【解説】futureshop、10月の障害は3つの別事案
CMSオプション利用店は表示確認を
株式会社フューチャーショップは2026年10月25日、10月に起きた不正アクセスとサービス停止について、経緯をまとめた説明を公表しました。LOTでは10月25日の解説で「21日の不正アクセスと会員情報の漏えいの関係は明らかにされていない」と書きましたが、今回の説明で、3つはそれぞれ別の事案だったことが示されました。
何が変わる？
説明で示された3つの事案は次のとおりです。
- 1店舗の会員情報の漏えい：同社サーバーで使っていたソフトウェアの脆弱性が原因。10月19日に判明し、23日に公表。判明後に侵入経路を遮断し、脆弱性への対策を済ませたとしています。
- 4台のサーバーの緊急停止：10月21日10時14分ごろ、関連サービスの脆弱性を突いた不正アクセスを検知し、11時30分から4台を停止。関連サービスの停止と対策のあと、22日23時35分に再開。現時点のログ調査では個人情報の漏えいは確認されておらず、外部の調査機関に詳しい確認を依頼しているとしています。
- PHPの脆弱性への緊急メンテナンス：10月21日21時36分から22日23時35分まで。PHPの重大な脆弱性への緊急対応で、事前の案内が十分にできなかったとしています。futureshop本体はPHPを使っていませんが、PHP環境を提供する「CMSサーバオプション」では店舗ごとにPHPのバージョンが違い、個別の対応が必要だったため、終了予定が何度も延びました。
サーバーは22日15時以降、futureshop単体の店舗から順に再開し、22日23時35分に全サーバーの再開を終えています。調査は続いており、新しい事実がわかれば公表するとしています。
EC事業者への影響
- futureshopを使う店舗全般：会員情報の漏えいは1店舗に限られると説明されています。一方で、長時間のメンテナンスで注文や問い合わせを受けられなかった時間帯があった店舗は多いはずです。
- CMSサーバオプションを使う店舗：WordPressなどで作ったトップページの一部や特集ページが使えなくなった店舗が多かったとされています。再開後も、PHPのバージョン変更の影響で表示や動作が変わっていないか確認が必要です。
- 4台のサーバーにあった店舗：対象店舗には個別に連絡しているとされています。外部機関の調査結果を待つ必要があります。
今やるべきこと
- CMSサーバオプションで作ったページ（トップ・特集・フォームなど）が正しく表示・動作するか、スマホとパソコンで確認する
- 10月21〜22日の停止中に受けられなかった注文・問い合わせ・定期購入の処理がないかを確認し、必要ならお客様に連絡する
- 管理画面のパスワードを他のサービスと使い回している場合は変更し、使っていないスタッフのアカウントを止める
- futureshopのお知らせとサポートページを定期的に確認し、調査結果と再発防止策の発表を待つ
漏えいの内容と店舗の対応は10月25日の解説、PHPの脆弱性については10月23日の解説もあわせてご覧ください。
