リユース大手の株式会社トレジャー・ファクトリー（東証プライム）は2026年10月13日、連結子会社の株式会社カインドオルが運営するECサイトで起きた不正アクセスについて、調査結果と再発防止策をまとめた第三報を公表した。個人情報が漏えいした対象者は13万6,464人（うち住所情報を含むものは10万9,311人）で確定した。原因は、運営会社を装った偽メール（フィッシングメール）によるスタッフアカウントの認証情報の窃取で、同社は二段階認証（パスワードに加えて別の手段でも本人確認する仕組み）が設定されていなかったことに加え、顧客情報をまとめて出力（一括エクスポート）できる権限の設計や監視体制が十分でなかったことを管理上の課題として挙げている。
偽メールのリンク先で入力した認証情報が起点に
第一報（2026年8月28日公表）によると、カインドオルのECサイトで使っているECプラットフォーム（オンラインショップの運営基盤となる外部サービス）のスタッフアカウントに、8月22日、第三者が不正にアクセスした。翌23日にはそのアカウントの登録メールアドレスが書き換えられ、同じ日に顧客情報の一括エクスポートが2回実行された。8月24日、通常業務で注文情報を出力しようとした従業員が、登録メールアドレスが社内で使っていないものに変わっていることに気づき、発覚した。
きっかけは、ECプラットフォームの運営会社を装ったフィッシングメールだった。メール内のリンク先で従業員がスタッフアカウントの認証情報を入力しており、その直後に最初の不正アクセスが発生していた。当該アカウントはメールアドレスとパスワードだけでログインできる状態で、パスワードの強度も十分ではなかったという。
第三報では、フィッシングメール、受信した従業員のPCのログ、ECプラットフォーム運営会社が持つアクセス・操作履歴を突き合わせて、侵入の経路と情報が持ち出された経緯を特定したとしている。
漏えいした情報と二次被害の状況
漏えいした項目は第一報から変わっていない。カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、ECプラットフォーム上の顧客タグ情報、ポイント情報の履歴で、漏えいした情報の種類は顧客によって異なる。クレジットカード情報とECサイトのログインパスワードは含まれていない。
同社は、10月13日時点で本件に起因する個人情報の不正利用などの具体的な二次被害は確認されていないとしている。カインドオルは10月6日付で個人情報保護委員会に確報を提出し、警察に相談したうえで被害届の提出に向けた手続きを進めている。
パスキー方式の二段階認証と、グループ全体のルール整備
再発防止策として、カインドオルは全スタッフアカウントに、フィッシングへの耐性を考慮したパスキー方式（端末に保存した鍵で本人確認する方式で、偽サイトにパスワードを入力させる手口が効きにくい）による二段階認証を導入した。あわせて、アカウントの棚卸し（利用状況と権限の点検）、顧客情報の一括エクスポート権限の限定、重要な操作の確認と社内の報告・連絡体制（エスカレーション）の運用見直しを実施し、フィッシング対策訓練を含む教育や監視体制の整備も順次進めている。
トレジャー・ファクトリーもグループ全体の対策を見直した。個人情報を扱う外部ツールでの多要素認証の必須化や一括エクスポート権限の制限などを定めた情報セキュリティ対策ガイドラインを全グループ会社に適用し、各社に情報セキュリティ責任者を置いた。CSIRT（社内のセキュリティ事故対応チーム）の運営方針も改め、グループ全体の報告体制を整えている。外部ツールのアカウント・権限・認証の状況は定期的に棚卸しし、2026年9月に実施した初回の棚卸しで高リスクと判定したものは是正を進めているという。
「SaaSの管理画面」は守りの死角になりやすい
今回の事案は、外部のECプラットフォームの管理用アカウントを1つ奪われただけで、10万人を超える顧客情報が持ち出された点に特徴がある。クラウドサービスの管理画面は、インターネット上のどこからでもログインできる一方、社内システムと比べて認証やログ監視が手薄になっていることがある。
また攻撃者は、不正アクセスの翌日に登録メールアドレスを書き換えている。本来の利用者に変更通知などが届きにくくなる操作であり、こうした「アカウント設定の変更」や「大量のデータ出力」をその場で検知できる仕組みがあれば、被害を食い止められた可能性がある。同社自身も、重要な操作を早期に把握するための監視が十分でなかったことを課題に挙げている。
自社が使っている外部ツールのうち、顧客情報をまとめて取り出せる権限を持つアカウントはどれか、そのアカウントに多要素認証は掛かっているか。トレジャー・ファクトリーがグループで実施した外部ツールの棚卸しは、規模を問わず多くの企業が取りかかりやすい点検である。
同じ手口に、自社は備えられていますか？