駿河屋は安全？クレカ決済は停止中・再開未定｜2026年10月時点の現在地と対処

中古通販の駿河屋.JPは、2025年の不正アクセスでクレジットカード情報が外部に送信されうる状態になり、同年8月8日からカード決済を停止しました。2026年10月13日時点でも再開の告知は出ておらず、支払方法の一覧からクレジットカードは外れたままです。停止から1年2か月がたっています。この記事では駿河屋の公式お知らせとヘルプで確認できる事実だけを使い、漏えいの対象になる条件、今使える支払い手段、カードを使った人がとる手順、パスワード変更や二段階認証の詰まり所、駿河屋を装う偽サイトの見分け方までを整理します。

まとめ：2026年10月13日時点の駿河屋の状況

先に結論を並べます。状況は変わりうるため、購入前には駿河屋公式のお知らせで最新を確認してください。

• カード決済は停止が続いている。支払方法は11種で、クレジットカードは含まれない。買い物自体は通常どおりできる。
• 漏えいの対象は、2025年7月23日12時50分から8月8日までに駿河屋.JPでカード番号を入力した人。対象はカード30,431件、29,932名。
• 原因は推測ではなく確定している。監視ツールの脆弱性を突かれ、決済ページ用のJavaScriptが改ざんされた。
• 検索上位に出る公式ヘルプ「クレジットカードのセキュリティについて」は事件前の説明のまま。「カード番号を預からない」は保管の話で、入力画面の改ざんは防げなかった。
• 連絡が来ないことは対象外の証明にならない。報告メールは送信エラーで届かなかったケースが一部ある。
• 2段階認証を設定していない会員は、2025年12月からパスワードが順次初期化されている。急にログインできなくなったら再設定が必要。
• 駿河屋独自の返金やポイントによる補償は公表されていない。不正利用の補償はカード会社の規定で扱われ、カード再発行の手数料は利用者負担にならないよう駿河屋が依頼済み。
• 本件は駿河屋.JPだけの事案。楽天市場店・Yahoo!ショッピング店・ヤフオク・メルカリ・実店舗は影響を受けていない。

「駿河屋は安全ではない」の3つの中身

「駿河屋は危ない」「やばい」という評判には、性質の違う3つの話が混ざっています。混ぜたまま読むと判断を誤るので、切り分けます。

2025年の不正アクセスによるカード情報の漏えい

これは実際に起きた事案で、駿河屋自身が公表しています。決済ページに仕込まれた不正なJavaScriptが、利用者の入力したカード情報を外部へ送る状態になっていました。ただし影響を受けるのは後述する特定期間にカード番号を入力した人に限られ、期間外の利用者や実店舗の買い物は対象外です。「駿河屋を使った人全員のカードが危ない」という理解は事実と違います。

駿河屋を装う偽サイト・偽SNSアカウント

こちらは駿河屋本体の問題ではなく、第三者による詐欺です。駿河屋は2026年7月1日に、店舗の閉店や格安販売をうたう偽SNSアカウントの投稿が多数確認されていると注意喚起しました。グループ名を悪用した偽サイトへの警告も継続中です。実害としてはこちらのほうが現在進行形なので、後段の見分け方をそのまま使ってください。

発送日数・商品状態・返品条件への不満

口コミで多い「届くのが遅い」「状態が悪い」は、セキュリティとは別の話で、多くは規約の数字で説明がつきます。駿河屋の配送ヘルプでは、各種PAY払いや代金引換の注文は確定後1日から9日程度で発送です。注文の締めは午前8時で、それ以降の注文は翌日の処理に回ります。銀行振込と現金書留は前払いのため、入金を確認してからの発送になります。北海道・沖縄と九州の一部（長崎・大分・熊本・宮崎・鹿児島）は陸送・船便で、さらに日数がかかります。

