ニュース｜社会・くらし
イオンに不正アクセス、何が止まった？13社42サイトと流出調査の今後
イオンは2026年10月21日、グループ各社の一部のWebサイトで第三者による不正アクセスを検知したと発表しました。報道によると対象はイオンリテールなど13社の計42サイトで、安全確認のため閲覧できない状態になっています。個人情報が流出したかどうかは調査中です。どのサイトが止まっているのかを確かめるため、当サイトはイオン公式の「主なグループ企業」一覧に載る国内71社の公式サイトに実際にアクセスして、応答を記録しました。
この記事の結論
- イオンの発表は「グループ各社の一部のWebサイトで不正アクセスを検知し、安全確認をしている」「個人情報の流出なども調査中」という内容です。どのサイトか、何社か、原因は何かは、発表文には書かれていません。「13社42サイト」は報道で伝えられた数字です。
- 当サイトが10月22日朝に、イオンが公式に挙げる国内71社の公式サイトへアクセスしたところ、19社が閲覧できない状態でした。応答がまったくなかったのが11社で、報道で名前が出たイオンリテール・イオンビッグ・マックスバリュ北陸の3社はいずれもこの中に入っていました。
- ただし、止まっているサイトがすべて今回の不正アクセスの対象とは限りません。イオン北海道は、10月22日朝の時点でメンテナンス画面に「システムの安全性強化および緊急メンテナンス」と表示していました。
- 報道によると、店舗の営業に関するシステムやネット通販（EC）には影響がないとされています。利用者は、イオンの公式サイトの続報を待ち、イオンを名乗る不審なメールやSMS、偽サイトに注意するのが今できることです。
イオンの不正アクセスとは？公式発表で分かっていること
イオンが10月21日に出したお知らせは、A4用紙1枚の短いものです。内容を整理すると次のとおりです。
| 項目 | 内容（10月22日時点） |
|---|---|
| 発表した会社 | イオン株式会社（グループの持株会社） |
| 発表日 | 2026年10月21日（公式サイトの「重要なお知らせ」にPDFで掲載） |
| 何があったか | グループ各社の一部のWebサイトで、第三者による不正アクセスを検知。安全確認を実施中 |
| 個人情報 | 流出したかどうかを調査中。結果が分かり次第、イオンの公式サイトで知らせるとしています |
| 原因・復旧 | 原因の調査と復旧に向けた対応を進めている、とだけ書かれています |
| 対象のサイト・社数 | 発表文には記載なし。報道では「イオンリテールなど13社の計42サイト」 |
| 問い合わせ先 | 発表文には記載なし（10月22日朝時点） |
出典：イオン「イオングループの一部Ｗｅｂサイトへの不正アクセスによるシステムメンテナンスについて」（2026年10月21日）。
報道で伝えられた細部：13社42サイト、20日に不具合
発表文にない細部は、イオンへの取材をもとにした報道で伝えられています。
- 13社・42サイト：朝日新聞は「スーパーの運営会社イオンリテールなどグループ13社の計42ウェブサイト」と報じました。名前が挙がったのはイオンリテール、イオンビッグ（ディスカウントストア）、マックスバリュ北陸（スーパー）です。
- 発覚のきっかけ：朝日新聞によると、20日にシステムの不具合が見つかり、調べたところ不正アクセスを確認しました。不正アクセスの時期や原因は調査中です。
- 営業・ネット通販への影響：共同通信によると、営業に関するシステムや電子商取引（EC）サイトには影響はありません。FNNは「ネットスーパーなどは利用可能」と伝えています。
- 再開の見通し：朝日新聞によると、サイトは安全を確認した後に再開する見通しです。
出典：朝日新聞（10月21日）、共同通信（10月21日、Yahoo!ニュース掲載）、FNNプライムオンライン（10月21日）
「メンテナンス」と書かれているのはなぜ？
発表の題名は「不正アクセスによるシステムメンテナンスについて」です。不正アクセスが見つかったサイトを、いったん外から見られない状態にして安全を確かめている、という意味だと読み取れます。サイトを止めること自体が、被害の拡大を防ぐための対応だと考えられます。
いつ何が起きた？発覚から10月22日までの流れ
- 9月30日イオンが偽の広告・通販サイトに注意を呼びかけSNSやゲームアプリで「イオンとのコラボ」を装った広告が出回っているとして、個人情報を入力しないよう求めました（今回の件とは別）。
- 10月20日システムの不具合が見つかる調べたところ、第三者による不正アクセスを確認（朝日新聞）。
