みまもりCUBEで個人情報5400件に漏えいのおそれ 本人確認書類も対象

ラムロックは2026年10月29日、ECサイト「みまもりCUBE」（ramrock-eyes.jp）への不正アクセスについて調査結果を公表しました。個人情報5,400件とクレジットカード情報190件に漏えいのおそれがあり、対象者への個別連絡を始めています。現在の利用者だけでなく、過去に利用を終了した人も通知対象に含まれます。利用明細と個別通知を確認し、同じパスワードを使う別サービスでは変更を進めてください。

今回の対象には、注文時にアップロードした本人確認書類も含まれます。ただし、5,400件すべての流出が確認されたという発表ではありません。ラムロックの調査結果と今後の対応、同社FAQ、UCカードの案内を基に、影響範囲と利用者が確認する点を整理します。

確認された侵入と漏えいのおそれを分ける

同社が個人情報の外部取得の可能性を把握したのは8月7日です。同日の社内調査で不正アクセスと不正プログラムの設置を確認し、システムを停止しました。8月7日に福岡県警察、10日に個人情報保護委員会へ報告しています。8月25日付の初報に続き、10月29日に外部専門機関によるフォレンジック調査と社内調査の結果を案内した経緯です。

調査では、2025年5月14日から2026年8月7日まで、個人情報が不正取得され得る状態だったと分かりました。一方、確認できたログや調査結果から、外部への持ち出しを直接示す確定的な証拠は見つかっていません。複数の痕跡から持ち出しの可能性を否定できないため、同社は「漏えいのおそれがある」ものとして対応しています。

この期間を、そのまま情報送信が続いた期間や、全件の流出確認と読み替えることはできません。原因について同社はECサイトのシステムの一部の脆弱性が突かれたと説明していますが、具体的な製品名やCVE番号は示していません。

本人確認書類とカード情報で対象が異なる

個人情報5,400件の対象項目は、氏名、生年月日、住所、電話番号、メールアドレス、暗号化されたマイページパスワード等と、注文時にアップロードした本人確認書類等です。暗号化の方式や解読の成否は公表されておらず、暗号化されていることだけを理由に影響がないとは判断できません。

クレジットカード情報190件は、2025年5月14日から2026年8月7日までに同サイトでカード決済をした利用者が対象です。項目は名義人名、カード番号、有効期限、セキュリティコード。個人情報とカード情報は別の集計であり、合計を被害人数として扱うことはできません。口座振替の口座情報は当該システムで入力・預かり・保存していないため、対象外とされています。

同社は10月29日からメールによる個別連絡を開始し、不達の場合は書面で順次案内するとしています。保存情報には利用終了者のものも一部含まれるため、解約済みという理由だけでは対象外になりません。自分に該当する情報項目は個別案内で確認する必要があります。

本人確認書類は個別通知とFAQを確認する

ラムロックの公式FAQ（PDF）は、一部の利用者について、マイナンバーカードの個人番号を含む情報や運転免許証画像が不正取得され得る状態だったと説明しています。対象は利用者ごとに異なり、全員の書類が取得されたと確定したものではありません。

同社はマイナンバーカードや運転免許証の一律の再交付を求めていません。FAQでは、個人番号の不正利用が心配な場合は居住地の市区町村、運転免許証について不安がある場合は管轄の警察署や免許センター等へ、再交付などの必要性を相談するよう案内しています。再交付しても、既に第三者が取得した画像そのものが回収・削除されるわけではない点にも注意が必要です。

明細の確認とパスワード変更を進める

ラムロックは、身に覚えのない請求がないかカード利用明細を確認し、不審な請求があれば発行会社へ問い合わせるよう求めています。同社はカード会社と取引のモニタリングを継続中です。カード差し替えを希望する場合の再発行手数料については、顧客負担が生じないようカード会社へ依頼したと説明しており、具体的な手続きは発行会社に確認してください。

UCカードの10月29日付案内も、過去にみまもりCUBEを利用したカード会員へ、明細または「アットユーネット」の最近の利用一覧の確認を求めています。身に覚えのない利用はカード裏面の電話番号へ連絡する案内です。これはUCカードの利用者向けであり、他のカードでは自分の発行会社の窓口を利用します。

パスワードについては、同サイトと同じものを使っている別サービスでの変更が同社の要請です。みまもりCUBE自身のパスワード変更は、システム停止中のため再開時に改めて依頼する予定としています。現在ログインできないからといって、別サービス側の使い回し対策まで再開を待つ必要はありません。

同社や公的機関を装うメール、電話、SMSにも注意してください。公式は、不審な連絡への返信や、個人情報・カード情報の入力を避けるよう求めています。当サイトからの提案として、通知の真偽が分からない場合は、その通知に書かれた誘導先だけに頼らず、公式発表の窓口や手元のカード裏面から問い合わせると確認経路を分けられます。

サイト停止中も解約や支払いの窓口は受け付け

10月29日の発表時点で、ホームページは被害拡大防止と安全確認のため停止中です。ただし、お試しキャンセル・解約の問い合わせや料金の支払いは、コールセンター・メール等で通常どおり受け付けています。復旧は対策の実装と外部確認を終えた後とし、決まり次第案内する方針で、具体的な再開日は示されていません。

同発表では、本件に関連する不正利用等の申告は受けていないと説明しています。これは将来の被害がないという保証ではありません。個別通知の対象項目、明細、不審な契約や連絡を照合し、変化があれば該当する事業者へ相談することが、現時点での具体的な確認になります。

関連記事

別のEC事件で、保存済み情報と決済画面に入力した情報の対象が分かれた例は、グッドスマイル公式ショップの決済ページ改ざんで整理しています。ラムロックで同じ侵入経路が確認されたという意味ではありません。