返品は返送・返金のヘルプのとおり、自己都合では受け付けていません。初期不良や商品違いは1週間以内に連絡する必要があり、事前に案内された状態不備以外の破損・汚損があった場合は返送後に返金されます。新品は初期不良を除き、開封済み・使用済みの返品ができません。届いたらその週のうちに中身を確かめる、という一点を守れば、「最悪」の多くは避けられます。送料は1,500円以上で無料ですが、5,000円未満の注文には通信販売手数料が本州・四国・九州で240円、北海道・沖縄で570円が別途かかります。

漏えい対象かどうかの判定条件

駿河屋が2025年12月4日に公表したフォレンジック調査完了のお知らせで対象サーバーへの侵入時刻が特定され、漏えい対象期間が確定しました。

対象となるのは、2025年7月23日12時50分から2025年8月8日までの間に、駿河屋.JP（suruga-ya.jp）でクレジットカード番号を入力した人です。この期間にカード情報を入力していなければ、本件による漏えいの対象ではありません。実店舗での買い物、楽天市場店・Yahoo!ショッピング店・ヤフオク・メルカリでの取引も対象外だと、駿河屋がよくあるお問い合わせで明言しています。

対象件数と漏えい項目

漏えいの疑いがある対象は、クレジットカード30,431件と、それに付随する29,932名分の顧客情報です。件数と人数は別の数字として公表されています。項目は次のとおりで、カード決済に必要な情報が一式そろっています。

セキュリティコードまで含まれている点が、この事案の深刻さを決めています。番号・有効期限・セキュリティコード・名義がそろえば、本人認証（3Dセキュア）を求めないサイトではカード現物がなくても決済を通せてしまうためです。一方、決済ページでの漏えい以外に、駿河屋が保有する個人情報が持ち出された証跡は、第三者機関の調査でも確認されていません。

対象者への連絡状況と、連絡がない場合の解釈

対象者へのご報告メールは、2025年8月25日から31日にかけて送信され、9月1日に送信完了が告知されました。2025年12月4日の報告後も、追加で連絡が必要になった人にはメールまたは書状で個別に連絡するとしています。影響のなかった人への個別連絡は「混乱を来す可能性を考慮し」予定されていません。

ただし連絡が来ないことは、対象外である証明にはなりません。駿河屋は2025年9月1日の告知で、メールアドレスのエラーにより送信が完了しなかったケースが一部で確認されたと認め、届いていないと確認できた顧客には電話または郵便で順次連絡すると説明しています。心当たりの期間に利用した記憶があるなら、迷惑メールフォルダと登録メールアドレスの受信可否を確認したうえで、後述の明細確認まで済ませてください。なお駿河屋は、自社からの連絡でカード情報やパスワードを直接聞くことは一切ないと明言しています。事案に便乗した電話やメールには応じないでください。

原因は監視ツールの脆弱性とJavaScript改ざん

侵入経路は公表済みです。監視ツールの脆弱性を突いた不正アクセスにより、決済ページ用のJavaScriptが改ざんされました。「侵入経路は不明」「フィッシングかもしれない」といった推測は、2025年12月の公表をもって不要になっています。

時系列は次のとおりです。駿河屋は2025年8月8日の第一報で、7月23日に自社で不正アクセスを検知し調査とモニタリングを始めていたと説明しています。改ざんの特定は8月4日で、こちらは外部からの問い合わせが起点でした。検知から改ざん特定までに12日間を要したことになります。

調査完了から公表まで約2か月空いた点について、駿河屋は再発防止策の実効性確保を優先し関係各社と調整していたためと説明し、時間を要したことを謝罪しています。デジタルフォレンジックとは？種類・調査の流れと企業が平時に備えること｜株式会社一創で触れているとおり、侵入時刻の特定にはログの保全と解析が必要です。駿河屋も8月の時点で、調査会社から類似事案では数か月を要する場合もあったと説明されていたと明かしています。

公式ヘルプの「安全にお買い物できます」が保証する範囲

「駿河屋 安全」で検索すると、駿河屋公式のクレジットカードのセキュリティについてが上位に出ます。このページは2026年10月13日時点でも、入力されたカード番号はSSLで暗号化して直接カード会社へ送るため当社では預からない、カード番号をサイトに残さない「もたざる決済」を採用している、2008年12月に国内第1号としてVisaのサービスプロバイダー認証を取得した、と説明し、「安全にお買い物できます！」と結んでいます。事件やカード決済の停止には触れていません。

