決済は通り、注文完了のメールも届く。買い物客の画面では、何も起きていないように見えます。RIZAPが運営するAPORITOオンラインストアに置かれていたのは、そういう性質の仕掛けでした。そして同じ週、同じ事業の店舗側では、委託先のシステムが止まっています。
RIZAPは2026年8月10日、運営する通販サイト「APORITOオンラインストア」に第三者が不正スクリプトを設置し、利用者の個人情報とクレジットカード情報が流出した可能性があると発表した。
8月5日に不審な外部送信プログラムを発見し、同日15時30分にサイトを閉鎖している。対象は5月1日から8月5日までに注文または情報を入力した利用者で、氏名、住所、電話番号、メールアドレスと、カード番号、有効期限、セキュリティコードが含まれる。対象者には8日付でメールを送り、個人情報保護委員会へ速報を報告した。
件数と再開時期は未公表。同日、RIZAPグループは子会社REXT社で9日にランサムウェア被害が確認され、WonderGOOなどの店舗とAPORITO事業に休業やサービス制限が生じているとも公表した。
From: 
「APORITOオンラインストア」への不正アクセスに関するお詫びとご報告
【編集部解説】
このニュースには、事業者にとって見落としやすい特徴が二つあります。
一つは、この種の侵害が何も壊さないことです。
RIZAPの告知によれば、第三者が設置したのは「悪意ある不正スクリプト」であり、見つかったのは「不審な外部送信プログラム」でした。この種の仕掛けが動いているあいだ、買い物客の画面には異常が出ません。商品はカートに入り、決済は通り、注文完了のメールも届きます。入力された情報のコピーが、静かにもう一方向へ流れているだけです。
流出の可能性がある期間は、5月1日から8月5日までの3か月あまりに及びました。なぜ8月5日まで発見に至らなかったのかを、RIZAPは公表していません。サイトが落ちれば5分で気づきますが、正常に動き続けているものを疑うきっかけは、そう多くないはずです。
流出した可能性のある項目にセキュリティコードが含まれている点も、この構図と重なります。クレジットカード・セキュリティガイドラインは、セキュリティコードを「機密認証データ」に分類し、加盟店がそれ単体で保持することも認めていません。保持していないはずのものが漏れた可能性があるということは、保管庫が破られたのではなく、利用者が入力したその瞬間に、画面の上で持ち去られたという形と整合します。RIZAPは侵入経路を公表していないため断定はできませんが、同ガイドライン自身が、カード情報を保持していないEC加盟店でも、Webサイトの脆弱性対策の不備を原因とした漏えい事案が発生しているとしています。「うちはカード情報を持っていないから安全だ」という理解が届かない領域は、たしかにあります。
その上で、8月5日の動きは見ておく価値があります。不審なプログラムを発見したその日の15時30分に、サイトを閉じています。
ECサイトを閉じることは、売上を止めることです。全容が分からない段階でそれを決めるのは、経営判断としては軽くありません。さらに8日には対象となる利用者へ個別にメールを送り、10日に公表しています。調査が終わってから知らせるのではなく、分かった範囲を先に知らせる順番が選ばれています。
告知の書き方にも、その姿勢は表れています。カードの停止や再発行について「当社から一律にお願いするものではございません」と明記し、判断を利用者に委ねました。手数料や補償の扱いは調査中であることを、そのまま調査中と書いています。件数も原因も再発防止策も、まだ出ていません。速報段階の公表とはそういうもので、ここは次の発表で埋まっていく部分です。
もう一つの特徴は、同じ週に、同じ事業へ、別の方向から二つ目が来たことです。
RIZAPグループの発表によれば、8月9日にグループのREXT株式会社でランサムウェアによる不正アクセス被害が発生していることが確認され、社内ネットワークの一部に障害が生じました。影響はWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗に及び、臨時休業や営業時間の変更、キャッシュレス決済の利用制限、買い取り受付と査定の停止などが起きています。
そしてAPORITO事業も、この影響を受けています。RIZAP社はAPORITOの運営の一部をREXT社に委託しており、そのネットワークが止まったことで、店舗の休業やサービスの提供制限が発生しました。両社とも2件の関連については述べておらず、別々の事案として公表されています。
