島根県は11月2日、同県が物産観光館通信販売WEBサイト運営業務を委託している一般財団法人島根県物産協会が運営するECサイト「しまねのふるさと直送便」への不正アクセスについて発表した。
これは島根県物産協会が「しまねのふるさと直送便」構築に使用しているプラットフォーム「EC-CUBE」にて、決済のために導入しているAmazon Payプラグインの脆弱性を悪用した不正侵入で、当該サイト利用者の個人情報が一時閲覧可能な状況となったというもの。
同県によると8月13日午後3時30分頃、第三者からの不正アクセスが発生し、不正な管理者アカウントの作成と決済画面の入力内容を読み取ることができる不正なファイルの設置（既存の正常なファイルの改変）が行われている。
その後、8月14日午前12時30分頃に、プラットフォーム提供事業者からサイト制作・保守業者に対しAmazonPayプラグインの脆弱性について連絡があり、同日午後1時15分頃に当該サイトを確認したところ、不正な管理者アカウントの作成と管理画面への不正アクセスが判明したという。
流出した可能性があるのは、2026年8月13日午後3時30分頃から8月15日午前10時50分頃の間に「しまねのふるさと直送便」で決済された7人（うち購入に至った人数は6人）のクレジットカード情報（カード番号（全16桁）、カード有効期限、カード名義、セキュリティコード、支払い方法）。
島根県物産協会では10月23日に、該当の利用者に対しメールで謝罪とクレジットカード取引履歴の確認等を依頼する注意喚起の連絡を行っている。
同県によると、購入に至った6名と連絡が取れ、11月1日現在、クレジットカードの不正利用は確認されていないという。
同県では、再発防止に向けて下記の取り組みを行うとのこと。
・島根県
島根県物産協会に、事柄の大小にかかわらず、問題が発生した場合には島根県に早急に報告することを徹底するよう指示
・島根県物産協会
プラットフォーム提供事業者によるEC-CUBE本体の情報漏えいリスク低減策の実施に合わせた対応
セキュリティ対策強化の一環として「しまねのふるさと直送便」にWAFを導入