書かれている内容自体は事実です。駿河屋はよくあるお問い合わせでも、カード情報は自社サーバーを介さず決済代行会社へ直接送る仕様で一切保持していないと説明し、決済代行会社からの漏えいも確認されていません。旧来の支払方法の案内には、3Dセキュア2.0の導入も記載されていました。

それでも情報は漏れました。カード情報を保存しないECサイトでも、利用者がブラウザに入力した瞬間の値は、そのページで動くJavaScriptから読み取れるからです。攻撃者は保管庫を破るのではなく、入力フォームに細工をして入力中の値をそのまま外部へ送りました。「預からない」は保管の安全を、本人認証は決済時のなりすましを防ぐ仕組みで、どちらも入力画面そのものの改ざんには効きません。公式ヘルプの「安全」は保管の仕組みについての説明で、Webスキミングまで防げるという意味ではない、と読むのが正確です。ECサイトの情報漏えいはほかでも起きており、対象かどうかの確かめ方と便乗メールの見分け方はEストアー（ショップサーブ）情報漏えい：どの店舗が対象か・お詫びメールは本物かでも扱っています。追加認証の仕組みそのものは3Dセキュアとは？EMV 3-Dセキュア2.0の仕組み・認証フローとEC決済への実装を開発視点で解説にまとめています。

駿河屋が公表した再発防止策

2025年12月4日の報告で、駿河屋は次の対応を進めていると公表しています。

• カード会社・決済代行会社と連携した不正利用監視
• 改ざん検知の強化
• アクセス制御と多層防御の強化
• 定期的な第三者診断

今回の起点が監視ツールの脆弱性と決済ページの改ざんだったことを踏まえれば、改ざん検知と第三者診断はふさぐべき穴に対応しています。ただしこれは会社側の自己申告で、再開の条件とされる外部確認が終わった、という告知はまだ出ていません。自社のECサイトで同じ穴をふさぐなら、決済ページで動くスクリプトを対象に含めた脆弱性診断・セキュリティ診断を定期的に受けるのが、駿河屋の再発防止策と同じ方向の手当てです。

クレジットカードが使えない理由と今使える支払い方法

駿河屋.JPでカードが選べないのは、不具合ではなく2025年8月8日からの停止措置が続いているためです。決済代行会社との規定に基づく停止で、駿河屋の判断だけでは再開できません。

支払方法一覧からのクレジットカード除外

2026年10月13日時点で、駿河屋.JPのヘルプお支払いについてが案内する支払方法は次の11種です。クレジットカードを含む旧一覧は停止後に差し替えられ、制限と手数料は同ページの記載に準拠します。

この一覧には、旧一覧に無かったメルペイが加わっています。メルペイの提供開始は2025年9月2日で、カード決済停止の直後にキャッシュレス決済を拡充したものです。PayPayとd払いとあわせてマーケットプレイスの支払いにも対応しています。追加時の告知では、金券に加えて成年向け商品にもメルペイは使えないとされています。

注意したいのは、公式サイト内に停止前の記述が残っているページがあることです。特定商取引法に基づく表記の支払方法欄にはクレジットカードが残り、配送ヘルプには「最短での発送をご希望の場合は、クレジット支払い、代金引換」という案内が残っています。どちらも停止の告知に合わせて更新されていない箇所で、実際に選べる手段はお支払いヘルプの一覧が示すものです。

Google Payが使えないときの条件

一覧にあるのにGoogle Payで払えない、という場合は次の制限に当たっていることが多いです。お支払いヘルプによると、Google Payは予約商品とマーケットプレイスの商品には使えません。Googleアカウントに支払い方法を追加しておく必要もあります。さらに、不正利用を防ぐため注文者の本人確認を行う場合があり、出荷までに時間がかかったり、他の決済手段への変更を求められたりすることがあると明記されています。マーケットプレイスの商品を含むならPayPay・d払い・メルペイ、予約商品を含むならPayPay（前払い）・代金引換・銀行振込（前払い）・現金書留に切り替えるか、カートを分けます。

