島根県物産協会：通販サイト「しまねのふるさと直送便」に不正アクセス、7人のカード情報が見られた可能性

1. 2026-08-13

   15時30分ごろ、しまねのふるさと直送便の基盤のEC-CUBEで使うAmazon Pay連携プラグインの脆弱性を突かれ、不正な管理者アカウントが作られ、決済画面の入力を読み取るファイルが仕込まれた。 [1]

2. 2026-08-14

   プラットフォームの提供会社から連絡を受けたサイトの保守業者が侵入に気付き、不正なアカウントを消してプラグインを無効にした。 [1]

3. 2026-08-15

   10時50分ごろ、仕込まれたファイルを正常なものに差し替えた。 [1]

4. 2026-10-23

   協会が対象の利用者にメールで知らせた。 [1]

5. 2026-11-02

   委託元の島根県が公表した。 [1] [2]

8月13日15時30分ごろから15日10時50分ごろに決済画面へ情報を入力した7人（うち購入まで進んだのは6人）のカード番号、有効期限、名義、セキュリティコードが一時閲覧できる状態だった。外部に送られた通信の記録は見つかっておらず、11月1日時点で不正利用は確認されていない。 [1]

協会は、自らのサイトに直接入力された情報ではないと誤解し、県への報告と利用者への連絡を約2か月怠っていた。 [2]