その注文、本当にあなた？楽天・Yahoo!でカード不正利用が多発！乗っ取り対策まとめ

こんにちは！えびおです。

最近、サイバー攻撃の被害がとても多いですよね。会社や通販サイトから個人情報がもれた、というニュースを毎週のように見かけます。

それに合わせて、楽天やYahoo!ショッピングのお店で、おかしな注文が増えてきています。とくに美容関係の商品をあつかうお店で多いようです。

お客さんの楽天のアカウントなどが乗っ取られて、勝手に注文されているようなんです。

そして今週は、私が毎日使っているツールでも、緊急のアップデートが続いています。今日（2026年10月22日）も、複数のお店をまとめて管理する「クロスマ」と、Amazonの価格改定ツール「プライスター」の両方で、急いだ感じのアップデートが入りました。

しかも、この記事を書いている今まさに、プライスターもクロスマも、そろって急な「メンテナンス中」になっています。さらに、楽天の「お店側の管理ページ」（楽天市場にお店を出している人が使う画面）まで、メンテナンスに入りました。

今回は、えびおのお店で実際にあったことと、調べて分かった最近の状況、そして自分のアカウントを守る方法をまとめました。ネットで買い物をする人は、ぜひ最後まで読んでください。

えびおのお店にも届く「おかしな注文」

まずは、私のお店に来ている注文の話からです。

見ていると、注文してくるのは外国の方がほとんどだと思います。「この住所に送ってほしい」という注文なのですが、その住所が変なんです。

購入者と届け先の住所がちがう

だいたいの注文は、購入者の住所と、届け先の住所がちがいます。

もちろん、プレゼントなどで別の住所に送ることはふつうにあります。でも、ほかのおかしな点と重なっていることが多いんです。

住所の書き方が、いかにもおかしい

たとえば「3丁目5番1号」という住所なら、ふつうは「3-5-1」や「3の5の1」と書きますよね。

ところが、「番」の字が英語の「BAN」になっていたりします。いかにも外国の方が書いたような表記なんです。

マンション名が抜けている

もうひとつ多いのが、マンション名が抜けている注文です。番地までは書いてあるのに、建物の名前や部屋番号がありません。

このままでは荷物が届かないかもしれません。なので私は、確認のために「この住所で合っていますか、大丈夫ですか」とメールを送っています。

確認メールを送ると「頼んだ覚えがない」

すると、返ってくる答えが「そんな注文をした覚えはない」というものなんです。これが1回や2回ではなく、けっこうあります。

つまり、購入者として名前が出ている人は、本当は何も頼んでいません。その人のアカウントが乗っ取られて、勝手に注文されていたということです。

「覚えがない」と返事が来た注文は、お客さんに確認したうえで、キャンセルの扱いにしました。お客さんに支払いが発生しないようにするためです。

キャンセルしたので安心してください、とお伝えしたところ、そのお客さんから、もう一度メールが届きました。個人が分からないように、内容を少しだけ書きかえて紹介します。

このメールを読んで、本当に注意が必要だなと思いました。乗っ取られた本人は、何も買っていないのに、100件以上の注文の連絡に追われてしまうんです。

高い商品や、海外からの注文が多い

ほかにも、おかしいなと思う注文には特徴があります。これは私のお店だけのことかもしれませんが、不正な注文には高い商品が多いんです。

5万円をこえるような、パソコンにつける部品など、けっこう高額なものの注文が入ります。海外からの注文が入ることもあって、「おかしいな」と感じます。

調べてみると、ある消費者調査では、クレジットカードの不正利用で買われた商品は「家電・電子機器・PC」がいちばん多く、22.5%だったそうです。高い家電やパソコンまわりの商品は、売ってお金にかえやすいので、ねらわれやすいと言われています。

自分のカードの明細や購入履歴に、覚えのない高い家電やパソコンの買い物がないか、ときどき見ておくと安心です。

お店に不正な注文が増えているということは、それだけ、カードの情報やアカウントを抜き取られている人が多いということです。次にねらわれるのは、この記事を読んでいるあなたかもしれません。

カードの情報やアカウントを抜き取られないように、ぜひ気をつけてください。このあと、守るための方法も紹介します。

今なにが起きている？ここ1週間のサイバー攻撃と乗っ取り

私のお店だけの話なのか気になって、いろいろと調べてみました。

※ここでは、2026年10月22日時点で分かっていることをまとめています。調査中のものも多いので、最新の情報は各社の公式のお知らせで確認してください。

プライスター、クロスマ、そして楽天のお店側のページまで一斉にメンテナンス

まずは、今まさに起きていることからです。

クロスマからは、10月21日の夜9時すぎに「【重要】本日23時頃から緊急メンテナンスを行います」というメールが届きました。お知らせの内容は、こうです。

プライスターも、「ただいま緊急メンテナンスのため、サービスを停止しております」というお知らせが出て、止まっています。最新の状況は、公式のX（旧Twitter）で知らせるとのことです。止めた理由は、お知らせには書かれていませんでした。

