概要

開発元の説明では、日本時間2026年10月14日午後7時6分から10月15日午前1時32分頃にかけて、同アプリを使う一部のショップで購入手続きボタンを押すと、正規の購入手続き画面を模した外部の疑似サイトへ誘導する不正なプログラムが読み込まれた可能性がある。同店のデータベースなどに保存された情報の流出はない。ただし、誘導先の疑似サイトで顧客がクレジットカード情報を入力した可能性がある。Free Standardは10月22日に発表し、開発元に対して同店の顧客への影響の有無を正式に調査・確認するよう求めている。

経緯

経緯情報は未登録です。

原因

外部アプリ「Swym Wishlist Plus」の開発元Swym Corporationのシステムが第三者から不正アクセスを受け、アプリのプログラムが改ざんされて偽の購入手続き画面へ誘導する不正なプログラムが読み込まれた。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

あり

金銭的被害

不明

対象システム

Swym Wishlist Plus（お気に入り機能）、SHIPS CYCLE MARKET 購入手続き画面

漏洩した情報

• 可能性ありクレジットカード情報（偽サイトでの入力分）

2026年10月14日19時6分から10月15日1時32分頃に購入手続きを行った顧客が偽サイトでカード情報を入力した可能性がある。同店のデータベースからの情報流出はない。アプリの機能停止により、お気に入り機能が利用できない状態になっている。

対応

開発元に顧客への影響の有無を正式に調査・確認するよう求め、該当期間に購入手続きを行った顧客にカード利用明細の確認を呼びかけている。開発元は予防措置として、全ショップで同アプリの機能を一時停止した。

• 開発元への影響調査の依頼
• 該当顧客へのカード利用明細確認の呼びかけ
• 全ショップでの同アプリ機能の一時停止（開発元）

教訓・対策

• ECサイトに組み込むサードパーティ製スクリプトやアプリは、改ざんされると決済画面の乗っ取りにつながるため、リスクの評価と監視が必要
• 外部スクリプトの整合性検証やCSPの導入を検討する

参考資料

1. 「SHIPS CYCLE MARKET」で利用している外部アプリケーション「Swym Wishlist Plus」に不正アクセス、外部の疑似サイトに誘導
   ScanNetSecurity公開日: 2026-11-02報道二次情報取得日: 2026-11-02

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

Free Standard株式会社

関連するインシデント

関連付けられたインシデントはありません。