ゲーム実況グループ「ドズル社」の公式ストアで発生した、不正な決済ページへの誘導。Shopify上の外部アプリが原因だったと判明した経緯と、購入者が確認すべき点を整理した
*推しのグッズを買おうとしたら、急に見覚えのない英語の会計画面に飛ばされる。*これはもう立派な事故物件に片足を突っ込んでいる状態だ。原因が「入れていた外部アプリ」だったという点も含めて、ネットショップの裏側は思ったより多くの"外部の手"を借りて動いているのだと、あらためて実感させられる一件である。※個人の感想です
ゲーム実況グループ「ドズル社」は、2026年9月12日付で公式サイトに「ドズル社ストアにおける不正なページへの誘導に関するお知らせとお詫び」を掲載しました。それによると、2026年9月11日午後4時ごろ、公式ストアで商品を購入しようとした利用者から、「正規のものとは異なるページに遷移した」という問い合わせが寄せられました。同社は事実確認のうえ、午後5時50分にストアを停止し、ストア構築に利用しているShopifyと共同で調査を行いました。
調査の結果、原因は、ストアに導入していた外部アプリであると特定されました。同社は同日午後8時23分、当該アプリを削除する対応を取りました。不正に誘導されていたページには、左上に同社のロゴがなく「Checkout」とだけ表示される、表示言語が英語である、国・地域の初期設定が「United States」になっている、実際の商品価格より高い金額が表示される、といった特徴があったとされています。
同社は発表時点で、通常の決済画面の表示を確認しているものの、安全性の確認のためメンテナンスを継続しているとしています。また、保有する顧客情報への影響については、調査を継続中であり、被害の範囲は現時点で確定していないとしています。
今回の事案が重要なのは、原因が自社で直接開発・管理しているシステムそのものではなく、ECプラットフォーム上に追加で導入していた「外部アプリ」だったとされている点です。ShopifyのようなECプラットフォームは、決済や在庫管理、マーケティングなど様々な機能を「アプリ」として後から追加できる仕組みを提供しており、多くのネットショップ運営者がこうした外部アプリを組み合わせてストアを構築しています。
便利な半面、外部アプリを導入するということは、そのアプリの開発元にも一定のアクセス権限を与えることを意味します。今回のように、導入していたアプリ自体が不正なページへの誘導の原因になった場合、ストア運営者が自社のセキュリティをどれだけ固めていても、被害を防ぎきれない可能性があります。人気YouTuberグループの公式グッズという、多くのファンが利用するストアで発生した事案である点も、影響の広がりを考えるうえで見過ごせません。
2026年9月11日午後4時ごろから、ドズル社の公式ストアで商品の購入手続きをした利用者は、今回の事案の影響を受けた可能性があります。特に、注文確認メールが届いていない、あるいは購入手続きの途中で見慣れない英語の決済画面が表示された記憶がある利用者は、注意が必要です。
同社は、該当する利用者に対し、クレジットカードの利用明細に身に覚えのない請求がないかを確認するよう呼びかけています。身に覚えのない請求を発見した場合は、まずカード会社に連絡し、不正利用として異議を申し立てる「チャージバック」の手続きについて相談することが基本的な対応になります。
Shopifyは、ECサイトを比較的簡単に構築できるプラットフォームで、決済機能やデザインテンプレートに加え、外部の開発者が作った「アプリ」を追加してストアの機能を拡張できる仕組みを持っています。この仕組みは便利な反面、導入したアプリの品質や安全性が、ストア全体の安全性に直結するという側面があります。ネットショップを運営する立場であれば、導入しているアプリを定期的に見直し、使っていないアプリは削除しておくことが、こうした事案を防ぐ基本的な対策になります。
利用者側としては、いつも使っているはずのショップで、見慣れない言語やデザインの決済画面が表示された場合は、その場で個人情報やカード情報を入力せず、いったん購入手続きを中断して、公式サイトやSNSで同様の報告がないか確認する習慣を持つことをおすすめします。
IT Postでは、今回のように原因が「外部アプリ」だったと特定された事案について、ネットショップ運営者自身の落ち度というより、ECプラットフォームを取り巻くエコシステム全体が抱える構造的なリスクとして捉えるべきだと考える。
*便利な機能を後から次々つぎ足せるのがShopifyのようなプラットフォームの強みだが、つぎ足した数だけ、他人任せの部分も増えていく。*今回、ドズル社が問い合わせを受けてから2時間弱でストアを止め、原因のアプリを特定・削除するまでこぎつけたスピード対応自体は評価できる一方、「顧客情報への影響は調査中」という説明が長引けば、ファンの不安はそれだけ長引く。IT Postでは、被害範囲の確定と対象者への具体的な連絡を、できる限り早く進めることが、今回のような事案で最も信頼回復に効くと考える。※個人の感想です
ドズル社は、保有する顧客情報への影響について調査を継続するとしています。被害の具体的な範囲や、対象者への個別の連絡が行われるかどうかについては、今回参照した情報源の中では明らかにされていません。IT Postでは、調査結果や対象者への対応方針が公表され次第、あらためて取り上げます。
円谷プロダクションとmogily株式会社が発表した、LINE連携の抽選システムへの不正アクセス。133人分の当選結果が落選に書き換えられていた経緯と、個人情報漏えいの有無を確認した
飲食チェーンを運営するきちりホールディングスの子会社ApplyNowが提供する採用管理サービスに不正アクセス。応募者の個人情報に加え、マイナンバーや金融機関口座情報まで対象に入っていた理由と、公表された対応状況を整理した
東京科学大学が情報基盤への不正アクセスを公表。対策本部の設置は8月28日、公表は9月7日。旧東京工業大学・旧東京医科歯科大学の統合当時に在籍していた学生・教職員の氏名や住所も対象になり得るという、大学再編特有のややこしさ
デジタル庁が運用する政府共通基盤「GSS」に不正アクセスがあり、職員や事業者ら約24万6000件の個人情報が漏えいした可能性があると発表。原因は対応前から存在が知られていたVPN機器の脆弱性だったという経緯を確かめた