そして、この記事を書いている今（10月22日）、楽天の「お店側の管理ページ」でも、「メンテナンスのお知らせ」が出て使えなくなりました。楽天市場にお店を出している人が、注文や商品を管理するための画面です。

お知らせには「システムの不具合のため」とだけ書かれていて、くわしい理由はまだ分かりません。

なお、止まっているのはお店側のページです。ふだん買い物をする楽天市場が、メンテナンス中になったわけではありませんので、そこは安心してください。

ツールの会社に続いて、楽天のお店側のページまで。ここまで各社が一斉にメンテナンスに入るということは、よほど大変なことが起きているのだと思います。みなさんも、ふだん以上に気をつけてください。

PHPに「緊急」レベルの欠陥が見つかった（10月20日〜21日）

この1〜2日で一番大きいニュースが、これです。

「PHP（ピーエイチピー）」は、たくさんのWebサイトやWebサービスを動かしているプログラムの言葉です。WordPressのブログや、ネットショップのシステムなどにも広く使われています。

このPHPそのものに、とても危ない欠陥が2つ見つかりました。通称は「php2shell」です。悪用されると、外の人がサーバー（サービスを動かしているコンピューター）を勝手に操れてしまうおそれがあるそうです。

このため、10月21日の夜からは、ゲーム会社やサーバー会社など、いろいろな会社が一斉に「緊急メンテナンス」に入りました。クロスマのメンテナンスが始まった「10月21日の夜11時ごろ」は、ちょうどPHPの修正版が公開された時間と同じです。クロスマのお知らせにPHPという言葉はありませんが、時期を考えると、この件への対応なのかもしれません。

一元管理ツールから注文情報が流出（10月14日〜）

ネットで買い物をする人にとっても、他人ごとではない話です。

楽天・Yahoo!ショッピング・Amazon・メルカリShopsなど、たくさんのお店をまとめて管理できる「WASABI SWITCH（ワサビスイッチ）」というサービスが、不正アクセスを受けました。クロスマと同じような、いわゆる「一元管理ツール」です。

本物の注文内容が書かれた偽メールが届くので、とてもだまされやすいです。

もし「返金のご案内」のようなメールが届いても、お店がLINEに誘ったり、カード番号を聞いたりすることはありません。メールのリンクは開かずに、買ったお店へ、公式のサイトから問い合わせましょう。

ネットショップ作成サービスも緊急停止（10月21日）

10月21日には、自社のネットショップを作れる「futureshop（フューチャーショップ）」でも、サーバーの一部に不正アクセスが見つかりました。

被害が広がらないように一部のサーバーを止めたため、対象のお店ではネットショップも管理画面も使えなくなったそうです。情報がもれたかどうかは、まだ調査中とのことです。

楽天市場のアカウント乗っ取り、相談は約400件

2026年3月に、楽天市場のアカウントが乗っ取られたという相談が急に増えている、というニュースが出ました。

警視庁によると、2025年7月から2026年1月までに、約400件の相談があったそうです。

乗っ取られたアカウントには、他人名義のクレジットカードが登録されていました。そして、勝手に商品を買われて、知らない人のところへ送られていたといいます。

報道では、別の通販サイトにうその商品を出しておいて、注文が入ったら楽天で同じ商品を買って送る、という手口ではないかと言われています。

なお楽天は、メールアドレスやパスワードが楽天からもれた事実は確認されていない、と説明しています。

10月にも「注文していない商品が届いた」の声

2026年10月の中ごろにも、SNSで「楽天で注文していない商品が発送された」という声が話題になっていました。

その少し前の10月4日ごろには、犯罪者が集まるネットの掲示板に「楽天の会員データ約1億100万件を売る」という書き込みも出ていました。ただし楽天グループは、取材に対して「情報がもれた事実は確認されていない」と答えています。

3月のニュースと同じ原因なのかは、今のところ分かっていません。でも、乗っ取りによる不正注文が今も続いていることは、私のお店の様子からも感じます。

通販の会社から個人情報がもれる事件も

通販をしている会社が攻撃される事件も起きています。

たとえば2026年9月には、ロート製薬が「通信販売で使っているシステムに、不正アクセスがあった可能性がある」と発表しました。会社を名乗るあやしい電話やメールに注意するよう、呼びかけています。