つまりAPORITOでは、オンラインストアの停止に加えて、委託先側の障害による一部店舗の休業やサービス制限が、ほぼ同じ時期に重なりました。
この構図は、EC・小売の運営者にとって他人事になりません。決済は代行会社、サイトは制作会社、物流や店舗運営は委託先。守るべき面は、とうに自社の管理範囲を超えて伸びています。自社サーバーのログをどれだけ丁寧に見ていても、片方は決済画面の中で起き、もう片方は契約書の向こう側で起きます。
制度の側は、すでにこの方向へ動いています。クレジット取引セキュリティ対策協議会がまとめるクレジットカード・セキュリティガイドラインは、2025年3月の6.0版で、EC加盟店に自社システムとWebサイトの「脆弱性対策」を指針対策として加えました。適用は2025年4月から、2026年3月の6.1版にも引き継がれています。
同じガイドラインは、ECシステムやWebサイトの構築・運用を外部委託する場合、委託先に対しても脆弱性対策を理解したうえで構築・運用するよう求めることを、加盟店側の役割として書いています。委託しても、加盟店が担うセキュリティ対策上の役割は残る、という整理です。
EMV 3-Dセキュアも、2025年3月末までに原則すべてのEC加盟店へ導入を求める方針が示されてきました。ただし、ガイドライン上の位置づけは「カード情報保護対策」ではなく「不正利用対策」です。役割は、なりすましによる不正利用を抑止すること。カード情報そのものが盗まれることを防ぐ仕組みではありません。入力時点での窃取に効くのは、脆弱性対策と、決済画面で動くスクリプトを誰が管理しているのかという、もっと地味な側です。
数字の形も、そのことを示しています。日本クレジット協会の集計では、2025年通年のクレジットカード不正利用被害額は510.5億円で、うち番号盗用が475.4億円、構成比93.1%でした。2026年分から調査方法が変わり、対象は40社から48社に拡大されています。その2026年1〜3月も、番号盗用の構成比は93.3%でした。調査方法は異なるものの、いずれも9割を超えています。
そう考えると、今日の時点で確かめられることがいくつかあります。自社の決済画面が、どこへ向けて通信しているか把握できているか。計測タグや外部アプリを最後に棚卸ししたのはいつか。委託先のシステムが止まったとき、誰から、どの経路で連絡が来ることになっているか。
そしてもう一つ。APORITOでは、8月5日に不審な外部送信プログラムを発見し、その日のうちにサイトを閉じました。何も壊れないタイプの侵害では、見つかること自体が一つの成果です。
サイトの再開時期はまだ決まっていません。今後、侵入経路や再発防止策が公表されれば、それは同じ構造を抱えたEC事業者にとって、自分の店の点検材料になります。
【関連記事】
デジタル庁の150名漏えい｜焦点は外部提供ファイルの作成手順
人為的な手順の側から漏えいが起きた事例。組織が公表した経緯と、再発防止の焦点を扱っている。
イノベーション、GitHub認証情報漏えいで最大6万件流出か
認証情報を起点とした国内の個人情報流出。開発基盤の管理が侵入口になった経緯を追っている。
WordPressにXSS2Shell、全バージョン影響 公式が緊急更新を呼びかけ
Webサイトそのものの脆弱性が問題になった事例。EC加盟店の脆弱性対策と地続きの話題である。
【編集部後記】
新星堂WonderGOOの楽天市場店に、短い告知が出ています。システムトラブルの影響で、受注処理と発送が通常より2〜3日ほど遅れる見込みだ、という内容です。
自社サイト、委託先、そのまた先のプラットフォーム。どこか一つが止まると、いちばん外側に並んだ商品の納期まで動きます。どこまでを自分の守備範囲と考えるかは、契約書を読み直しても、たぶん一行では出てきません。
【用語解説】
不正スクリプト
Webページに埋め込まれた、悪意ある動作をする小さなプログラム。多くはJavaScriptで書かれ、利用者のブラウザー上で動く。ページの見た目や動作を変えないまま仕込めるため、閲覧者からは存在に気づけない。
外部送信プログラム
入力された情報のコピーを、本来の送信先とは別のサーバーへ送る仕組み。注文処理そのものは正常に完了するため、事業者側でも決済の失敗として現れない。
セキュリティコード
クレジットカードの裏面などに記載された3〜4桁の数字。国際的にはCAV2、CVC2、CVV2、CIDと呼ばれる。カード番号を知っているだけでは決済できないようにするための照合用の値である。
機密認証データ
