何が起きたか
ワサビは2026年10月16日、EC一元管理システム「WASABI SWITCH」への第三者の不正アクセスを公表しました。10月14日の侵入で利用店舗の注文情報などが外部に流出したと確認しています。15日には、購入者へ実際の注文情報を記した偽の返金案内メールが届いたと店舗から連絡があり、同社は流出情報が悪用されたとみています。同社の初報
14日の侵入経路は特定・遮断され、不正なプログラムも削除されました。しかし、その後の調査で別経路からの再侵入が判明しました。攻撃者は流出した管理者パスワードで一部店舗の管理画面にログインし、16〜17日に不正なプログラムを設置していました。17日の注文データの一部とメールアカウント情報を抜き取り、店舗の正式なメールアドレスから不審なメールを送ったと同社は確認しています。10月17日の第三報
攻撃経路と影響
同社は、14日の攻撃に使われた脆弱性は修正済みと説明しています。16〜17日の攻撃は、その脆弱性を再び利用したものではなく、流出した管理者パスワードを使った別の経路でした。注文情報や店舗のメールアカウント情報の流出は確認されていますが、影響を受けた店舗・購入者の数や全体の流出範囲は調査中です。第三報、初報
10月16日には、不正利用を防ぐため全アカウントを一時非稼働とし、必要なアカウントの再稼働時にパスワード変更を求めました。第二報
出来事の時系列
| 日時 | 出来事 |
|---|---|
| 2026年10月14日 | WASABI SWITCHに不正アクセス。注文情報などが外部へ流出。 |
| 10月15日 | 利用店舗から、実際の注文情報を記した不審なメールが届いたと連絡。 |
| 10月16日未明 | 別経路から一部店舗の管理画面に不正ログインし、プログラムを設置。 |
| 10月16日 | 初報を公表。全アカウントの一時非稼働を案内。 |
| 10月17日13時25分頃〜15時7分頃 | 複数店舗の管理画面へ不正ログイン。注文データやメールアカウント情報を窃取。 |
| 10月17日・18日 | 第三報を公開・更新し、別経路からの再侵入を説明。 |
利用者が確認できること
WASABI SWITCHを利用する店舗に対し、同社は登録済みメールアカウントのSMTP認証パスワードの変更と、不審な送信履歴や自動転送設定の確認を求めています。購入者は、実際の注文内容を含む連絡でも、返金手続きと称してLINEなどへ誘導するメールに注意が必要です。第三報、初報