「また EC がやられた」という話が、2026年に入って止まらない印象があります。偶然ではなく、攻撃側にとって条件が揃っているからだと思います。
直近の材料は、9月初旬に表面化した Magento／Adobe Commerce のゼロデイ StyleSmuggler（CVE-2026-75650） です。セキュリティ企業 Sansec が悪用を確認し、Adobe は9月7日に緊急修正を出しました（財経新聞の日本語まとめ、Sansec の調査、Adobe の APSB26-146）。「いま起きた事件」を入口に、なぜ EC が狙われ続けるのかを短く整理します。
いま起きていること（入口の事実）
StyleSmuggler の要点は次のとおりです。
- 認証なしでリモートからコード実行できる、深刻度の高い脆弱性
- 悪用開始は 9月4日 前後。ベンダーのホットフィックスは 9月7日（約3日の空白）
- 7〜8月のセキュリティ更新を入れ済みで、パッチ状況チェックもクリーンに見えていたストアでも被害例が報じられた
- 侵入後はバックドアや Web シェルが置かれる事例があり、そこから決済まわりの改ざんへ進みうる
つまり「古い店だけが危ない」話ではない。最新線でも、修正が出るまでの間は共有プラットフォームごと狙われる——これが EC 攻撃のテンポです。
なぜ増えるのか：4つの構造
1. プラットフォームが集中している
世界の中規模以上の自前 EC では、Magento／Adobe Commerce や WooCommerce など、同じ骨格が大量に並びます。脆弱性が1本見つかると、スキャナが「同じ穴」を一気に回せる。個別サイトを人手で攻める必要がない。
過去にも SessionReaper や CosmicSting、PolyShell など、同系統の「認証なし／半自動で量産できる穴」が繰り返し話題になりました。集中は運用効率にもなる一方、攻撃の ROI（投資対効果）を極端に上げる。
2. 決済画面そのものが換金できる
侵入のゴールは、しばしば顧客のカード情報です。いわゆる Magecart（チェックアウトにスキマーを仕込み、決済時に番号や CVV を抜く手法）は、まだ終わっていません。
2026年春以降は、WooCommerce などを中心に、偽の Google Tag Manager 風スクリプトから Ethereum のテストネット上のコントラクトを問い合わせ、スキマー配信先を取り出す EtherHiding 系キャンペーン（報道では HexMage など）も確認されています（Confiant の報告 など）。店舗側から見ると「広告タグの一種」に見えやすく、管理者アカウントではスキマーを出さない、といった隠蔽もあるとされます。
入口がゼロデイでも、プラグイン改ざんでも、ゴールは同じ——チェックアウトの価値——なので、動機が枯れない。
3. 「パッチ済み」と「安全」がずれる
StyleSmuggler の痛点は、既存の定期パッチを当てていてもゼロデイ期間は無防備だったことです。クラウド型のフルマネージドならベンダー側が先に塞ぐことも多い一方、自前ホスティングや拡張の多い構成では、適用・検証・ロールバックのコストが遅れを生みます。
攻撃側は「パッチが出る前の3日」で十分です。スキャンは自動化されているので、空白はすぐ埋まる。
4. 検知回避が追いつきにくい
外部 JS を置く古典的スキマーは、スキャンで拾われやすくなりました。だから攻撃側は次を試します。
- ページ内の SVG／インラインにペイロードを隠す
- 正規ライブラリ（例: ethers.js）経由でブロックチェーンから配信先を取る
- タグマネージャ風の見た目で、運用者が「広告の一部」と誤認する
防御が「怪しい外部ドメイン」だけだと抜けます。チェックアウト周辺の予期しないスクリプト挙動まで見ないと、増え続ける側についていけない。
日本の小規模 EC にとっての読み方
Shopify や BASE、STORES のようなマネージド寄りなら、プラットフォーム側の緊急対応に乗る形が多いです。一方で Magento／自前 WooCommerce／古い独自カートを抱えると、StyleSmuggler 型の話は他人事ではありません。
「大企業が狙われる」イメージもありますが、スキミングはカードが通る店なら規模を問わない。むしろ監視が薄い中小の方が、長く放置されやすい、という指摘は以前からあります。
同じ9月には デジタル庁 GSS の VPN 侵害 も報じられました。入口は VPN と EC で違いますが、「外に面した共有コンポーネントの穴が、一気に広がる」という構図は共通です。
いま押さえておきたいこと（運用側）
技術的な再現手順ではなく、方針だけ書きます。
- 自前 Magento／Adobe Commerce なら、CVE-2026-75650 のホットフィックス適用と、Adobe が求める暗号化キー／決済 API 等のローテーションを公式手順どおり確認する
- チェックアウト HTML／JS の差分を定期的に見る（「誰も触っていないタグ」が増えていないか）
- 拡張・テーマ・決済プラグインの更新経路を一本化し、「入れっぱなし」を減らす
- 可能なら WAF／EC 向け改ざん検知を、パッチ空白の保険として置く
「なぜ増えるか」への答えを一文にすると、穴が共有され、換金先が明確で、パッチ前の空白と検知回避が攻撃側に有利だから、です。ニュースの名前は StyleSmuggler や HexMage と変わっても、この構造が続く限り、EC は狙われ続けると思います。
続報や公式の適用手順は、Adobe／各カート事業者の一次情報を優先してください。