DHCで会員情報5,096アカウントを書き換え｜不審な注文27件も確認

DHCは2026年10月30日、公式オンラインショップで第三者による不正アクセスと会員情報の書き換えを確認したと公表しました。対象は5,096アカウントです。該当利用者には個別連絡を予定しており、利用者は心当たりのない連絡に記載されたリンクや添付ファイルを開かず、個人情報やパスワードを伝えないよう注意してください。

本稿はDHCの10月30日付公式発表に基づき、10月31日時点で確認できた被害と対応を整理します。会員情報の変更は確認済みですが、登録情報すべての外部持ち出しが確認されたという発表ではありません。

確認したのは10月28日 公表は10月30日

DHCが不正アクセスと書き換えを把握した日は10月28日です。調査では既存会員情報の変更に加え、新規会員登録と注文の不正操作も判明しました。公表日と確認日を、攻撃の開始日として読み替えることはできません。攻撃が続いていた期間の詳細は発表から確定しません。

同社は原因となったシステムの脆弱性を特定して対処したと説明しています。ただし、不正アクセスの詳しい内容は被害拡大防止のため開示を控えています。製品名、CVE番号、認証情報の入手方法などは示されておらず、パスワードの使い回しや特定ソフトウェアを原因と断定する根拠はありません。

5,096アカウントと住所最大5,520件の違い

情報の書き換えが確認されたのは5,096アカウントで、そこに登録された届け先住所の合計が最大5,520件です。一人のアカウントに複数の届け先があるため、二つの数字は集計単位が異なります。5,520人が被害を受けた、または住所5,520件がすべて変更されたという意味ではありません。

このほか、不審な注文は27件、不正な新規会員登録は71件です。これらを会員情報の書き換え件数に足して被害人数を計算することもできません。DHCは、改ざんされた情報の復元、不審注文のキャンセル、不正な新規登録の取消しを実施したとしています。

購入履歴とカード番号下4桁も閲覧された可能性

書き換えられたアカウントでは、会員番号、本人を含む届け先の氏名・住所・電話番号、購入履歴、クレジットカード番号下4桁が第三者に閲覧された可能性があります。届け先には会員本人以外の情報も含まれ得るため、会員数だけで情報の対象を判断しないことが必要です。

DHCはカード番号全桁を保持していないと説明しています。今回の対象項目を、決済に必要なカード情報一式の漏えいと広げて伝えないようにします。また、情報を外部へ持ち出した形跡や、本件に起因すると考えられる不正利用・二次被害は公表時点で確認していないとしています。これは、閲覧の可能性が否定されたという説明ではありません。

利用者は公式案内と自分の記録を照合する

公式発表が求めているのは、DHCを装うメール、SMS、電話への警戒です。心当たりのない連絡をきっかけに、リンク先でパスワードを入力したり、電話で個人情報を答えたりしないようにしてください。今回の公表には、全会員に対する一律のパスワード変更指示は記載されていません。

ここからは本サイトの提案です。オンラインショップの登録先や注文に不審な点がある場合は、普段利用する公式サイトから確認し、自分の注文控えや通知と照合します。問い合わせでは、確認した日時や心当たりのない変更を整理すると説明しやすくなります。第三者から届いた連絡先を、そのまま正規窓口と信じないことも大切です。

配送や注文を知っているような連絡でも、正当な相手である証明にはなりません。閲覧された可能性のある項目を考えると、返金や配送確認を口実に追加情報を求める連絡にも注意が必要です。これは本サイトが挙げる想定例であり、今回そのような二次被害が発生したと確認されたものではありません。

専用窓口は11月4日開設予定

問い合わせ専用ダイヤルは11月4日午前9時に開設予定です。10月31日時点では、すでに利用できる窓口として案内しません。公式発表には既存のお客様相談室も掲載され、11月1日・3日は例外的に受付するとしています。電話番号と受付時間は公式PDFの末尾を確認してください。

DHCは不正アクセス元の通信遮断、不正登録アカウントの無効化、脆弱性への対処を実施し、個人情報保護委員会にも報告しています。今後も外部専門家や関係機関と連携して監視を続け、新たな公表事項が判明した場合は知らせる方針です。

EC運営者にとっては、情報の流出だけでなく、会員データの変更と注文処理への影響を分けて把握する必要がある事例です。本件の侵入経路を推測して対策を決めるのではなく、自社の事故対応でも変更対象、注文の取消し、復元結果、利用者への通知をそれぞれ記録できるか確認することを提案します。