カインドオルのECプラットフォームのスタッフアカウントへの不正アクセス
- タグ
- 国内
トレジャー・ファクトリーの2026年10月13日の第三報では、連結子会社カインドオルで起きた不正アクセスにより漏えいした個人情報の対象者は、136,464名で確定した〔注1〕［4］。カインドオルは警察に相談しており、被害届の提出に向けた手続きを進めている［4］。
経緯
トレジャー・ファクトリーは、2016年9月にカインドオルの株式を取得して子会社にした［7］。ITmedia NEWSは、カインドオルがブランド古着の買取・販売を手掛けると報じた［6］。
トレジャー・ファクトリーの8月28日の適時開示によると、カインドオルが運営するECサイトで使うECプラットフォームのスタッフアカウントに、第三者が不正にアクセスした［1］。社内調査で、このアカウントを使う従業員にECプラットフォームの運営会社を装ったフィッシングメールが送信されていたことを確認した［1］。メールに記載のリンク先では、アカウントの認証情報が入力されていた［1］。PCのログなどを調べると、認証情報の入力の直後に最初の不正アクセスが起きており、フィッシングメールを通じて認証情報が第三者に取得されたことが原因と判断した［1］。
トレジャー・ファクトリーは同じ適時開示で、アカウントには二段階認証が設定されておらず、メールアドレスとパスワードだけでログインでき、パスワードも十分な強度ではなかったと説明した［1］。こうした認証管理上の不備も、不正アクセスを防げなかった要因の一つと認識しているとした［1］。第三報では、カインドオルがフィッシングメール、受信した従業員のPCのログ、運営会社によるアクセス・操作履歴の調査結果を突き合わせ、不正アクセスの経路と情報が持ち出された経緯を特定したとした［4］。管理上の課題には、二段階認証の未設定に加え、フィッシング攻撃を前提とした認証方式の選択とアカウント保護、顧客情報の一括エクスポート権限の設計、重要な操作を早期に把握する監視体制が十分でなかったことを挙げた［4］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 第三者によるスタッフアカウントへの不正アクセスがあった | ［1］ |
| 2026年 | - | アカウントのメールアドレスが変更され、顧客情報の一括エクスポートが2回実行された | ［1］ |
| 2026年 | カインドオル | 通常業務で注文情報をエクスポートした際に、登録メールアドレスが使っていないものに変わっていたことを確認し、ECプラットフォームの運営会社に調査を依頼した | ［1］ |
| 2026年 | カインドオル | 個人情報保護委員会に報告した | ［1］ |
| 2026年 | トレジャー・ファクトリー、カインドオル | 適時開示と告知で公表した | ［1、2］ |
| 2026年 | カインドオル | 専用の問い合わせ窓口を開設した | ［3］ |
| 2026年 | カインドオル | 個人情報保護委員会に確報を提出した | ［4］ |
| 2026年 | トレジャー・ファクトリー | 調査結果と再発防止策を第三報として公表した | ［4］ |
影響範囲
第三報では、対象者のうち住所情報を含むものは109,311名で、漏えいした情報の項目は8月28日の公表から変わっていない［4］。8月28日の適時開示が対象となった可能性がある情報に挙げたのは、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレスである［1］。メールマガジン購読状況、合計注文回数、合計購入金額、ECプラットフォーム上で管理している顧客タグ情報、ポイント情報履歴（保有・失効・累計）も挙げた［1］。対象となる情報の項目は顧客によって異なり、エクスポートされたデータにクレジットカード情報とECサイトのログインパスワードは含まれていないことを確認したとした〔注2〕［1］。
対応と現状
トレジャー・ファクトリーの8月28日の適時開示では、カインドオルは判明後直ちに、不正アクセスを受けたスタッフアカウントを削除し、ほかのすべてのスタッフアカウントで不審なアクセスや操作が無いかを確かめた［1］。全スタッフアカウントで二段階認証を必須にし、エクスポートの後にほかの操作が無かったかの追加調査をECプラットフォームの運営会社に依頼した［1］。
