業務用冷凍食品の通販 アクティブ 最大5万4,916件の情報漏えいの可能性、漏れた店名・電話番号・注文情報で何をされるのかまとめました

2026年10月6日、株式会社アクティブは、同社が運営する業務用冷凍食品の通販サイトへの不正アクセスについて公表しました[1]。不正に作られた管理者アカウントを経由して顧客データと受注データが出力された形跡があり、最大54,916件の店名・屋号、住所、電話番号、メールアドレス、受注情報（注文金額、商品コード、届け先住所）が外部に漏えいした可能性があるとしています。クレジットカード情報・銀行口座情報は保持しておらず、ログインパスワードも対象に含まれないとしていますが、それで安心とは言い切れません。

「店名と電話番号と注文の中身で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、このサイトで認証が使われる場所を、公開情報から整理しました。事故の経緯は報道が扱っているため、短くとどめます。

この記事の要点

• 漏れた可能性があるのは、プロ向けの仕入れ先とのやり取りそのものです。店名と連絡先に「何をいくらで買ったか」がそろうと、仕入れ先を名乗る連絡が本物らしく見えます。
• アクティブを名乗るメール・SMS・電話が届いたら、本文のURLを開かず、注文の話でもすぐに応じず、普段の連絡先で確かめるようにしましょう。
• 会社側がまず見直したいのは、管理画面に入る時の確かめ方と、電話番号や郵便番号を「知っていること」で本人と見なす入口です。

なお、本記事は公表文と公式サイトなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

件数は「最大」の値です。外部専門機関の調査はこれからとしており、結果によって内容が変わる可能性があります。

漏れた情報で、何ができてしまうか

このサイトの買い手は、業務用の冷凍食品を仕入れる事業者です。漏れた可能性があるのは個人の買い物の記録というより、「どの店が、どの仕入れ先から、何をいくらで買っているか」という取引の情報です。

同社も、漏れた可能性のあるメールアドレスや電話番号に身に覚えのない連絡が届く可能性があるとして、同社を装ったメール・SMS・電話に注意するよう呼びかけています[1]。仕入れは毎週のように繰り返す取引です。実際の注文を知っている相手からの連絡は疑いにくい、というのが当社の見立てです。

このサイトで認証が使われる場所

公式サイトのログイン画面・申請フォーム・よくあるご質問で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の対応と再発防止策は、脆弱性の修正、WAF、ログ監視など、入り口のWebページを固める内容が中心です[1]。管理者のログインや会員の本人確認など、認証そのものを強める記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 管理画面に入る時と、顧客データをまとめて出力する時に、登録された担当者本人の持ち物で確かめる段を設ける。あわせて、管理者アカウントが新しく作られたら担当者に知らせる仕組みを持つ。不正に作られたアカウントがそのまま使えた点が、今回の被害を大きくしたと読めます。どこまで効くかは管理画面のしくみ次第ですが、検討の価値があります。
2. 電話・FAXの店向けのID発行を、「知っている情報」だけで通さない形にする。電話番号と郵便番号はすでに知られた可能性があり、残る伝票番号も、偽の連絡で「確認のため」と聞き出される可能性があります。
3. 電話で受け付ける手続き（登録情報や支払い方法の変更など）の本人確認を見直し、店側にも「アクティブから支払い方法の変更をお願いする連絡はこの経路だけ」と伝えておく。

認証の観点から：「電話番号を知っている」と「その電話を持っている」は違う

今回の事故で漏れた可能性があるのは、店の電話番号そのものです。電話番号は、本人確認の材料としてよく使われます。ただ、番号を「知っている」ことは、漏えいの後では本人である証拠になりません。

ここで分けて考えたいのは、「電話番号を知っていること」と「その電話回線を実際に持っていること」は別物だという点です。前者は、漏えいや偽の連絡で第三者に移る可能性があります。後者は、番号が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただ、送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[7]。また米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[8]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

管理画面のログインや、ID発行・登録情報の変更に「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら