WASABI SWITCHの情報漏えい、漏れた注文情報で何をされるのかまとめました

2026年10月16日、株式会社ワサビは、同社が提供する「WASABI SWITCH」のシステムに10月14日に第三者による不正アクセスがあり、利用店舗の注文情報などが外部に流出していたことが判明したと公表しました[1]。件数や項目の詳しい範囲は調査中としていて、10月19日夕方の追記の時点でも、公開のお知らせには示されていません[6][7]。カード情報などの扱いについても公表文には書かれておらず、「注文情報だけなら安心」とは言い切れません。

WASABI SWITCHは、中古品を扱う店舗が複数のECモールへの出品・受注・在庫をまとめて管理するためのシステムです[9]。被害は、店舗から商品を買った「購入者」と、システムを使う「店舗」の両方に及んでいます。この記事では「自分の注文情報で何をされるのか」と「会社としてどこから手を打つか」の2つに答えるため、公開情報をもとに整理しました。事故の経緯は短くとどめます。

この記事の要点

• 購入者には、実際の注文内容が書かれた「返金」を装う連絡が届いています。LINEへ誘導されても応じないことが大切です。
• 店舗の正式なメールアドレスから不審なメールが送られた例も公表されています。送り主が本物に見えても、内容で判断する必要があります。
• 会社側がまず見直したいのは、管理画面のログインの確認方法と、確認の手段にメールだけを使っていないかです。

なお、本記事は公表文や公式マニュアルなど公開情報だけをもとにしています。管理画面などを実際に試す調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

連携先のフューチャーショップは、この情報漏えいを受けて発行済みのAPIキーをすべて停止し、連携が止まっています[4]。

漏れた情報で、何ができてしまうか

購入者に届いた不審なメールには、注文日時・商品名・金額・届け先といった実際の注文情報が書かれ、「品切れのため返金する」としてLINEへの連絡を促していたとされています[2]。同社は、流出した情報が悪用されたものと考えているとしています[1]。

注意したいのは、今回の流出がシステム会社1社にとどまらず、それを使う店舗、さらにその店舗で買った人へと連鎖している点です。購入者から見れば「知らない会社の事故」で、自分の注文情報が使われています。

このサービスで認証が使われる場所

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。

会社がまず見直すとよい所（優先順）

続報では、パスワードの強制変更とメールアドレスによる2段階認証の設定が示されました[7]。認証の観点からは、次の順で見直すことが考えられます。

1. 2段階認証のコードを受け取る先を確かめる。今回は店舗のメールアカウントの情報が抜き取られています[5]。2段階認証の確認コードは登録されているメールアドレスに届くため、同社もメールアカウントのパスワード変更をあわせて求めています[7]。もし認証コードを受け取るメールアドレスが、パスワードを変える前のメールアカウントと同じなら、コードも盗み見られるおそれが残ります。メールだけに頼らない確認を組み合わせることが考えられます。
2. アカウントの再開と仮パスワードの受け渡しで、本人確認を一段足す。多くの店舗が一度に再開を求める今は[3]、店舗を装った依頼が紛れ込みやすい時期です。チャットの相手が本当にその店舗の人かを、別の手段で確かめる運用が考えられます。
3. 購入者への案内を、店舗と一緒に出す。購入者に届く連絡は、店舗の正式なアドレスから来る場合もあります[5]。「返金のためにLINEへ誘導することはない」と店舗から伝えてもらうことが、被害を止める近道です。

認証の観点から：パスワードを変えても「受け取る先」が同じなら

今回の連鎖は、「知っている情報」だけで次の扉が開いてしまう構造から生まれています。管理者パスワードが漏れれば管理画面に、メールのパスワードが漏れれば正式なアドレスに、と順に入られていきました。

そこで分けて考えたいのは、「情報を知っていること」と「その人の端末や回線を実際に持っていること」は別物だという点です。SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[10]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

管理画面のログインを止めずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら