30秒で分かる結論
RIZAP株式会社(東京都新宿区)は2026年8月10日、同社が運営するスポーツ・アウトドア用品の通販サイト「APORITOオンラインストア」が第三者による不正アクセスを受け、利用者の個人情報とクレジットカード情報が外部へ流出した可能性があると公表しました。第三者がサイトのシステム内に悪意のある不正スクリプトを設置していたもので、同社は2026年8月5日にシステム内で不審な外部送信プログラムを発見し、同日午後3時30分からサイトを一時閉鎖しました。流出した可能性があるのは、2026年5月1日から8月5日までの間に同ストアで注文または情報を入力した利用者の氏名・住所・電話番号・メールアドレスと、クレジットカード番号・有効期限・セキュリティコードです。クレジットカード情報が流出した可能性のある利用者には、8月8日付で個別にメールで連絡したとしています。RIZAPは、現時点で情報の不正利用や実際の漏えいの事実は確認されていないとしつつ、個人情報保護委員会への報告や警察への相談を進めています。
まず初めに
結論から言う。クレジットカードの番号どころか、本来ネットショップ側に残してはいけない「セキュリティコード」まで一緒に持っていかれた可能性があるというのだから、これは軽い話ではない。3か月分の注文データが不正スクリプトに横流しされていたとすれば、その間ずっと気づかなかったということでもある。同じRIZAPグループでは、今週すでに書店チェーン運営会社のランサムウェア被害も明らかになったばかり。どちらも「不正アクセス」という同じ言葉でくくられがちだが、今回はカード番号とセキュリティコードという、より直接的にお財布へ響く中身である。※個人の感想です
何が起きているのか
RIZAP株式会社は、フィットネスジムなどで知られるRIZAPグループの中核企業で、スポーツ用品・アウトドア用品を扱う通販サイト「APORITO(アポリト)オンラインストア」を自社で直接運営しています。
同社によると、2026年8月5日、サイトのシステム内で不審な外部送信プログラムを発見しました。調査の結果、第三者がサイトに悪意のある不正スクリプトを設置し、利用者が入力した情報を外部へ送信していた可能性があることが判明しました。RIZAPは発見当日の午後3時30分からサイトを一時閉鎖し、8月10日に公式サイトで経緯を公表しています。
ネットショップの「不正スクリプト」は、レジ横に隠しカメラを仕込まれるような話だと考えると分かりやすい。買い物客は普段どおり会計しているつもりでも、その裏で入力内容がそっくり盗み見られている。
流出の可能性がある情報は、2026年5月1日から8月5日までの間に「APORITOオンラインストア」で注文したり、会員情報を入力したりした利用者の氏名・住所・電話番号・メールアドレスに加え、クレジットカード番号・有効期限・セキュリティコード(カード裏面の3桁の番号)です。RIZAPは、クレジットカード情報が流出した可能性のある利用者に対しては、8月8日付で個別にメールで連絡したとしています。現時点で、情報の不正利用や実際の漏えいが確認された事実はないとしていますが、その可能性を完全には否定していません。RIZAPは個人情報保護委員会への速報を行ったほか、警察等の関係機関への相談も進めています。
なお、RIZAPグループの傘下では、同時期に別会社REXT株式会社が運営する書店・CDショップ「WonderGOO」「新星堂」などでもランサムウェアによる不正アクセス被害が公表されています(IT Postは2026年8月16日朝刊で既報)。両者は同じRIZAPグループに属しますが、運営会社・攻撃手口(不正スクリプトによる情報窃取とランサムウェア)がいずれも異なる別の事案です。
なぜ重要なのか
今回の事案が重要なのは、流出した可能性がある情報に、クレジットカード番号だけでなくセキュリティコード(カード裏面に印字された3桁の番号)まで含まれている点です。セキュリティコードは、オンラインでのカード利用時に本人確認の役割を果たす情報で、本来はEC事業者側が決済処理後に保存してはいけないとされています。この情報が外部へ流出した可能性があるということは、不正利用につながるリスクが特に高いことを意味します。