カインドオルは9月2日の告知で、ECプラットフォーム提供会社の追加調査により、エクスポートされた顧客情報ファイルがダウンロードされていたことを確認したと説明した［3］。それ以外の不正な操作は確認されていない［3］。対象の顧客には個別にメールで案内しているが、登録メールアドレスの状況や受信設定によって届いていない場合があるとした［3］。
カインドオルの8月28日の告知によると、漏えいした情報を悪用し、カインドオルや配送事業者、金融機関などを装った不審なメール、SMS、電話が来る可能性がある［2］。カインドオルが今回の対応を理由に、メールやSMSでパスワード、クレジットカード番号、セキュリティコードなどの入力や回答を求めることはない［2］。
トレジャー・ファクトリーは第三報で、不正利用その他の具体的な二次被害は確認されていないと説明した［4］。専用窓口の運営などの対応費用が発生しているが、連結業績への影響は軽微で、2027年2月期の連結業績予想は変えないとした［4］。
カインドオルの再発防止策
トレジャー・ファクトリーの第三報では、カインドオルは全スタッフアカウントに、フィッシング耐性を考慮したパスキー方式の二段階認証を導入した［4］。アカウントの棚卸し、顧客情報の一括エクスポート権限の限定、重要な操作に関する確認と社内エスカレーションの運用の見直しなども実施した［4］。情報セキュリティマニュアルの整備、フィッシング対策訓練を含む教育、権限の定期的な棚卸しと監視体制の整備は、順次進めている［4］。
グループ全体の対策
トレジャー・ファクトリーの第三報によると、グループは全グループ会社に適用する情報セキュリティ対策ガイドラインを整備し、全グループ会社で情報セキュリティ責任者を選任した［4］。ガイドラインは、個人情報などを持つ外部ツールでの多要素認証などの必須化、顧客データの一括エクスポート権限の制限、標的型攻撃メール対策訓練の実施などを定めている［4］。CSIRT（サイバーセキュリティインシデント対策チーム）の運営方針を改正して全グループ会社を含めた運用と報告の体制を整え、全グループ会社の情報セキュリティ責任者で構成する情報セキュリティ連絡協議会を設けた［4］。全グループ会社が使う外部ツールのアカウント管理、権限、認証の状況の棚卸しは定期的に行い、9月の初回で高リスクと判定したものは是正を進めている［4］。
トレジャー・ファクトリーは10月23日の告知〔注3〕で、8月にカインドオルで起きた不正アクセスを受け、グループ全体で点検・強化を進めてきたと説明した［5］。点検・強化の対象には、二段階認証の設定状況、アカウント・アクセス権限管理、情報の出力権限、セキュリティ監視体制などを挙げた［5］。
未公表の事項
- フィッシングメールの受信日と送信元
- 不正アクセスをした第三者
注
出典
当事者
- ［1］株式会社トレジャー・ファクトリー『当社連結子会社における不正アクセスによる個人情報漏えいに関するお知らせ』（2026年8月28日公開、PDF、適時開示）
- ［2］株式会社カインドオル『不正アクセスによるお客様情報漏えいに関するお詫びとお知らせ』（2026年8月28日公開、2026年9月2日更新）
- ［3］株式会社カインドオル『不正アクセスによるお客様情報漏えいに関する専用お問い合わせ窓口開設のお知らせ』（2026年9月2日公開）
- ［4］株式会社トレジャー・ファクトリー『当社連結子会社における不正アクセスによる個人情報漏えいに関する調査結果及び再発防止策について（第三報）』（2026年10月13日公開、PDF、適時開示）
- ［5］株式会社トレジャー・ファクトリー『不正アクセスによる個人情報漏えいに関するお詫びとお知らせ』（2026年10月23日公開）
報道機関
- ［6］アイティメディア株式会社『トレファク子会社に不正アクセス、13万人超の顧客情報漏えい 二段階認証設定しておらず』（2026年8月28日公開）
背景資料
- ［7］株式会社トレジャー・ファクトリー『沿革』（公開日不明、2026年11月5日閲覧）
更新記録
- 2026年8月30日：公開した。
- 2026年9月2日：カインドオルの9月2日の告知（出典3）を加え、追加調査の結果と個別の案内の状況を「対応と現状」に、窓口の開設を「時系列」に加えた。
- 2026年10月13日：トレジャー・ファクトリーの第三報（出典4）を加え、対象者の確定と警察への相談をリードに、調査で特定した経路と管理上の課題を「経緯」に、確報の提出と第三報の公表を「時系列」に、二次被害の状況、業績への影響と再発防止策を「対応と現状」に加えた。
- 2026年10月23日：トレジャー・ファクトリーの10月23日の告知（出典5）を加え、グループ全体の点検の説明を「対応と現状」に、別の不正アクセスとの違いを「注」に加えた。