「ツクツク!!!」でセキュリティコードまで約2万件。入力画面に仕込まれ、発表は1年以上あと

• ECモール「ツクツク!!!」を運営するTSUKU TSUKUが10月26日、2025年5月10日〜9月9日にカードを新規登録した1万9115件のカード情報が漏れた可能性が極めて高いと発表した。カード番号、有効期限、セキュリティコードまで含まれる
• 原因は、システムの脆弱性を突かれ、通販サイトやWebチケットサイトの一部のページに不正なプログラムを埋め込まれたこと。入力したカード情報が、その場で外に送られていた
• カード会社の検知で分かったのは2025年9月。発表は1年以上あとだった。該当期間にカードを登録した人は、明細の確認とカードの差し替えを

発表されたこと

報道と、発表を要約したポイ探ニュースによると、内容は次のとおり。

発表が1年以上遅れた理由について、同社は、利用者への案内の方法やカードの再発行の対応などで「関係各所との確認・調整に想定以上の時間を要した」と説明していると報じられている。

対象になりうる人がやること

1. カードの明細を確かめる。2025年9月以降の分も含めて、覚えのない請求がないか
2. カードを差し替える。楽天カードは、案内を受けた会員に番号を変える作り直しを求めており、手数料はかからないとしている。ほかのカード会社も、カードの裏の番号に問い合わせる
3. ツクツク!!!のパスワードを変える。ログインパスワードも対象になりうるので、同じパスワードを使っているほかのサービスも変える
4. この件に便乗した「カードの再発行」「返金」をうたう連絡に注意する。カード会社がカード番号の全桁を電話で聞くことはない（楽天カードも明記）

三菱UFJニコスは、本件でカードが不正に使われて被害が出た場合、会員に負担をかけないよう対応するとしている。

カード情報を「持たない」サイトでも防げない

ここが、ECサイトを運営する人にいちばん知ってほしい点だ。

日本のECサイトは、カード番号を自社で持たない「非保持化」が基本になっている。だが今回の手口は、カード番号を入力する画面そのものに不正なプログラムを埋め込み、入力された瞬間に外へ送るものだ。サーバーに保存していなくても、入力画面が改ざんされれば盗まれる。一般に「Webスキミング」と呼ばれる。

カード業界の指針である「クレジットカード・セキュリティガイドライン」6.0版（2025年3月）も、非保持化を中心に対策してきたにもかかわらず、ECサイトの脆弱性対策の不備から、不正アクセスやシステムの改ざんでカード情報が盗まれる事件が起きていると指摘している。そのうえで、EC加盟店に次の「脆弱性対策」を求めている。

1. システムの管理画面へのアクセス制限と、管理者のID・パスワードの管理
2. データのディレクトリが外から見えてしまう設定の不備への対策
3. Webアプリケーションの脆弱性対策
4. マルウェア対策としてのウイルス対策ソフトの導入と運用

筆者からは、もう一つ足したい。決済画面のファイルが書き換えられていないかを見張ることだ。決済に関わるページやJavaScriptのファイルは、変わったらすぐ分かるようにしておく。今回は、カード会社の検知で初めて分かった。自分のサイトの改ざんに、自分で気づける仕組みがあれば、被害の期間は短くできる。

1年以上の遅れについて

ここは筆者の見方だ。カードの再発行や案内の方法の調整が大変なのは分かる。それでも、ログインパスワードまで対象になりうる36万人に、1年以上パスワードの変更を呼びかけられなかったことの影響は小さくない。使い回しのパスワードは、その間ずっとほかのサービスで試されうる。

確定していなくても、「可能性がある。念のためパスワードを変えてほしい」は早く言える。今週の楽天トラベルの件でも、検知から発表まで1か月半あった。確定を待つ発表と、先に身を守ってもらう呼びかけは、分けて考えたい。

まとめ

• 「ツクツク!!!」で、2025年5〜9月にカードを登録した1万9115件の番号・有効期限・セキュリティコードが漏れた可能性が極めて高い。個人情報36万件も否定できず
• 入力画面に不正なプログラム。カードを持たないサイトでも、入力画面の改ざんで盗まれる
• 利用者は明細の確認、カードの差し替え、パスワードの変更
• EC運営者は、管理画面の守り、脆弱性対策、決済画面の改ざんの見張りを

出典

• テレビ朝日系（ANN）「ECモール『ツクツク!!!』 クレカ情報大量漏洩　セキュリティーコード含む約2万件」（2026年10月27日配信）
• ポイ探ニュース「『ツクツク!!!』でクレカ情報1万9115件が漏えいした可能性　セキュリティコードも対象」（2026年10月27日。TSUKU TSUKUの発表の内容）
• 楽天カード「TSUKU TSUKU株式会社『ツクツク!!!』における不正アクセスによるお客様情報流出について」（2026年10月27日。カードの差し替え）
• 三菱UFJニコス「TSUKU TSUKU株式会社のWEBサイト『ツクツク!!!』で個人情報流出の可能性があることについて」（2026年10月26日。不正使用の被害の扱い）
• クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.0版】改訂ポイント」（2025年3月。EC加盟店の脆弱性対策）

本記事は2026年10月27日時点の報道とカード会社の告知に基づく。TSUKU TSUKUの発表の詳細は報道を通して確認した。「決済画面の改ざんの見張り」と「1年以上の遅れについて」は筆者の見方である。