- 10月21日イオンが不正アクセスを発表公式サイトの「重要なお知らせ」に掲載。対象のサイトを閲覧できない状態にして安全確認。夕方から夜にかけて共同通信・朝日新聞などが報道。
- 10月21日夜グループの一部で公式サイトのメンテナンスたとえばキャンドゥは21日23時〜25時に公式サイトのメンテナンスを実施（理由の記載なし）。22日に終了と告知。
- 10月22日 8:30イオン北海道が会社サイトを停止「システムの安全性強化および緊急メンテナンス」のため閲覧を一時停止。9時44分ごろの画面は「予防的なメンテナンス」と説明していましたが、10時2分ごろには「メンテナンスのための停止です」に書き換わっていました。
- 10月22日 朝当サイトがグループ各社のサイトを確認9時44分ごろと10時2分ごろの2回、国内71社の公式サイトにアクセス。19社は2回とも閲覧できませんでした。
- 今後調査結果の公表イオンは、個人情報の流出などの調査結果を確認でき次第、公式サイトで知らせるとしています。
出典：イオンの発表、イオン【注意喚起】（9月30日）、朝日新聞、キャンドゥのお知らせ、イオン北海道の会社サイトのメンテナンス画面（10月22日確認）
どのサイトが止まった？グループ71社の公式サイトを確認【独自調査】
イオンは対象のサイト名を公表していません。そこで当サイトは、イオン公式サイトの「グループ事業・企業紹介」に「主なグループ企業」として載っている会社のうち、国内の71社（持株会社のイオンを含む）の公式サイトに、10月22日の9時44分ごろと10時2分ごろの2回アクセスし、応答を記録しました。
| 事業（イオンの分類） | 社数 | 閲覧できず | 閲覧できなかった会社 |
|---|---|---|---|
| 持株会社 | 1社 | 0社 | — |
| 総合スーパー（GMS） | 12社 | 3社 | イオン北海道（株）、イオンリテール（株）、（株）サンデー |
| スーパーマーケット | 13社 | 2社 | （株）いなげや、マックスバリュ北陸（株） |
| ディスカウントストア | 2社 | 1社 | イオンビッグ（株） |
| ドラッグ・ヘルス | 8社 | 2社 | （株）イオンボディ、コスメーム（株） |
| 金融 | 4社 | 0社 | — |
| モール・娯楽 | 5社 | 2社 | （株）イオンファンタジー、イオンタウン（株） |
| サービス・専門店 | 16社 | 5社 | （株）イオンイーハート、（株）プレステージシューズ、（株）メガスポーツ、メガペトロ（株）、R．O．U（株） |
| 機能会社（商品・物流など） | 10社 | 4社 | イオングローバルSCM（株）、イオントップバリュ（株）、イオンベーカリー（株）、（株）生活品質科学研究所 |
| 合計 | 71社 | 19社 | 応答なし11社、メンテナンス表示4社、サーバーエラー4社 |
イオン「グループ事業・企業紹介」の「主なグループ企業」から、海外の会社を除いた71社を当サイトが確認（2026年10月22日9時44分ごろ・10時2分ごろ）。2回とも同じ結果でした。プログラムでのアクセスが拒否された2社（イオン銀行・ウエルシア薬局）は、ブラウザーで開いて表示されることを確かめ「閲覧できる」に数えています。
閲覧できなかった19社の状態は次のとおりです。「応答なし」は、20秒以上待ってもページがまったく返ってこなかったか、接続できなかったものです。
| 会社 | 状態 | 補足 |
|---|---|---|
| イオンリテール（株） | 応答なし | 報道で名前が出た会社（スーパーの運営会社） |
| （株）サンデー | 応答なし | — |
| マックスバリュ北陸（株） | 応答なし | 報道で名前が出た会社（スーパーを展開） |
| イオンビッグ（株） | 応答なし | 報道で名前が出た会社（ディスカウントストアを運営） |
| コスメーム（株） | 応答なし | — |
| （株）メガスポーツ | 応答なし | — |
| メガペトロ（株） | 応答なし | — |
| R．O．U（株） | 応答なし | — |
| イオントップバリュ（株） | 応答なし | — |
| イオンベーカリー（株） | 応答なし | — |
| （株）生活品質科学研究所 | 応答なし | — |
| イオン北海道（株） | メンテナンス表示 | 「システムの安全性強化および緊急メンテナンス」（10月22日8:30〜）と表示 |
| （株）いなげや | メンテナンス表示 | 「ホームページのメンテナンス」と表示 |
| （株）イオンボディ | メンテナンス表示 | 「サイトメンテナンス中」と表示 |
