ツクツク!!!でカード情報約1万9千件が漏えいか――発覚から公表まで412日、利用者への説明はなぜ遅れたのか

ネットショッピングでクレジットカードを使う。その何気ない行為に、どれほどの危険が潜んでいるのでしょうか。

2026年10月26日、ECモール「ツクツク!!!」を運営するTSUKU TSUKU株式会社が、第三者による不正アクセスと顧客情報の漏えいの可能性について公表しました。

漏えいした可能性が極めて高いとされたクレジットカード情報は19,115件。カード番号や有効期限だけでなく、セキュリティコードも対象に含まれています。

さらに、氏名や住所、ログインパスワードなどを含む個人情報362,750件についても、漏えいの可能性を完全には否定できないとしています。

しかし、今回の事件でもう一つ見逃せないのは、その公表時期です。

運営会社が問題を認識したのは2025年9月9日。詳細な調査結果を公表したのは、それから412日後の2026年10月26日でした。

カード決済の停止や関係機関への報告は早期に行われています。それでも、利用者への詳しい説明に1年以上を要した理由は何だったのでしょうか。

公式発表をもとに、事件の経緯と残された問題を検証します。

ツクツク!!!で何が起きたのか

ツクツク!!!は、物販やウェブチケットなどを扱うECモールです。

同社が公表した調査結果によると、第三者がシステムの一部に存在した脆弱性を悪用し、通販サイトやウェブチケットサイトの一部ページに不正なプログラムを埋め込んでいました。

このプログラムによって、利用者が入力したクレジットカード情報が外部へ転送されていた痕跡が確認されています。

対象となるのは、2025年5月10日から9月9日までに、ツクツク!!!でクレジットカードの新規登録処理を行った際の情報です。

漏えいの可能性がある情報

公式発表では、対象情報を次の2種類に分けています。

クレジットカード情報には、カード名義人、カード番号、有効期限、セキュリティコードが含まれます。

一方、その他の個人情報には、氏名、生年月日、住所、電話番号、メールアドレス、ログインID、ログインパスワード、配送先情報などが含まれます。

ただし、ここは区別して理解する必要があります。

カード情報については外部転送の痕跡が確認されていますが、その他の個人情報については外部転送の痕跡が確認されていません。

また、19,115件と362,750件を単純に合計して、その人数の情報が流出したと断定することもできません。

実際の不正利用件数や被害総額についても、今回確認できた公表資料だけでは明らかになっていません。

カードのセキュリティコードまで対象になった深刻さ

今回の事件で特に注意したいのは、カードのセキュリティコードまで漏えい対象に含まれていることです。

セキュリティコードは、一般にカード裏面などに記載されている数字で、オンライン決済時に入力を求められることがあります。

カード番号、有効期限、セキュリティコードを第三者に取得された場合、不正なオンライン決済に悪用される危険性が高まります。

もちろん、現在は本人認証サービス「3Dセキュア」などを利用する決済もあり、これらの情報だけで必ず決済が成立するわけではありません。

それでも、利用者がカードを手元に持ち続けていても、ネット上で不正利用される可能性がある点は軽視できません。

カード会社による監視に加え、利用者自身も取引明細を確認する必要があります。

発覚から公表まで412日――事件の時系列

運営会社の公式発表を時系列で整理すると、今回の事件で特に注目すべき経緯が見えてきます。

2025年9月9日にはカード決済停止の案内が行われており、運営会社が1年以上にわたって一切の対応をしていなかったわけではありません。

また、行政への報告や警察への相談も確認できます。

したがって、今回の事件を「1年以上隠蔽していた」と断定するのは適切ではないでしょう。

しかし、決済停止の案内と、カード情報が漏えいした可能性について利用者に具体的に伝えることは別の問題です。

自分のカード情報が危険にさらされている可能性を知らなければ、利用者はカードの再発行を検討することも、通常以上に注意して利用明細を確認することも難しくなります。

この412日間に、どのような情報が、いつ、どの範囲の利用者へ伝えられていたのか。

その詳細こそが、今回の企業対応を評価するうえで重要な論点になります。

なぜ公表まで1年以上かかったのか――会社側の説明

TSUKU TSUKU株式会社は、公表が遅れた理由について、公式FAQでも説明しています。

同社によると、外部専門機関による調査と並行して、漏えい対象となるカード情報の確認、決済代行会社からカード会社への情報連携、利用者への案内方法、カード再発行への対応などを調整していました。

これらの確認や調整に想定以上の時間を要したとしています。

また、不確定な情報による混乱を避け、調査結果の精査と対応準備を整えたうえで公表する必要があると判断したことも説明しています。

確かに、カード情報漏えいの調査は容易ではありません。

対象者の特定、カード会社との調整、不正利用の監視、問い合わせへの対応など、多くの作業が必要です。

しかし、ここには一つの疑問があります。

すべての情報が確定するまで待つことと、現時点で判明している危険を利用者へ知らせることは、必ずしも同じではありません。

例えば、調査が継続している段階でも、漏えいの可能性があること、利用明細の確認が必要であること、問い合わせ窓口などを段階的に案内する方法は考えられます。

もちろん、当時の調査状況やカード会社との協議内容がすべて公開されているわけではありません。早期公表がどの時点で可能だったのかを、外部から断定することはできません。

