トレジャー・ファクトリー子会社のカインドオルは8月28日、運営するECサイトが不正アクセスを受け、最大13万6464人分の顧客情報が漏えいした可能性があると公表した。同社の説明では、ECプラットフォーム運営会社を装ったフィッシングメールで従業員が認証情報を入力してしまい、そのアカウントには二段階認証が設定されていなかった。侵入者は顧客情報の一括エクスポートを2回実行したという。EC事業者にとっては、自社の管理画面を今日点検する理由になる事例だ。
背景
同社のお知らせによると、8月23日に顧客情報の一括エクスポートが2回実行され、翌24日にメールアドレスの変更が確認されたことで発覚した。漏えいの可能性がある項目は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、注文回数、購入金額、顧客タグ情報、ポイント履歴。クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは含まれていないことを確認したとしている。
原因として同社は3点を挙げた。フィッシングメールによる認証情報の入力、当該アカウントで二段階認証が未設定だったこと、そして設定されていたパスワードが十分な強度ではなかったこと。個人情報保護委員会には報告済みで、対象者には個別に案内メールを送るとしている。
攻撃の入口はシステムの脆弱性ではなく、人と運用だった。プラットフォーム側を装ったメールは、EC事業者であれば日常的に受け取る種類のものだ。
事業者への影響
この事例が示しているのは、カート管理画面のアカウント管理が顧客情報を守る最後の線になっているという事実だ。カートやモールを使っていれば安全、という話ではない。同社が再発防止策として挙げた項目は、そのままEC事業者の点検リストとして使える。
- 管理画面の全アカウントで二段階認証が有効か確認する
- 退職者や外部委託先のアカウントが残っていないか棚卸しする
- 顧客情報の一括エクスポート権限を持つ人数を絞る
- 大量データ出力や不審なログインを検知できる仕組みがあるか確認する
- プラットフォームを名乗るメールのリンクを踏まず、ブックマークから管理画面に入る運用を徹底する
とくに一括エクスポート権限は見落とされやすい。日常業務で使う頻度が低いにもかかわらず、多くのカートでは管理者権限に標準で含まれている。今回はこの権限がそのまま被害の規模になった。
あわせて、漏えいが起きた場合の連絡手順も確認しておきたい。カインドオルは判明から公表まで4日、個人情報保護委員会への報告も並行して進めている。手順を事前に決めていなければ、この速度は出ない。
今後の見通し
同社は専用の問い合わせ窓口を設置準備中としており、詳細は後日ホームページで案内するとしている。漏えいした情報にはメールアドレスと購入履歴が含まれるため、これらを使った二次的な詐欺メールが対象者に届く可能性がある。同種の手口はほかのEC事業者にも向けられているとみられ、管理画面の認証設定を見直す動きが広がる可能性がある。
出典
- カインドオル「不正アクセスによるお客様情報漏えいに関するお知らせ」2026年8月28日：https://www.kind.co.jp/notice-20260828
- ITmedia NEWS 2026年8月28日：https://www.itmedia.co.jp/news/article/2608/28/2000000908/
- ネットショップ担当者フォーラム「トレジャー・ファクトリー子会社のECサイトに不正アクセス、個人情報が漏えい」2026年9月1日：https://netshop.impress.co.jp/n/2026/09/01/16648
