お客様各位
日頃はAnd MONOをご利用いただきまして、誠にありがとうございます。
2026年は、国内のECサイトやECプラットフォームにおける大規模な個人情報漏えいの公表が相次ぎ、また10月21日にはWebサイト構築に広く使われるプログラミング言語PHPの重大な脆弱性も公表されました。
生活道具のセレクトショップ「And MONO（アンドモノ）」を運営する株式会社みのり（本社：高知県四万十市）は、お客様に安心してお買い物いただけるよう、当店がお客様の個人情報と決済情報をどのように守っているかを、以下のとおりご報告いたします。
2026年10月23日時点で、当店においてお客様の情報が漏えいした事実や、不正アクセスの痕跡は確認されておりません。お客様にお願いする作業もございません。
【要点】
- And MONOの公式オンラインストア（and-mono.com）は、世界175か国以上で利用されるECプラットフォーム「Shopify（ショッピファイ）」上で稼働しています。ShopifyはクレジットカードのセキュリティPCI DSSの最高水準「レベル1」の認定と、SOC 2 Type IIの監査報告を取得しています。
- 2026年10月21日公表のPHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）について、当店のオンラインストアおよび自社開発ツールはPHPを使用しておらず、影響はありません。
- クレジットカード番号は、Shopifyペイメントおよび決済代行会社KOMOJUの決済基盤で処理され、当社のサーバーやスタッフには渡りません。
- お客様アカウントはパスワードを使わないワンタイムコード方式のため、当店側に「漏えいしうるパスワード」が存在しません。
- 2026年10月に、管理者アカウントの認証をパスキーと認証アプリへ移行してSMS認証を廃止し、スタッフの権限を業務に必要な最小限に整理しました。
- 外部アプリの利用を必要最小限に絞り、5つの機能を自社開発に置き換えて、外部事業者がお客様のデータに触れる範囲を縮小しています。なりすましメール対策（SPF・DKIM・DMARC）も設定済みです。
【1. 当店のシステム構成と、PHPの重大な脆弱性との関係】
2026年10月21日、Webサイトの構築に広く使われているプログラミング言語PHPに、2件の脆弱性（CVE-2026-109618 / CVE-2026-109619・深刻度はCVSS v4で9.2）が公表されました。条件がそろうと、認証なしにサーバー上で任意のコードを実行されるおそれがあるものです。
And MONOの公式オンラインストア（and-mono.com）は、ECプラットフォーム「Shopify」上で稼働しており、当社が独自にPHPのサーバーを運用している箇所はありません。また、領収書の発行やお気に入り機能など当社が自社開発している補助ツールも、PHPを使用しない構成（Node.js／Python）で稼働しています。以上から、本脆弱性による当店への影響はありません。
【2. お客様の個人情報と決済情報は、どこで、どのように守られているか】
- 保管場所：お客様のお名前・ご住所・ご注文履歴は、ECプラットフォームShopifyのシステム上で管理しています。Shopifyは、クレジットカード業界のセキュリティ基準PCI DSSの最高水準である「レベル1」の認定事業者であり、第三者監査によるSOC 2 Type IIおよびSOC 3の報告書を取得しています。
- クレジットカード情報：カード番号・有効期限・セキュリティコードは、Shopifyペイメントおよび決済代行会社KOMOJU（コンビニ決済・スマホ決済等）の決済基盤で直接処理されます。カード番号が当社のサーバーに保存されることはなく、当社スタッフが管理画面で確認できるのはカードブランドと下4桁のみです。
- 通信の暗号化：オンラインストアとチェックアウト（ご購入手続き）の通信は、すべてTLSにより暗号化されています。
- 不正注文の自動検知：すべてのご注文に対してShopifyの不正解析が自動で働き、リスクの高い注文は出荷前に当社が確認しています。
- お客様アカウント：当店のお客様アカウントはパスワードを使用しない方式です。ログイン時にメールアドレス宛に届く6桁のワンタイムコードを入力していただくため、当店側にパスワードが保存されておらず、他サービスから流出したパスワードを使った「使い回し攻撃」の対象にもなりません。
【3. スタッフアカウントと管理画面の認証強化（2026年10月）】
- ストア管理者アカウントの認証を、パスキー（FIDO2）および認証アプリ方式へ移行し、SMS（ショートメッセージ）による認証を廃止しました。パスワードも更新しています。
- 店舗スタッフが使用するアカウントは、注文処理とお客様対応に必要な権限のみを持つ専用の役割に限定しています。顧客データのエクスポート、設定変更、決済設定、アプリの追加はスタッフアカウントからは行えません。
- スタッフのログインは、業務用パソコンごとに登録したパスキーに限定しています。パソコンの入れ替えや担当者の変更時は、該当するパスキーを個別に失効させます。
- システム間の連携に使用する認証情報（APIの秘密鍵）を2026年10月に更新し、保管場所を見直しました。
【4. 外部アプリ・連携ツールの絞り込みと、自社開発ツールの安全設計】
ECサイトの情報漏えいでは、サイト本体ではなく、連携している外部アプリが侵入経路となる事例が報告されています。当店では2026年に導入アプリの棚卸しを行い、お客様のデータにアクセスする外部アプリを必要最小限（商品レビュー・配送先住所の検証・商品オプション・購入後のおすすめ表示の4つ）に絞りました。
