原因一部公表 不正アクセス情報の漏えい不正利用なりすましメールの送信

WASABI SWITCHに不正アクセス、店舗の注文情報が流出し購入者に偽の返金メールが届く

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
WASABI INC.のWASABI SWITCH（旧 WORLD SWITCH・ネットショップ向け受注・出品管理システム）で、不正アクセス・情報の漏えい・不正利用・なりすましメールの送信。
いつ
2026年10月16日に公表（発生・発覚は2026年10月14日）。
原因
一部公表：ソフトウェアの脆弱性・ID・パスワードの悪用。
影響
ご利用店舗および購入者の情報、未公表（漏えい確認）。

原因

原因一部公表 ソフトウェアの脆弱性ID・パスワードの悪用

公式の発表での原因
10月14日の不正アクセスは、原因となった脆弱性を修正済みとしている。10月16日・17日の別経路の不正アクセスは、流出した管理者パスワードで店舗の管理画面にログインされ、管理画面の機能を悪用して不正なプログラムが設置された。
侵入の入り口
システムの脆弱性（10月14日分）／流出した管理者パスワードによる店舗の管理画面へのログイン（10月16日・17日分）

影響

人数・件数
未公表（ご利用店舗および購入者）
情報の種類
注文情報、メールアカウント情報
漏えい
漏えい確認
サービスの停止など
10月16日18:00に、不正利用を防ぐため全アカウントを一時的に非稼働にした（所要約1分）。再開には、店舗がサポート担当に連絡してアカウントを稼働に戻してもらい、パスワードを変更する必要がある。
二次被害
購入者に、実際の注文内容を記載した「返金手続き」を装うメールが届き、LINEへの連絡が促された。また、店舗の正式なメールアドレスから、返信を装ったリンク付きの不審なメールが送信されている。

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • WASABI SWITCHの「SMTP認証パスワード」と同じパスワードを、利用しているメールサービス側で変更する
  • すぐに変更できない場合は、WASABI SWITCHのメールアカウント管理で登録パスワードを別の適当な文字列に変更する
  • 暗号化対応が完了するまで、新しいパスワードをWASABI SWITCHに登録しない
  • メールの送信履歴に身に覚えのない送信や、自動転送の設定の追加・変更がないか確認し、不審な点があればサポート部に連絡する
  • 全アカウント非稼働後は、稼働に戻したアカウントのパスワードをそれぞれ変更する

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ソフトウェアの脆弱性

  • 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
  • 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
  • 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
  • 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

ID・パスワードの悪用

  • ログインの失敗の回数に上限を設ける（同じアカウント・同じ接続元からの続けての失敗）
  • 新しいパスワードを、よく使われるもの・漏えいが知られているものと照らし合わせて断る
  • 管理者や、権限の大きいアカウントには 2段階認証を必須にする
  • ふだんと違うログイン（新しい端末・国）を記録し、本人に知らせる

根拠の資料：NIST SP 800-63B（認証の指針）／OWASP ASVS

経過

  1. 第三者がWASABI SWITCHのシステムに不正アクセスし、不正なプログラムが設置され、情報が流出した。 ［出典s1］

  2. 店舗から、購入者に不審なメールが届いているとの連絡があり、調査の結果、流出が判明した。 ［出典s1］

  3. 第一報を公表。10月14日分は侵入経路の遮断とマルウェア削除を完了。同日午前4時頃に別の原因による不正アクセスも確認した。 ［出典s1］

  4. 第二報を公表。調査中に本来非稼働のアカウントの一部が稼働状態だと分かり、18:00に全アカウントを一時非稼働にすると案内した。 ［出典s2］

  5. 第三報を公表。流出した管理者パスワードによる別経路の不正ログインと、注文データ・メールアカウント情報の抜き取りを確認し、パスワード変更を依頼した。 ［出典s3］

出典（公式の発表）

  1. ［s1］WASABI SWITCH「【重要・第一報】WASABI SWITCHへの不正アクセスによる情報流出に関するお詫びとご報告」（2026年10月16日）
  2. ［s2］WASABI SWITCH「【重要・第二報】WASABI SWITCH全アカウントの一時非稼働とパスワード変更のお願い」（2026年10月16日）
  3. ［s3］WASABI SWITCH「【緊急・第三報】メールアカウントのパスワード変更のお願い」（2026年10月17日）

この内容は2026年10月18日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

ソフトウェアの脆弱性の事件をすべて見る → ID・パスワードの悪用の事件をすべて見る →