7つの壁をA＝3点、B＝2点、C＝1点、D＝0点で採点し、21点満点で並べました。

7つの壁・総合スコア（21点満点）

A＝3点、B＝2点、C＝1点、D＝0点。「最弱リンク」は7つの壁のうち最も低い評価。2026年8月23日時点の公開情報から筆者が判定。非公開の不正検知や内部統制は評価に含みません。

6サービス × 7つの壁（一覧）

A＝3点、B＝2点、C＝1点、D＝0点。横に読むと「どの壁で差がつくか」、縦に読むと「そのサービスの弱点」が見えます。

横に読むと分かることがあります。差がついたのは壁1（相手に渡る情報）と壁3（ログイン防御）の2つだけで、壁5にいたっては6サービスすべてがBです。逆に縦に読むと、Aが4つある2サービス（Yahoo!フリマ／Yahoo!ショッピング）と、Aが1つもない3サービスに分かれます。

この比較で、実は差がつかなかった壁

7つのうち壁5（決済ページの改ざん耐性）だけは、6サービスすべてがBでした。理由は単純で、どのサービスも公開情報からは判断できないからです。そして皮肉なことに、この壁こそが2026年に最大の被害を出しています。詳しくは第7章で扱います。

第1章 おわり — 実際のデータへ

この章は、この記事だけの独自集計です。手元にある国内の情報漏えい報道データベース（2025年8月〜2026年8月／745件）と、総務省の家計統計を突き合わせました。

【独自集計】EC事案だけ、原因の構造が逆転している

745件の漏えい事案を原因別に分類し、そのうち通販・ECサイトに関する29件を取り出して比べました。結果は予想以上にはっきりしていました。

出典：国内の情報漏えい報道データベース（security-next等の報道記事から事案を抽出／2025年8月1日〜2026年8月21日・745件）を筆者が集計。通販・ECは記事タイトルに「通販」「ECサイト」「オンラインショップ」等を含む29件。同一事案の続報を含むため、ユニークな事故件数とは一致しません。

数字を並べます。全体745件のうち誤操作・設定ミスが342件（45.9％）、紛失・誤廃棄が189件（25.4％）。合わせて7割超が「うっかり」です。不正アクセスは100件で13.4％にすぎません。

ところが通販・ECサイトの29件を取り出すと、不正アクセスが24件で82.8％。比率にして6.2倍です。残りは誤操作2件、不明2件、ランサムウェア1件でした。

さらに、この29件のうち20件（69.0％）でクレジットカード情報が漏えい対象に含まれていました。データベース全体でカード情報を含む事案は33件なので、その6割がEC事案ということになります。

【独自集計】カード情報の漏えいは、業種を問わず起き続けている

データベース全体でカード情報が漏えい対象に含まれた事案は33件ありました。月別に並べると、途切れることなく発生しているのが分かります。

出典：同上（国内の情報漏えい報道データベース）。「クレジットカード」等を漏えい対象として報じた事案を筆者が集計。2026年8月は集計期間が21日までのため掲載していません。

並んでいる業種を見ると、この問題の性質がよく分かります。特産品、ホビー、靴、笹だんご、作業服、オーガニック食品、ネット印刷、ビジネスフォン、リサイクル着物、カーテン、包装資材、豆腐、プリンタ用インク――業種にはまったく共通点がありません。

【独自集計】ネット通販の主役は、すでに高齢層に移っている

もう一つ、守るべき相手の変化を見ます。総務省の家計消費状況調査から、ネットで注文をした世帯の年齢構成を2015年と2025年で比べました。

出典：総務省「家計消費状況調査」政府統計コード0003168295（総世帯・年次）の「インターネットを通じて注文をした世帯」を世帯主の年齢階級別に筆者が集計し、構成比に換算。

2015年、ネット通販を使う世帯のうち70代以上は9.5％でした。2025年には18.8％。ちょうど倍です。60代以上でみると30.4％→41.6％。逆に40代以下は43.8％→33.5％と下がっています。伸び率でいえば80歳以上が4.94倍、70代が3.83倍で、40代の1.47倍を大きく上回りました。

第2章 おわり — なぜゼロ知識にできないのかへ

このシリーズでは、パスワード管理アプリの記事で「運営会社にも中身が読めない」設計を高く評価しました。フリマ・ECに同じ物差しは使えません。理由を正確に書きます。

被害は4つの境界のどこかで起きる

採点する「7つの壁」

第3章 おわり — フリマ3社の比較へ

フリマアプリで最も気にされるのが「取引相手に住所が知られるか」です。3社とも匿名配送を用意しています。ですから、そこを比べても意味がありません。差が出るのはどういう条件で匿名になるかです。

