事案別まとめ／初報 2026/08/21 ／当サイト更新 2026/10/21

いまでや
オンラインストア・実店舗会員

いまでやオンラインストア・実店舗会員は2026年8月21日、不正アクセスなどの外部攻撃による情報の漏えい等を確認したと公表した。最新の続報（10月15日）：Shopify Admin APIアクセストークンが不正に取得・悪用され、注文情報・顧客情報が取得された。

公表された被害・影響規模

非公表（フィッシングメール受信の問い合わせ約30件、カード情報入力2名）

事実概要

同社を装うフィッシングメールに受信者本人の氏名・注文番号・注文金額が正確に記載されており、保有する注文情報が第三者に取得された可能性が高いと判断した。

10月15日Shopify Admin APIアクセストークンが不正に取得・悪用され、注文情報・顧客情報が取得された
10月15日の第2報で、注文履歴管理のために自社で構築したShopify連携アプリのShopify Admin APIアクセストークンが第三者に不正に取得・悪用され、海外IPアドレスからAPI経由でShopify上の注文情報・顧客情報が取得されたと公表した。クレジットカード情報の漏えいがないことを確認した。オンラインストアと新規会員登録は12月上旬に再開する予定。

工程	実施日	公表内容	根拠
復旧	—	オンラインストアと新規会員登録は12月上旬に再開する予定。	公式資料 2026-08-21 公式資料 2026-10-15 公式資料 2026-10-15

2026-08-20
発生・検知・確認の記録
2026/08/20夜不審メールの問い合わせ
公式資料を読む
2026-08-21
公式発表（初報）
同社を装うフィッシングメールに受信者本人の氏名・注文番号・注文金額が正確に記載されており、保有する注文情報が第三者に取得された可能性が高いと判断した。ウェブサイトを一時停止し、PR TIMESで公表。
公式資料を読む
2026-10-15
続報（第2報）
Shopify Admin APIアクセストークンが不正に取得・悪用され、注文情報・顧客情報が取得された
10月15日の第2報で、注文履歴管理のために自社で構築したShopify連携アプリのShopify Admin APIアクセストークンが第三者に不正に取得・悪用され、海外IPアドレスからAPI経由でShopify上の注文情報・顧客情報が取得されたと公表した。クレジットカード情報の漏えいがないことを確認した。オンラインストアと新規会員登録は12月上旬に再開する予定。
公式資料を読む

公表前後の反応、話題の変化、自社・同業他社の露出を確認したい企業の方へ。

調査、再発防止について、必要な支援は運営窓口へお知らせください。