再開の条件と現在地

駿河屋は再開の条件を「対策実装と外部確認の完了後」と明示しています。2025年8月の時点では「フォレンジック調査が完了し、安全性が確認された後」とされていましたが、調査が10月10日に完了したあとの12月4日の報告で、外部確認まで含む条件に置き直されました。決定次第ウェブサイトで案内するとされていますが、2026年10月13日時点で再開を告げるお知らせは出ていません。再開時期を特定の月として書いている記事があれば、公式に根拠のない予測です。

「駿河屋 クレジットカード 再開」で検索すると、2025年6月に成人向け商品のカード決済が再開したという業界メディアの報道が出てきます。これは情報漏えいが起きる前の別件で、今回の停止が解除されたという話ではありません。

カード利用者がとる対処と賠償・補償・再発行手数料の扱い

対象期間に駿河屋.JPでカードを使った覚えがあるなら、順にこう動きます。

1. 2025年7月23日以降のカード利用明細を確認する。不正利用は少額決済で試される手口が知られているため、金額の小さい行も飛ばさない。
2. 身に覚えのない請求があれば、カード裏面に記載のカード発行会社へ直ちに連絡し、利用停止と再発行を相談する。
3. 不正利用がなくても不安なら、予防的にカードの差し替えを相談する。

差し替えを選ぶ場合、カード再発行の手数料は利用者に負担がかからないよう、駿河屋からカード会社へ依頼済みです。これは公式の調査報告に明記された対応で、一般論としての「多くのカード会社は無料で対応します」とは根拠の重みが違います。カード会社に連絡する際は、駿河屋の件である旨を伝えてください。

賠償や補償については、2026年10月13日時点の公式お知らせを通して読んでも、駿河屋が独自に返金やポイント付与などの補償を行うという告知はありません。駿河屋のよくあるお問い合わせは、不正利用の請求について「カード会社の規定により補償が適用されるケースが一般的」と答え、補償の相談先をカード発行会社としています。カード会社の補償には届出期限や手続きの定めがあるため、気づいたら先延ばしにしないことが実際の負担を左右します。個別の損害について駿河屋へ問い合わせる場合は、後述のメール窓口が受付先です。

パスワード変更・二段階認証の詰まり所

駿河屋は調査報告のなかで、アカウント保護のためにパスワード変更と2段階認証の有効化を利用者に依頼しています。さらに2025年12月24日のお知らせで、2段階認証を使っていない会員を対象に、パスワードの初期化（リセット）を段階的に実施していると告知しました。初期化された会員は、新しいパスワードを設定するまでマイページにログインできません。駿河屋はこの措置を、特定の情報漏えいによるものではなく、2段階認証を有効にしていない会員への一斉措置だと説明しています。急にログインできなくなったなら、まずこの初期化を疑い、パスワード再設定ページから新しいパスワードを登録します。2段階認証の有効化自体は任意ですが、駿河屋はすべての会員に強く推奨しています。

確認メール未着と24時間の期限切れ

駿河屋のマイページのヘルプによれば、パスワードを忘れた場合に送られる再設定用URLは24時間以内に手続きしないと無効になります。新規登録の確認メールとメールアドレス変更の確認処理も同じく24時間以内です。翌日にリンクを開いても手続きできないのはこの仕様によるものなので、もう一度送信し直してから続けてください。メール内のURLが開けないときは、URLをブラウザに貼り付け、改行部分にスペースが入っていないか確認します。12月24日のお知らせが挙げている既知の詰まり所です。

メールが届かない場合は、登録アドレスの誤りに加えて携帯キャリアの迷惑メール対策が原因になります。ヘルプは「suruga-ya.jp」を受信可能ドメインに設定するよう案内しています。認証コードや通知が届かないときも、まずこの設定を確認します。メールアドレスとパスワードを入力してもログイン画面に戻ってしまう場合は、ブラウザでcookieがブロックされている可能性があり、これもヘルプに明記された既知の原因です。メールアドレス自体を変えたいときは、マイページ内の「アカウント変更」から手続きします。