| （株）イオンファンタジー | メンテナンス表示 | 「緊急メンテナンスを実施中」と表示 |
| イオンタウン（株） | サーバーエラー | 502エラー |
| （株）イオンイーハート | サーバーエラー | 503エラー |
| （株）プレステージシューズ | サーバーエラー | 502エラー |
| イオングローバルSCM（株） | サーバーエラー | 503エラー |
報道で名前が出た3社は、いずれも「応答なし」
朝日新聞が名前を挙げたイオンリテール・イオンビッグ・マックスバリュ北陸の公式サイトは、2回とも応答がありませんでした。同じように応答がなかったのは全部で11社です。一方で、メンテナンス画面を出している会社や、サーバーエラーを返している会社もあり、止まり方はさまざまでした。
この19社＝不正アクセスの対象、ではありません
報道の「13社」とこの19社は数が合いませんし、どの会社が対象かは公表されていません。イオン北海道のメンテナンス画面は、当初「予防的なメンテナンス」と説明していました（その後、表現を変更）。キャンドゥのように理由を書かずに短時間のメンテナンスをした会社もあります。また、21日はプログラミング言語PHPの重大な脆弱性が公表され、国内外で予防的にサイトを止める動きが報じられた日でもありました（当サイトの解説）。イオンの発表は不正アクセスの手口に触れておらず、PHPとの関係も示されていません。上の表は「10月22日朝の時点で外から見えた状態」の記録として読んでください。
「42サイト」には、会社の公式サイトのほか、店舗やブランド、キャンペーンなどのサイトも含まれている可能性があります。当サイトが確認したのは各社の公式サイト1つずつだけなので、42サイトの全体像はイオンの続報を待つ必要があります。
買い物やカードのサイトは？
同じ時間帯に、利用者がよく使うサイトも確かめました。イオンの総合サイト「イオンドットコム」、イオンカードの「暮らしのマネーサイト」、イオンモールの公式サイトは表示されました。一方、電子マネーWAONの公式サイト（waon.net）は「ただいまメンテナンス中のためサイトをご利用いただけません」と表示されていました。今回の件との関係は示されていません。
10月22日10時7分ごろ当サイト確認。報道によると、ネットスーパーなどのネット通販や店舗の営業には影響がないとされています。
個人情報は漏れた？不正アクセスによる漏えいの位置づけ
10月22日時点で、イオンは個人情報の流出を「調査中」としており、漏えいがあったとも、なかったとも発表していません。企業の個人情報の漏えいは、国の個人情報保護委員会に報告する決まりがあります。委員会の年次報告から、不正アクセスによる漏えいがどのくらいあるのかを見てみます。
| 年度 | 漏えい等の報告（企業など） | うち「不正の目的」のおそれ | 割合 |
|---|---|---|---|
| 令和6年度（2024年4月〜25年3月） | 19,056件 | 7,604件 | 39.9% |
| 令和7年度（2025年4月〜26年3月） | 17,139件 | 3,822件 | 22.3% |
出典：個人情報保護委員会「令和7年度 年次報告」、「令和6年度 年次報告」の「報告義務該当事由」。1つの事案が複数の理由に当てはまる場合は重ねて数えられています。この分類は「不正アクセス等、不正の目的をもって行われたおそれ」で、不正アクセス以外の手口も含みます。
2025年度に企業などから委員会に届いた漏えい等の報告は17,139件で、このうち不正アクセスなど「不正の目的をもって行われたおそれ」があるものは3,822件（22.3%）でした。もっとも多いのは病院や薬局での書類の渡し間違いなどの「要配慮個人情報」を含むもので、件数の大半は1,000人以下の小さな事案（93.6%）です。5万人を超える大きな漏えいは121件（0.7%）でした。
委員会が指摘する「不正アクセスの3つの原因」
年次報告は、不正アクセスによる漏えいの原因として多かったものを挙げています。
- 1. 脆弱性の放置：VPN機器や、ECサイトを作るためのソフトの脆弱性が公表され、対応方法も出ていたのに、事業者が放っておいた
- 2. 推測されやすいID・パスワード
- 3. 設定ミス：データベースへのアクセス制御が適切でなかった
イオンの件がどれに当たるのかは、まだ分かっていません。
漏えいのおそれがあれば「60日以内」に報告
