フォレンジック調査は、かなり専門的な対応を行う事になるかと思いますので、
やはり専門の業者にお願いせざるを得ないと考えられます。
最近は攻撃の手口が多様化していて、知らない間にサーバが乗っ取られていたりしますので、
その辺りを調べてもらえるのかと思います。
事情が分からないので何とも言えませんが、
身内（サイト管理者、スタッフ、協力開発会社）による攻撃の可能性も含めて考えると
自分達での調査には限界があると思います。

＞カード情報不保持で、偽決済サイトに飛ぶのに調査してもと思ってます。
最近は偽決済サイトに飛ばしてカード情報を入力させて盗むというのは聞きますが、
もし、自サイトでそのような状態になっているとすれば、
本来、書き換えの出来ないエリアのプログラムに手を加える事が出来る可能性があるという判断になっているのかと思います。

＞なかなかの費用感だと思ってしまいましたが、そんな企業はEC-Cubeとかで安易に導入するとまずいかもしれませんね。
＞月額保守をしっかり払ってセキュリティパッチを継続してあてる必要があるってことですね。
そうですね。
規模にもよりますが、通販サイトを構築して、あとは日々の運用を回していくだけという認識だと危ないかもしれません。
サイトの規模（売上や会員数）に併せて、セキュリティも含めたリスク管理は必要かと思います。

----------------
株式会社シロハチ
■ECCUBE2系、3系構築カスタマイズご相談ください。
■EC-CUBE3マニュアル
■blog