お気に入り機能、送料無料までの金額表示、領収書の発行、配送追跡番号の登録、返品・交換の受付の5つの機能は、外部アプリから自社開発のツールへ置き換え、外部事業者がお客様のデータに触れる範囲を縮小しています。自社開発ツールは次の方針で運用しています。
- Shopifyからの呼び出しは署名を検証し、正規のリクエスト以外は受け付けません。他のお客様の情報を閲覧することはできない設計です。
- 管理画面の拡張機能（追跡番号の登録・発注など）は、トークン認証を通過したスタッフのみが使用できます。
- LINE公式アカウントの連携では、LINE社からの通知に対して署名検証を行い、第三者による偽の通知を受け付けません。関連するデータは国内（東京リージョン）のデータベースにアクセス制御付きで保管しています。
- 自社開発ツールでクレジットカード情報を扱うことはありません。
【5. なりすましメール対策】
当店の送信ドメイン and-mono.com には、送信元を証明する認証技術SPF・DKIMを設定し、さらにDMARC（ポリシー：quarantine）を適用しています。これにより、当店を装って送られた偽のメールは、受信側のメールサービスで迷惑メールとして隔離されやすくなります。
当店からのご注文確認・発送完了・メールマガジンは、すべて「@and-mono.com」のアドレスから送信しています。
【6. 社内で保管するデータの棚卸し】
2026年10月に、社内のクラウドストレージおよびパソコンに保管されていたファイルについて個人情報の総点検を行い、保管の必要がなくなった過去の注文データや帳票類を業務用ストレージから撤去しました。今後も、お客様の情報は原則としてShopifyのシステム内のみで取り扱い、社内に複製を残さない運用を続けます。
【お客様へのお願い】
当店がメール・LINE・お電話で、クレジットカード番号・セキュリティコード・ログイン用のワンタイムコードをお尋ねすることはありません。
当店を名乗る不審なメールやメッセージを受け取られた場合は、記載のリンクを開かず、お問い合わせページまでお知らせください。ご注文内容のご確認は、メール内のリンクではなく、公式サイト（https://and-mono.com/）に直接アクセスしてお客様アカウントからご確認いただくのが最も安全です。
【よくあるご質問】
Q. And MONOで個人情報の漏えいはありましたか？
A. いいえ。2026年10月23日時点で、お客様の情報が漏えいした事実や不正アクセスの痕跡は確認されていません。本お知らせは、国内で相次ぐ漏えい報道とPHP脆弱性の公表を受けて、当店の対策を予防的にご報告するものです。
Q. 2026年10月に公表されたPHPの脆弱性は、And MONOに影響しますか？
A. 影響しません。And MONOのオンラインストアはShopify上で稼働し、自社開発の補助ツールもPHPを使用していないため、本脆弱性の対象外です。
Q. 2026年10月21日に公表されたNode.jsの脆弱性は、And MONOに影響しますか？
A. 当社の自社開発ツールが動作する実行基盤（Vercel）では、Node.jsの修正版を基盤事業者が自動配信する仕組みになっており、2026年10月23日時点で配信状況を継続確認しています。あわせて当社のツールは、Shopify・LINE・自社データベースなどあらかじめ決まった接続先としか通信しないため、公表された脆弱性の攻撃条件（細工された圧縮データの展開や、攻撃者が指定する接続先への通信）に該当しないことを確認しています。クレジットカード情報を扱う経路でもありません。
Q. クレジットカード番号はどこに保存されていますか？
A. Shopifyペイメントおよび決済代行会社KOMOJUの決済基盤で処理・管理されています。当社のサーバーには保存されず、当社スタッフが確認できるのはカードブランドと下4桁のみです。
Q. 利用者側で何かする必要はありますか？
A. ありません。お客様アカウントはパスワードを使わないワンタイムコード方式のため、パスワード変更のお願いもありません。当社からパスワードやカード番号の入力を求めるメールやメッセージが届いた場合は、偽物の可能性がありますので、リンクを開かずにご連絡ください。
Q. And MONOはどのシステムで運営されていますか？
A. 世界175か国以上で利用されているECプラットフォーム「Shopify」です。ShopifyはPCI DSSレベル1の認定とSOC 2 Type IIの監査報告を取得しており、サイトの基盤・決済・お客様アカウントの安全性はShopifyの基準で維持されています。
Q. 対策は今後も続けますか？
A. はい。脆弱性情報の監視、導入アプリの定期的な見直し、スタッフ権限の点検、社内保管データの棚卸しを継続し、重要な変更があれば本サイトのお知らせでご報告します。
今後も、お客様に安心してお買い物いただけるよう、情報セキュリティの向上に継続して取り組んでまいります。
2026年10月23日
株式会社みのり And MONO運営事務局（高知県四万十市）
公式サイト：https://and-mono.com/ お問い合わせ：https://and-mono.com/pages/contact
参考：Shopify Security（Shopify公式）／CVE-2026-109618・CVE-2026-109619（CVE Program）