二段階認証と外部ログイン連携

駿河屋はセキュリティ向上のため、二段階認証と外部ログイン連携（Google、Facebook、Apple）を推奨しています。どちらかを有効にすれば、IDとパスワードが漏れても第三者のログインを止めやすくなります。設定はマイページのセキュリティ項目から行います。

ほかのサービスで認証アプリを使う場合は、Microsoft Authenticator（オーセンティケーター）とは？仕組み・使い方・機種変更の手順で登録と機種変更時の移行手順を確認しておくと、端末を買い替えたときに詰まりません。パスワードそのものの決め方はパスワード管理のベストプラクティス：NIST SP 800-63B-4の要件と総務省・NISCの推奨、企業ポリシーの決め方にまとめています。1つのサイトから情報が漏れたときに被害が広がるのは、ほぼ例外なく使い回しが原因です。

問い合わせ先は用件で分かれます。パスワード再設定と2段階認証の手続きについては、12月24日のお知らせが案内する専用窓口（[email protected]）です。不正アクセス事案そのもの（漏えいの対象確認や補償の相談）の窓口は、2026年1月21日の告知により2026年2月1日からメールのみになり、電話受付は2026年1月31日17時に終了しました。宛先は[email protected]で、24時間受け付けたうえで順次回答する体制です。

偽サイト・偽SNSアカウントの見分け方

2026年に入って駿河屋が新たに注意喚起を出したのは、この偽アカウントの件です。駿河屋は2026年7月1日の注意喚起で、店舗の閉店や格安販売を装い、ブランド名やロゴを不正に使った偽アカウントの投稿が多数確認されていると発表しました。閉店セールという設定は、極端な値引きを自然に見せるための定番の口実です。

公式ショッピングサイトのドメイン一覧

もっとも確実な判別軸はドメインです。駿河屋が2025年12月31日に更新した偽サイトへの注意喚起では、自社が運営するショッピングサイトを次のとおり列挙しています。ここに無いドメインで駿河屋を名乗るショッピングサイトは、公式ではありません（会社情報はコーポレートサイトsuruga-ya.co.jpで案内されています）。

SNSの投稿を入り口にせず、駿河屋リアルストアまたはフレンドリーショップの店舗一覧から各店舗の詳細ページを経由してアクセスするのが、店舗アカウントの確認方法です。極端な値引きをうたう広告や、不審なアカウントの投稿に貼られたリンクは開かないでください。

万一、偽サイトでカード情報や個人情報を入力してしまった場合は、カード会社と警察、消費生活センターへ速やかに相談します。この場合は駿河屋本体の事案ではないため、駿河屋の専用窓口ではなくカード会社への連絡が先です。偽サイトの入り口になる広告やリンクを踏む前に止める観点は、セキュリティソフトのおすすめは目的で決まる｜個人・法人の選び方と2026年の脅威対応で整理しています。

メルカリ提携後も公式のままの販売先

駿河屋は2025年12月17日にメルカリとの資本業務提携を発表し、国内の公式ECサイトを駿河屋.JPとメルカリ駿河屋店の2つに集約する方針を示しました。ただしこれは提携時点の方向性で、その2週間後の12月31日に更新された上の注意喚起でも、楽天市場店・Yahoo!ショッピング店・ヤフオク・台湾ECは自社運営として列挙されています。集約の方針が出たからといって、これらが偽物になったわけではありません。

