続性の観点からも、バックアップ体制の整備は欠かせません。
セキュリティに関するルールを設ける
セキュリティ対策はテクノロジーやツールの活用だけでなく、組織全体の意識づけも重要です。
たとえば、パスワードの取り扱いやアクセス制限の設定、ファイルの共有方法など、具体的なルールを設けることで、従業員の行動を一定の基準で管理できます。
これにより、人的ミスや内部不正のリスクを抑えることが可能に。
また、ルールは一度作って終わりではなく、定期的に見直し、現場に即した内容へ更新していくことが大切です。
ルールを守ることの重要性を社内全体に周知し、運用の定着を図ることは、健全なECサイト運営につながります。
セキュリティ教育を実施する
ECサイトの安全を守るには、従業員一人ひとりのセキュリティリテラシー向上も欠かせません。
中には、従業員が社内ネットワークから無断で外部サービスにアクセスしてしまったり、フィッシングメールに騙されてパスワードを入力してしまったりする事例も。
こうしたヒューマンエラーを防ぐには、定期的なセキュリティ教育の実施が有効です。
最新の脅威や攻撃手法を学ぶ場を設けることで、危機意識を高められます。
また、実際に起こり得るシナリオを用いた演習を取り入れると、理解度が深まり、実務への応用力も養えるでしょう。
社内全体でセキュリティ意識を共有することは、被害を未然に防ぐ第一歩です。
定期的に脆弱性診断をする
定期的に外部の専門機関による脆弱性診断やセキュリティ監査をすることは、ECサイトのセキュリティ対策として非常に有効です。
脆弱性診断とは、ECサイトに潜むセキュリティホールやリスクを洗い出し、事前に対策を講じるためのプロセスのこと。
診断では、専用のツールを用いてシステム全体をスキャンし、攻撃者が悪用できそうな箇所を特定します。
特に、カスタマイズした独自機能やAPIなどで外部データ連携を行っている場合は、予期せぬ脆弱性が発見されることも少なくありません。
診断結果をレポートで確認し、優先度に応じた対応策を講じることで、実効性の高いセキュリティ対策が可能となります。
脆弱性診断は一度実施して終わりではなく、システム更新や機能追加のたびに定期的に行うことで、常に安全な状態を保てるでしょう。
まとめ
今回は、ECサイトで起こり得るセキュリティトラブルの実例と、最新テクノロジーを活用した対策方法について紹介しました。
サーバー攻撃の手口は日々巧妙化しており、被害を未然に防ぐには会社一丸となって備えることが欠かせません。
Hostingerのように、SSLやマルウェア対策、CDNによるアクセス制御といった機能が標準で備わっているサービスを活用することで、専門知識がなくても安心してセキュリティを強化できます。
安全なECサイト運営を続けるために、今日からできる対策を1つずつ実践していきましょう。
-
GeNEEの開発実績製造業、小売業、流通業、印刷・出版業など、業界別のベストプラクティスを保持しています。
弊社の開発実績にご関心のある方はこちら一部公開可能な事例を掲載中
-
GeNEEの事業内容現在、6事業を展開しております。お客様の状況や目標に合わせて、FITするソリューションを提供いたします
6事業の詳細はこちら
-
弊社主催セミナー最大月に1回のセミナーを開催しております。毎回30名以上の方にご出席いただいております。
テック系のセミナーにご興味ある方はこちら月に1回テック系セミナー開催中
-
オウンドメディアGeNEE は技術に関する情報発信を積極的に行っています。 弊社のお客様だけでなく、業界全体に貢献のできる品質の高い情報提供を心掛けています。
最先端テクノロジーの情報配信中
-
GeNEEの会社概要ビジネスxテクノロジーxデザインの三位一体で、お客様の課題を解決する独自のアプローチをご紹介
創業から15年の実績
-
GeNEEの5つの特徴なぜGeNEEはコンサルティングやシステム開発のプロジェクト成功率が高いのか。
競合他社との違いや優位性についてまとめております。GeNEEの5つの特徴
-
GeNEEへのお問い合わせDX/ITコンサルティングのご依頼やシステム開発・スマホアプリ開発のご相談はこちらのフォームからお願いいたします
お問い合わせフォームはこちら
-
GeNEEの資料をダウンロードご希望の会社様にGeNEEのパンフレットをお送りしております。
ITベンダーとの繋がりをお探しの方は是非お気軽にリクエストください。資料ダウンロードはこちら
取締役
大阪大学工学部、大阪大学大学院情報科学研究科修了。
国内最大手IT企業の株式会社NTTデータで大手金融機関向けに債権書類電子化システム、金融規制・法規制対応システムの要件定義・インフラ設計・開発・構築・複数金融サービスのAPI連携等を手がける。その後、株式会社GeNEEの取締役に就任。
基本情報技術者試験、応用情報技術者試験、Oracle Master Platinum等多数
