ブランド古着の買取・販売を手がけるカインドオル（トレジャー・ファクトリーの連結子会社）は2026年8月28日、同社が運営するECサイトで利用しているECプラットフォームのスタッフアカウントが第三者に不正アクセスされ、顧客の個人情報が外部に漏えいしたと発表した。漏えいした可能性があるのは、現時点で136,464名分。きっかけは、プラットフォームの運営会社を装ったフィッシングメールだった。
気づいたのは「登録メールアドレスの変更」
同社の発表によると、異変が見つかったのは2026年8月24日である。通常業務として注文情報の出力を行った際、ECプラットフォームのスタッフアカウントに登録されているメールアドレスが、自社では使用していないものに変更されていることを確認した。
直ちにプラットフォームの運営会社へ調査を依頼した結果、第三者による当該アカウントへの不正アクセスが行われた後、8月23日に顧客情報の一括エクスポートが2回実行されていたことが判明した。つまり、社内が気づく前日に、データはすでに持ち出されていたことになる。
漏えいした可能性がある情報は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、同社がECプラットフォーム上で管理している顧客タグ情報、ポイント情報履歴（保有・失効・累計）。登録状況によって対象となる情報は異なり、すべての項目が全員分漏えいしたわけではないとしている。クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは含まれていないことを確認したという。
原因は認証情報の入力と、その先の「守りの薄さ」
同社は原因を明確に説明している。不正アクセスを受けたスタッフアカウントを使用していた従業員宛に、利用中のECプラットフォームの運営会社を装ったフィッシングメールが届き、そこに記載されたリンク先の偽サイトでスタッフアカウントの認証情報が入力されていた。当該PCのログ等を確認したところ、認証情報が入力された直後に最初の不正アクセスが発生していたことから、フィッシングメールを通じて認証情報が第三者に取得されたことが原因だと判断している。
見過ごせないのは、その先だ。当該スタッフアカウントには二段階認証が設定されておらず、メールアドレスとパスワードだけでログインできる状態だった。加えて、設定されていたパスワードも十分な強度ではなかったという。同社はこれらの認証管理が十分でなかったことも、不正アクセスを防止できなかった要因の一つだと認識しているという。
判明後の対応として、不正アクセスを受けたアカウントの削除、他のすべてのスタッフアカウントにおける不審なアクセス・操作の有無の確認、全スタッフアカウントでの二段階認証の必須化を実施した。エクスポート後に他の操作が行われていないかについては、プラットフォーム運営会社へ追加調査を依頼している。個人情報保護法に基づく個人情報保護委員会への報告も行った。
現時点で、本件に起因する個人情報の不正利用など具体的な二次被害は確認されていないという。一方で同社は、漏えいした情報を悪用し、同社や配送事業者、金融機関などを装った不審なメール・SMS・電話が行われる可能性があるとして注意を呼びかけている。同社が本件対応を理由にパスワードやクレジットカード番号の入力を求めることはない、とも明記している。
管理画面のアカウントは「一人分」では済まない
この事案で失われたのは、個人の1アカウントである。だが、そのアカウント1つがエクスポートできる範囲は13万人分だった。ここが、一般の従業員アカウントとSaaS（クラウド型サービス）・ECプラットフォームの管理アカウントとの決定的な違いである。
まず、二段階認証をどこに設定しているかを棚卸しする価値がある。全社的にMFA（多要素認証）を導入していても、業務委託先や外部サービスの管理画面だけが抜け落ちている、という状態は起こりやすい。今回、同社が判明後にまず行ったのが「全スタッフアカウントでの二段階認証の必須化」だったことは、そのまま多くの企業への問いになる。
次に、権限の粒度である。顧客情報の一括エクスポートは、店舗運営に日常的に必要な操作とは言い難い。同社も再発防止策として、顧客情報へのアクセス権限および一括エクスポート権限の見直しを挙げている。誰が全件を持ち出せるのかを把握し、必要な人だけに絞ることは、フィッシングが成功した後の被害の大きさを直接左右する。
そして、検知である。今回、社内が気づいたのは日常業務の中でメールアドレスの変更に目が留まったからだった。逆に言えば、その業務がなければさらに発見は遅れていた可能性がある。同社が再発防止策に挙げる「不審なログイン、重要なアカウント情報の変更、大量のデータ出力等を早期に把握するための監視・エスカレーション体制の強化」は、人の気づきに依存しない仕組みへの移行を意味している。
フィッシングメールを一通も開かせない、という目標は現実的ではない。開かれた後に何が起きるかを設計しておくことのほうが、はるかに実行可能な対策だ。
同じ手口に、自社は備えられていますか？