第2章の統計と、この表を重ねてください

フリマ3社の壁1〜壁7

カード情報と本人確認の扱い

メルカリはカード、銀行口座、本人確認情報を取得し、カード決済は3Dセキュア2.0に対応しています。Yahoo!フリマはYahoo!ウォレットのカードとPayPay、受取口座、必要に応じた本人確認で、3Dセキュアに対応。楽天ラクマはカード・銀行・電子マネー等に対応しますが、3Dセキュアは一部の利用時にとどまります。

第4章 おわり — ECモール3社へ

モール型ECでは、匿名配送という考え方がそもそも成立しません。商品を発送するのは店舗だからです。つまり店舗が氏名・住所・電話番号・注文内容を持つのは、避けようのない前提になります。

そのうえで各社が工夫しているのが、「渡さなくていいものは渡さない」という線引きです。

ECモール3社の壁1〜壁7

楽天市場が壁2でAなのは、カード番号だけでなく実メールアドレスまで店舗に渡さないと説明している点を評価しました。メールアドレスが渡らなければ、店舗側が漏えいしたときにあなたのメールアドレスを起点にしたフィッシングが起きにくくなります。地味ですが実効性のある設計です。

ただし正確に書いておくと、ショップ側はカードのブランドと下4桁を把握し得ます。「カード情報が一切渡らない」ではなく「決済に使える完全な番号は渡らない」という理解が正しい。逆に、第三者があなたの楽天会員アカウントに不正ログインしたとしても、登録済みカード番号は読み取れないと説明されています。

第5章 おわり — ログイン防御の現在地へ

第3章の境界③――アカウントの乗っ取りです。ここはこの1年で最も動いた領域で、各社の姿勢がはっきり分かれました。

ラクマの評価が割れる理由

楽天ラクマの壁3をCにしたのは、機能がないからではありません。入口が2つあって、片方だけが強いからです。

壁4：ログイン履歴と「全端末からログアウト」

意外に差が出たのがここです。Yahoo! JAPAN IDにはログイン履歴の確認と、全セッションを終了する機能があります。乗っ取りに気づいたとき、攻撃者が持っている「ログイン済みの状態」を強制的に切れるかどうかは決定的です。

パスワードを変えても、既存のセッションが生きていれば攻撃者はログインしたままです。第3章で「パスキーはログインの瞬間しか守らない」と書いたのは、この意味でもあります。自分が使っているサービスに「すべての端末からログアウト」があるか、いま探してみてください。

第6章 おわり — この記事で最も重要な章へ

第2章のデータで、EC事案の82.8％が不正アクセスだと分かりました。では攻撃者は何を狙っているのか。答えは個々の店舗ではなく、その下の共通基盤です。

2026年8月：ショップサーブ事案

この事案の本質は件数ではありません。1つの基盤が破られた結果、そこに乗っていた無数の店舗の顧客が同時に漏れたという構造です。

Webスキミングは「カード情報を持たない」設計でも防げない

もう一つ、決定的に重要な誤解を解いておきます。第2章で見た「決済アプリ改ざん」――Webスキミングの仕組みです。

第2章で抜き出した8件の改ざん事案――カーテン通販60,663人、豆腐通販73,213件、駿河屋30,431件、包装資材3,973人、オーガニック食品2,466人――は、いずれもこの型です。業種はばらばらなのに手口が同じなのは、攻撃者が業種ではなく「同じ作りのサイト」を探しているからです。

だから、この6サービスを使うこと自体が対策になる

皮肉な結論ですが、これがいちばん実務的です。大手モールやフリマの中で完結して買えば、決済ページはモールのものです。個別の店舗が自前で用意した決済画面を通らずに済みます。

第2章のデータを思い出してください。カード情報を含む漏えいのリストに並んでいたのは、笹だんご、健康靴、作業服、リサイクル着物、包装資材、豆腐、インク――いずれも検索して初めて名前を知るような、専門店の自社サイトでした。今回比較した6サービスの名前は、そこにありません。

第7章 おわり — 選び方と今日の行動へ

6サービスはいずれも大手が運営する巨大なプラットフォームで、どれを使っても、無名の通販サイトでカードを入力するよりは安全側です。そのうえで、目的別に整理します。

今日やる7つの設定（所要20分）

第8章 おわり — FAQへ