個人情報保護委員会は、漏えいが発覚したら速やかに報告するよう求めており、不正な目的で行われたおそれがある場合は、発覚日から60日以内が報告の期限です（委員会「漏えい等の対応とお役立ち資料」）。調査で個人データの漏えいやそのおそれが確認されれば、委員会への報告に加えて、本人への通知も必要になります。
イオンの利用者は何をすればいい？確認しておきたいこと
今の段階で、利用者が個人として何か手続きをするよう求められてはいません。公式の案内から言えることを順番にまとめます。
- 1. 続報はイオンの公式サイトで確かめる：調査結果はイオン「重要なお知らせ」に掲載されるとしています。SNSのうわさではなく、公式の発表を見るのが確実です。
- 2. 「イオンを名乗るメール・SMS」に注意する：大きなニュースの後は、それに便乗した詐欺メールが出回りがちです。イオンカードは、SMSやメールでカード番号・暗証番号・有効期限・セキュリティコードの入力を求めることはないとしています。不審なものは開かずに削除しましょう。
- 3. 偽サイトに個人情報を入れない：イオンは9月30日にも、イオンとのコラボを装った不審な広告・通販サイトについて注意を呼びかけていました。ふだん使うサイトやアプリはブックマークや公式アプリから開くと安心です。
- 4. 万一カード番号を入れてしまったら：イオンカードは、カードの停止と再発行の手続きをするよう案内しています。
- 5. 同じパスワードを使い回している人は見直す：これはイオンの案内ではありませんが、一般的な備えとして、ほかのサービスと同じパスワードを使っている場合は変えておくと安心です。
「流出した」とはまだ決まっていません
10月22日時点では、個人情報が流出したかどうかは調査中です。イオンカードは、SMSやメールでカード番号などの入力を求めることはないとしています。「情報が漏れたので確認を」といった連絡でカード情報や暗証番号を求められたら、詐欺を疑ってください。
不正アクセスによるサービス停止は、この秋に相次いでいます。ほかの企業の例は最近の不正アクセスまとめ2026にまとめています。
イオンの不正アクセスに関するよくある質問
Q. イオンの不正アクセスで何があったのですか？
A. イオンは2026年10月21日、グループ各社の一部のWebサイトで第三者による不正アクセスを検知したと発表しました。報道によると対象はイオンリテールなど13社の計42サイトで、安全確認のため閲覧できない状態になっています。原因や個人情報の流出の有無は調査中です。
Q. 個人情報は流出したのですか？
A. 10月22日時点では分かっていません。イオンは個人情報の流出などについて調査を進めており、結果が確認でき次第、公式サイトで知らせるとしています。
Q. どのサイトが対象ですか？
A. イオンは対象のサイト名を公表していません。報道ではイオンリテール、イオンビッグ、マックスバリュ北陸などのサイトとされています。当サイトが10月22日朝に国内71社の公式サイトを確認したところ19社が閲覧できませんでしたが、すべてが今回の対象とは限りません。
Q. イオンの店舗やネットスーパーは使えますか？
A. 報道によると、営業に関するシステムやECサイトには影響がなく、ネットスーパーなども利用できるとされています。
Q. サイトはいつ再開しますか？
A. 再開の時期は発表されていません。朝日新聞によると、安全を確認した後に再開する見通しです。
Q. 利用者は何をすればいいですか？
A. 今のところ利用者に求められている手続きはありません。続報はイオンの公式サイトで確認し、イオンを名乗る不審なメールやSMS、偽サイトに個人情報やカード情報を入力しないよう注意してください。
あわせて読みたい
出典・参考資料
- イオン：イオングループの一部Ｗｅｂサイトへの不正アクセスによるシステムメンテナンスについて（2026年10月21日）、重要なお知らせ、グループ事業・企業紹介、【注意喚起】イオンを装った不審な広告・通販サイトについて（9月30日）
- イオンカード：イオンカードを騙る不審なSMS・フィッシング詐欺にご注意ください
- キャンドゥ：【重要】システムメンテナンスのお知らせ 10.21（水）
- 個人情報保護委員会：令和7年度 年次報告、令和6年度 年次報告、漏えい等の対応とお役立ち資料
- 報道：朝日新聞（2026年10月21日）、共同通信（同）、FNNプライムオンライン（同）
各社サイトの状態は、2026年10月22日9時44分ごろ・10時2分ごろに当サイトがアクセスして確認したものです。内容は10月22日朝時点の情報です。アイキャッチ写真：あばさー（Abasaa）／Wikimedia Commons（パブリックドメイン、イオン幕張店・2011年撮影、トリミング・明るさ調整あり）。
コメント