美容や健康の商品を買う人の情報は、こうしたところからもねらわれているのだと思います。

10月に入ってからも、ネット通販や配送にかかわる会社の情報流出の発表が続いています。

AIの発達で、攻撃する側も進化している

警察庁のまとめでは、2025年のサイバー犯罪の検挙件数は15,108件で、過去最多でした。このまとめでは「生成AI」の悪用が特集されています。生成AIとは、文章や画像を自動で作れるAIのことです。

昔の詐欺メールは、日本語がおかしくてすぐに分かりました。でも今は、AIで自然な日本語の偽メールがかんたんに作れてしまいます。

AIの発達によって、日本でもサイバー攻撃や個人情報のもれは、かなりきびしい状況になっているようです。

自分のメールアドレスとスマホを守ろう

アカウントの乗っ取りは、だれにでも起こりえます。ここからは、自分のアカウントやカードを守るためにできることを紹介します。

メールアドレスのもれを調べられるサイト

自分のメールアドレスが、過去の情報もれに入っていないかを調べられるサイトがあります。どちらも無料です。

Have I Been Pwnedは、海外のセキュリティの専門家が作ったサイトで、画面は英語です。でも、メールアドレスを入れて「Check」を押すだけなので、むずかしくありません。

※ここで紹介しているのは、えびおが信頼できると考えた有名なサイトだけです。「もれていないか調べます」と言って、メールでリンクを送ってくるものは偽物の可能性があるので注意してください。

えびおも、自分のメールアドレスを調べてみたことがあります。すると、1件もれていました。やっぱり、注意は必要だなと感じています。

もれていたら、すぐにやること

もれていたからといって、すぐに乗っ取られるわけではありません。あわてずに、次のことをしておきましょう。

楽天グループでは、2026年から「パスキー」や二段階認証を使えるサービスを順番に広げています。パスキーとは、スマホの顔認証や指紋などでログインできるしくみです。楽天の会員情報の画面で、使える設定がないか一度見ておきましょう。

パスワードの使い回しは、乗っ取りの一番の入り口です。ここだけは、今日のうちに見直してみてください。

スマホの「確認コード」の設定も見直そう

Xでは今、「iPhoneとAndroidの、この設定がオンだと不正決済される」という動画が話題になっています。

ねらわれているのは、ネットの買い物やログインの最後に、SMS（スマホのショートメッセージ）で届く6けたの「確認コード」です。ワンタイムパスワードとも呼ばれ、1回だけ使える数字のことです。

手口はこうです。犯人は、もれたカード番号を使って本物のお店で買い物を始めます。すると、本人のスマホに本物の確認コードが届きます。

同時に、カード会社やお店を名乗る偽のページで「ご本人確認のため、届いたコードを入れてください」と入力させます。そこで入れたコードで、犯人の買い物が通ってしまうというわけです。

動画では、届いたコードがキーボードの上に出てきて、そのまま入れられる「自動入力」の機能をオフにするよう、すすめていました。

ただ、動画では「消費者庁が緊急警告を出した」と言っていますが、調べてみると、消費者庁のサイトのお知らせには、この設定についての発表は見当たりませんでした。

消費者庁が10月に呼びかけていたのは、「パスワードを使い回さない」「不安なときは消費者ホットライン（188）に相談する」といったことです。

それでも、確認コードがねらわれているのは本当です。設定を見直しておいて損はないので、やり方を紹介しておきます。

※スマホの機種やOSのバージョンによって、画面の名前が少しちがうことがあります。

自動入力をオフにしても、確認コードは今までどおりSMSで届きます。自分で見て入れればいいだけなので、困ることはあまりありません。

ただし、設定を変えるだけで安心はできません。偽のページに自分の手でコードを入れてしまえば、同じことになるからです。いちばん大事なのは、次のことです。

覚えのない確認コードは、絶対に入れない！

自分で買い物やログインをしていないのにコードが届いたら、今まさにどこかで誰かが、あなたのカードやアカウントを使おうとしているサインです。コードは入れずにSMSを消して、カード会社やサービスの公式の窓口に連絡しましょう。

覚えのない注文を見つけたら

もし自分のアカウントで覚えのない注文を見つけたら、次のところへ連絡しましょう。

連絡先は、メールの中のリンクではなく、公式のアプリやサイトから探してくださいね。偽メールについては、前回の記事でもくわしく書いています。

まとめ

質問や相談があれば、お問い合わせフォームからお気軽にどうぞ。

あわせて読みたい：メルカリ公式を装う詐欺コメントが急増！Amazon・Yahoo!の偽サイトにも注意