また、対象期間が2026年5月1日から8月5日までの約3か月間と長期にわたっている点も見過ごせません。この間、サイトを通常どおり利用していた利用者は、気づかないまま情報を窃取され続けていた可能性があります。ネットショップの決済画面に不正なプログラムを仕込み、入力情報をそのまま外部へ送信させる手口は、海外では「Webスキミング」(フォームジャッキングとも呼ばれる)として知られており、今回の事案もこれに類する手口とみられます。
私たちへの影響
2026年5月1日から8月5日の間に「APORITOオンラインストア」で注文したり、会員情報を入力したりしたことがある方は、クレジットカードの利用明細を確認し、身に覚えのない請求がないかチェックすることをおすすめします。不審な請求があった場合は、速やかにカード発行会社へ連絡してください。
RIZAPからカード情報流出の可能性について個別のメール連絡を受けた方は、案内に従ってカードの利用停止・再発行などの手続きを進めることが大切です。身に覚えのないメールやSMSで、カード情報や個人情報の再入力を求めるような連絡が来た場合は、それ自体が別の詐欺(フィッシング)である可能性もあるため、リンクを不用意に開かず、公式サイトや利用しているクレジットカード会社へ直接問い合わせて真偽を確かめてください。
初心者が知っておくべきこと
「セキュリティコード」とは、クレジットカードの裏面(一部ブランドは表面)に印字された3桁または4桁の番号で、オンラインでの決済時に、そのカードを実際に手元に持っている本人であることを確認するために使われます。カード番号と有効期限に加えてこの番号まで流出すると、第三者がオンラインで不正利用しやすくなるため、通常、EC事業者は決済完了後にこの番号を保存しないルールになっています。
「Webスキミング」とは、ネットショップの決済画面などに悪意のあるプログラム(スクリプト)を第三者が密かに仕込み、利用者が入力したクレジットカード情報などをリアルタイムで外部へ盗み出す攻撃手口です。サイトの見た目は通常どおりのため、利用者はもちろん、運営者側もすぐには気づきにくいという特徴があります。
よくある質問
Q. 「APORITOオンラインストア」を利用したことがありますが、自分の情報が対象かどうかはどう確認できますか? A. RIZAPは、クレジットカード情報が流出した可能性のある利用者には8月8日付で個別にメールで連絡したとしています。該当の連絡が届いていない場合でも、対象期間(5月1日〜8月5日)に注文・情報入力をしたことがある方は、念のためカードの利用明細を確認することをおすすめします。
Q. すでにカード情報が不正利用された事実はあるのでしょうか? A. RIZAPは、公表時点で情報の不正利用や実際の漏えいが確認された事実はないとしています。ただし可能性を完全には否定していないため、利用明細のこまめな確認が推奨されます。
IT Postの見方
IT Postでは、決済処理が完了した後もセキュリティコードのような情報がシステム内に残り、外部へ流出しうる状態にあったこと自体が、EC事業者側のセキュリティ対策の重大な穴だったと考えます。セキュリティコードを保存しないというルールは、クレジットカード業界では広く知られた基本原則であり、それが3か月にわたって守られていなかった疑いがあるとすれば、利用者の信頼を裏切る話です。
IT Postでは、通販サイトを運営する事業者には、決済に関わる情報を必要最小限しか保持しない設計と、外部からの改ざんをすばやく検知できる仕組みの両方が最低限求められると考えます。便利なネットショッピングを支えているのは、こうした地味な安全対策の積み重ねであるはずです。※個人の感想です
今後どうなりそうか
RIZAPは今後、調査の進捗に応じて被害の範囲や原因、再発防止策を明らかにしていくとみられます。個人情報保護委員会への正式な報告内容や、対象となる利用者への追加の案内が行われるかどうかも今後の焦点です。IT Postでは、続報が確認され次第あらためて取り上げます。