駿河屋.JPを避けたほうがよいケース

カード情報の安全という一点では、入力導線が止まっている現在の駿河屋.JPは事故直前より危険ではありません。それでも避けたほうがよい人はいます。

• クレジットカードでしか支払えない人。カード決済は再開時期が示されていないため、待っても解決する保証がありません。
• 予約商品をキャッシュレスで払いたい人。予約商品に使える手段はPayPay（前払い）・代金引換・銀行振込（前払い）・現金書留に限られ、メルペイ・d払い・au PAY・エポスかんたん決済・PayPal・Google Pay・ペイジーは予約商品に使えません。
• マーケットプレイスの商品を代金引換で受け取りたい人。代金引換・PayPal・ペイジー・銀行振込・エポスかんたん決済・au PAY・Google Payはマーケットプレイスで使えず、対応するのはメルペイ・PayPay・d払いに限られます。
• 急ぎで手元に届けたい人。発送は注文確定後1日から9日程度が目安で、前払いならさらに入金確認の時間が加わります。
• 返品前提で買いたい人。自己都合の返品は受け付けておらず、初期不良や商品違いも1週間以内の連絡が条件です。

逆に、PayPayやメルペイ、代金引換が使えて、発送までの日数と中古品の状態を許容できるなら、今回の事案を理由に利用を止める必要はありません。

よくある質問

駿河屋のクレジットカード決済は再開しましたか？

2026年10月13日時点で再開していません。お支払いヘルプの支払方法一覧にクレジットカードは含まれておらず、再開を告げるお知らせも出ていません。2025年6月に報じられた成人向け商品のカード決済再開は、情報漏えいより前の別件です。最新は駿河屋公式のお知らせで確認してください。

駿河屋は今も安全に使えますか？買って大丈夫ですか？

カード番号を入力する導線自体が止まっているため、同じ手口でカード情報が抜かれる状況にはありません。駿河屋は改ざん検知の強化、アクセス制御と多層防御の強化、定期的な第三者診断、不正利用監視を進めていると公表しています。ただし再開の条件とされる外部確認が終わったという告知はまだありません。買い物はPayPayやメルペイ、代金引換で通常どおりできます。現時点でより注意すべきは、駿河屋を装う偽サイトや偽SNSアカウントのほうです。

自分が情報漏えいの対象かどうか、どう確認しますか？

2025年7月23日12時50分から8月8日までの間に、駿河屋.JPでクレジットカード番号を入力したかどうかで決まります。対象者への報告メールは2025年8月25日から31日に送信済みですが、送信エラーで届かなかったケースが一部確認されています。連絡がないことだけを根拠に対象外と判断せず、心当たりがあれば利用明細を確認してください。

駿河屋でGoogle Payが使えないのはなぜですか？

Google Payは予約商品とマーケットプレイスの商品には使えません。Googleアカウントに支払い方法を追加しておく必要があり、不正利用防止のための本人確認で出荷が遅れたり、他の決済手段への変更を求められたりする場合もあります。マーケットプレイスの商品ならPayPay・d払い・メルペイ、予約商品ならPayPay（前払い）・代金引換・銀行振込・現金書留を選んでください。

駿河屋のパスワード変更や二段階認証がうまくいかないときは？

再設定用URLは24時間で無効になるので、期限切れなら送り直します。メールが届かないなら「suruga-ya.jp」を受信可能ドメインに、ログイン画面に戻るならcookieのブロックを確認してください。2段階認証を使っていない会員はパスワードが初期化されている場合があるので、まず再設定してください。解決しない場合は専用窓口のメール（[email protected]）に問い合わせます。漏えい事案そのものの窓口は[email protected]です。

楽天市場店やYahoo!ショッピング店、実店舗での買い物も対象ですか？

対象外です。本件は公式サイト「駿河屋.JP」のみで発生した事案で、楽天市場店・Yahoo!ショッピング店・ヤフオク・メルカリでの取引と、実店舗での買い物には影響がないと駿河屋が明言しています。

関連記事

• デジタルフォレンジックとは？種類・調査の流れと企業が平時に備えること｜株式会社一創
• パスワード管理のベストプラクティス：NIST SP 800-63B-4の要件と総務省・NISCの推奨、企業ポリシーの決め方
• Microsoft Authenticator（オーセンティケーター）とは？仕組み・使い方・機種変更の手順
• セキュリティソフトのおすすめは目的で決まる｜個人・法人の選び方と2026年の脅威対応
• Eストアー（ショップサーブ）情報漏えい：どの店舗が対象か・お詫びメールは本物か