クレジットカード・セキュリティガイドラインが定める区分で、全トラックデータ、セキュリティコード、PINなどを指す。PCI DSSにより、加盟店がこれを単体で保持することも認められていない。
脆弱性対策
EC加盟店のシステムとWebサイトについて、ウイルス対策、管理者権限の管理、デバイス管理などを行い、定期的に点検すること。2025年4月から、カード情報を保持しない加盟店にも求められている。
指針対策
割賦販売法が義務づける措置について、実務上どう対応すればよいかを示したもの。これと同等以上の措置を講じていれば、法が求める「必要かつ適切な措置」とみなされる。
クレジットカード・セキュリティガイドライン
クレジット取引セキュリティ対策協議会が策定する指針。2020年3月の1.0版から改訂を重ね、2026年3月に6.1版となった。事務局は日本クレジット協会が務める。
EMV 3-Dセキュア
ネット決済時に、カード会員本人かどうかを確認する仕組み。デバイス情報などからリスクを判定し、必要に応じて動的パスワードや生体認証を求める。ガイドライン上は「不正利用対策」に分類される。
番号盗用
不正に入手したカード番号などを使い、本人になりすまして決済する手口。偽造カードによる被害と対比される区分で、非対面取引で多く発生している。
ランサムウェア
データを暗号化するなどして業務を止め、復旧と引き換えに金銭を要求するマルウェア。近年は暗号化に加え、窃取したデータの公開を材料にする手口も確認されている。
速報（個人情報保護委員会への報告）
個人データの漏えい等が発生した際、事業者が事実確認を待たずに概要を報告する初期段階の届出。確定した内容は、あらためて確報として提出される。
【参考リンク】
APORITOオンラインストア（外部）
RIZAPが運営するスポーツ・アウトドア用品の通販サイト。現在は不正アクセスに伴う調査と緊急メンテナンスのため閉鎖されている。
RIZAPグループ株式会社（外部）
RIZAP社とREXT Holdings社を傘下に持つ持株会社。2026年8月10日、グループで発生した2件の不正アクセスを同日に公表した。
REXT株式会社（外部）
WonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEを運営する事業会社。APORITO事業の一部も受託する。
REXT株式会社 IR情報（外部）
ランサムウェアによるシステム障害と、店舗の営業変更やサービス制限の範囲を告知した、2026年8月10日付のリリースが掲載されている。
WonderGOO（外部）
REXT社が運営するエンタメ専門店。今回のシステム障害にともなう各店舗の営業状況を、公式サイト上で随時告知し続けている。
新星堂WonderGOO楽天市場店（外部）
REXT社が運営する楽天市場内の店舗。システムトラブルによる受注処理と発送の遅延について、店舗ページ上で告知を掲出している。
一般社団法人日本クレジット協会 クレジット関連統計（外部）
クレジットカード不正利用被害の発生状況を四半期ごとに公表している。番号盗用や偽造カードの内訳、不正利用発生率も掲載する。
クレジットカード・セキュリティガイドライン【6.1版】（外部）
クレジット取引セキュリティ対策協議会が2026年3月に改訂した指針の本文。EC加盟店に求められる脆弱性対策と不正利用対策を定める。
【参考記事】
RIZAP運営のECサイトに不正アクセス カード情報含む個人情報が流出の可能性 サイトは一時閉鎖（外部）
RIZAPの告知内容を整理した速報。閉鎖時刻や対象期間、返金と個人情報削除の受付方針までを扱っている。
RIZAPグループで2件の不正アクセス、「APORITOオンラインストア」会員の個人情報・カード情報流出の可能性（外部）
APORITOの件とREXT社のランサムウェア被害を並べて報じた記事。影響を受けた店舗名を具体的に列挙している。
2025年のクレカ不正利用の被害額は510億円で8%減、ECなど非対面取引の番号盗用被害は475億円（外部）
日本クレジット協会の2025年通年集計を四半期別に整理した記事。番号盗用の構成比93.1%という内訳を示す。
クレジットカードの不正利用被害額――2026年第1四半期は113.6億円に（外部）
2026年からの調査方法変更を解説した記事。調査対象事業者の拡大と、数字の読み方の注意点を扱っている。
「クレジットカード・セキュリティガイドライン」が改訂されました（外部）
6.0版公表時の案内。EC加盟店への脆弱性対策とEMV 3-Dセキュアの追加を、指針対策として説明している。
