TSUKU TSUKU：「ツクツク!!!」の決済画面が改ざんされ、カード情報19,115件が漏えいした可能性

2025年9月4日、カード会社が「ツクツク!!!」で使われたカード情報の不正利用の懸念を検知し、決済代行会社を通じて連絡した。TSUKU TSUKUは9月9日に事態を把握してカード決済を止め、9月11日に個人情報保護委員会へ報告、12日に警察に相談した。 [1] [3]

外部機関のフォレンジック調査の結果を2026年10月26日に公表した。把握から1年以上かかった理由について、対象カードの確認やカード会社との調整、案内と問い合わせ体制の準備に想定以上の時間がかかったと説明している。 [1] [2] [4]

システムの脆弱性を突かれ、通販サイトとウェブチケットサイトの一部ページに不正なプログラムが埋め込まれた。2025年5月10日から9月9日にカードを新規登録した19,115件のカード名義人、番号、有効期限、セキュリティコードが外部に送られた可能性が極めて高い。 [1] [3] [2]

別に、登録者の個人情報362,750件（氏名、生年月日、住所、電話番号、性別、メールアドレス、ログインIDとパスワード、配送先、職業など）も漏えいを否定できないとした。こちらは外部へ送られた痕跡は見つかっていない。 [1] [3]

不正なプログラムを除去して脆弱性を修正し、対象者にメールで個別に連絡する。カード会社と取引を監視し、カード差し替えの手数料が利用者負担にならないよう依頼した。利用者にはカード明細の確認と、同じパスワードを使う他のサービスも含めたパスワード変更を勧めている。一部ブランドのカード決済は止めたまま。 [1] [3]