アパレル大手の株式会社アンドエスティHDは2026年10月23日、同社の業務サーバーが第三者による不正アクセスを受け、顧客の個人情報約250万件と取引先の情報約1万件が外部に流出した可能性があると発表した。従業員の情報についても、対象となる範囲を確認している。クレジットカードなどの決済情報や、顧客が自分で設定したパスワードは含まれていないとしている。
朝7時半に侵入、10時に検知して隔離
発表によると、2026年10月22日（木）午前7時30分ごろ、外部からの不正アクセスにより、同社の複数のサーバーに対して順次ログインの試行、侵入、データの抜き出しが行われた。同社は午前10時ごろに不正な操作を検知し、該当するサーバーをネットワークから切り離して隔離した。
その後、被害の拡大を防ぐため、同日17時までに不正アクセスの経路を遮断し、社内の業務システムを停止するなどの対応を取った。遮断後は、その経路からアクセスできないことを確認したという。10月23日には警察に相談し、個人情報保護委員会に報告した。
氏名・住所・電話番号など約250万件
流出した可能性があるのは、顧客約250万件の氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDである。取引先約1万件については、会社名、発注先や返品先の住所、担当者の氏名、電話番号、メールアドレスが対象となる。従業員の情報は該当する範囲を確認中としている。
同社のグループ店舗とWebストアは引き続き利用できる。Webストア「アンドエスティ」について、同社は今回の不正アクセスの影響を受けていないとしている。一方、店舗とWebストアでは会員ポイントが使えない状態になっている。
同社は、緊急対策を実施し、不正アクセスの手段の特定と、それに対する対応を完了したとしている。対象となる顧客と取引先には順次連絡を始め、問い合わせ窓口も設ける予定である。業績への影響は精査中という。
「侵入から検知まで」の時間をどこまで縮められるか
今回の事案では、侵入が始まってから不正な操作を検知するまで約2時間半だった。この間に複数のサーバーへのログインの試行、侵入、データの抜き出しが進んでいたことになる。攻撃者が1台のサーバーに入り込んだあと、別のサーバーへ移りながら情報を集める場合、検知が遅れれば被害の範囲が広がるおそれがある。
同社は検知の後、被害の拡大を防ぐため、サーバーの隔離、経路の遮断、業務システムの停止を段階的に行い、不正アクセスの経路は同じ日のうちに遮断したとしている。
複数のサーバーへの立て続けのログイン試行や、普段と違う大量のデータの持ち出しは、攻撃を疑う手がかりになる。サーバーや端末の動きを常に記録・監視し、異常を見つけたら担当者がすぐに切り離せる体制を整えておくことが、侵入そのものを防ぎきれなかった場合に被害を小さくする現実的な備えになる。
同じ手口に、自社は備えられていますか？