それでも、利用者の安全に直結する情報について、詳細公表まで1年以上を要したことは、説明責任の観点から十分に検証されるべき問題でしょう。

カード情報を保存していなくても盗まれる――EC運営者が知るべき危険

今回の事件には、ネットショップ運営者にとっても重要な教訓があります。

公式FAQによると、ツクツク!!!では通常、利用者が入力したカード情報を自社サーバーに保存せず、決済代行会社へ直接送信する仕組みを採用していました。

それでも、情報を盗み取られる事態が起きたのです。

狙われたのは保存データではなく、カード情報の入力画面

攻撃者は、ECサイトの一部ページに不正なプログラムを埋め込んでいました。

利用者から見れば、いつもと変わらない購入画面です。

しかし、その裏側でカード情報が第三者に転送される仕組みが設置されていたとされています。

つまり、カード番号を自社のデータベースに保管していなくても、入力画面が改ざんされれば情報を盗まれる可能性があるということです。

ECサイトで発生するこのような攻撃は、一般にウェブスキミングなどと呼ばれる手口に分類されます。

ネットショップの運営者は、決済代行会社を導入したことだけで安全性が保証されると考えてはいけません。

サイト本体の更新、脆弱性の管理、外部スクリプトの監視、管理アカウントの保護、不正な変更の検知など、決済画面を含めたサイト全体の安全性が重要になります。

小規模なネットショップであっても、顧客情報を扱う以上、この問題は決して他人事ではありません。

楽天カードやセゾンカードなども注意喚起

今回の公表を受け、複数のクレジットカード会社が利用者に注意を呼びかけています。

楽天カードは2026年10月27日、利用明細の確認を求めるとともに、情報漏えいの可能性が高いとして個別案内を受けた対象者にはカードの差し替え手続きを案内しています。

セゾンカードも10月26日、不審な利用がないか確認するよう呼びかけました。

イオンカードも10月28日に注意喚起を公表しています。

各社は不正利用の監視を行っていますが、それだけで利用者側の確認が不要になるわけではありません。

ツクツク!!!を利用した人が確認すべきこと

2025年5月10日から9月9日までにツクツク!!!でカードの新規登録処理を行った人は、特に注意が必要です。

1. カード利用明細を確認する。 身に覚えのない請求や少額の不審な取引がないか、確認してください。
2. カード会社からの案内を確認する。 対象となる可能性がある場合は、利用停止や再発行についてカード発行会社へ相談してください。
3. ツクツク!!!のパスワードを変更する。 他サービスと同じパスワードを使っている場合は、そちらも変更を検討してください。
4. 不審なメールやSMSに注意する。 事件に便乗してカード情報やパスワードを盗もうとするフィッシング詐欺にも警戒が必要です。

運営会社は対象となる利用者に個別メールで連絡するとしていますが、メールアドレスの変更や受信設定などによって届かない場合もあります。

案内が届いていないことだけを理由に、対象外と決めつけることはできません。

不安がある場合は、公式サイトに掲載された窓口から確認してください。

なお、カードの再発行手数料や不正利用時の補償については、カード会社の規定や個別の状況によって取り扱いが異なります。

メールに記載された不審なリンクから手続きを進めるのではなく、カード会社の公式アプリや公式サイトなどから確認することが大切です。

今回の事件で、まだ明らかになっていないこと

2026年10月28日時点で確認できた情報には、なお不明な点があります。

• 今回の不正アクセスに起因する不正利用の件数と被害総額
• 攻撃者の身元や具体的な侵入経路の詳細
• 調査の各段階で、どこまで漏えいの可能性を把握していたのか
• 正式公表前に、対象利用者へどの程度の情報が伝えられていたのか

これらが明らかにならなければ、被害の全体像や企業対応の妥当性を最終的に評価することはできません。

また、今回の事件によってすべての対象カードが不正利用されたとする根拠もありません。

確認できた事実と、今後の説明を待つべき事項は区別する必要があります。

問われるのは漏えい件数だけではない――利用者の安全を守るための情報開示

今回の事件では、約1万9千件のクレジットカード情報に漏えいの可能性があり、しかもセキュリティコードまで対象となりました。

これだけでも深刻な問題です。

しかし、私がそれ以上に考えさせられたのは、問題の認識から詳細公表までに412日もの時間が経過していることです。

企業にとって、調査の正確性は重要です。誤った情報を発表すれば、利用者に新たな混乱を与える可能性があります。

一方、利用者にとって重要なのは、被害の全体像が確定することだけではありません。

自分の情報が危険にさらされている可能性を、できる限り早く知り、必要な対策を取れることも重要です。

情報が完全にそろうまで待つことが、常に最善の判断とは限りません。

企業側の調査や調整の事情と、利用者が自分の財産を守るために必要な情報。その両者をどう両立させるのかが問われています。

ネットショッピングは、今や日常生活に欠かせないサービスです。

だからこそ、EC事業者には決済の安全性だけでなく、万一の事故が起きた際に迅速かつ適切に情報を伝える姿勢が求められます。

今回の事件を単なる情報漏えいニュースで終わらせず、今後、企業側がどのような説明を行い、利用者の安全確保に取り組むのかを注視したいと思います。

参考資料・公式発表

• ツクツク!!!公式：第三者による不正アクセスおよび個人情報漏えいの可能性に関する発表・FAQ
• 楽天カード：ツクツク!!!における不正アクセスによるお客様情報流出について
• セゾンカード：ツクツク!!!におけるお客様情報漏えいについて
• イオンカード：ツクツク!!!におけるカード情報一部流出の可能性について
• ABEMA TIMES：ECモール「ツクツク!!!」セキュリティーコード含む情報漏洩（2026年10月27日）

※本記事は2026年10月28日時点の公式発表および報道に基づいて作成しています。今後の調査や追加発表によって内容が更新される可能性があります。