トレジャー・ファクトリーの連結子会社が運営するECサイトで、フィッシングメールを発端とする不正アクセスにより顧客の個人情報が流出した。同社は事案を公表し、被害状況の把握と再発防止策の実施を進めている。
事案の詳細
今回の事案は、トレジャー・ファクトリーの連結子会社であるブランド古着買取・販売チェーン「カインドオル」が運営するECサイトにおいて、第三者による不正アクセスを受け、顧客の個人情報が外部へ流出したものだ。原因は、ECプラットフォームのスタッフアカウントを利用する従業員に対し、ECプラットフォーム運営会社を装ったフィッシングメールが送信され、当該従業員がメール記載のリンク先でID・パスワードなどの認証情報を入力してしまったことにあると説明されている。その結果、スタッフアカウントが乗っ取られ、顧客情報の一括エクスポートが複数回実行された。
同社が8月28日時点で確認した対象者は13万6464人で、このうち10万9311人については住所情報も含まれている。流出した可能性のある情報は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジン購読状況、合計注文回数、合計購入金額、ECプラットフォーム上で管理している顧客タグ情報、ポイント情報の履歴（保有・失効・累計）などとされている。一方で、クレジットカード情報やECサイトのログイン用パスワードは含まれていないと公表されている。現時点では、今回の件に起因する個人情報の不正利用その他の具体的な二次被害は確認されていない。
運営側は、スタッフアカウントにおける二段階認証の未設定やパスワード強度の不足といった認証管理上の不備も要因の一つと認識しており、全スタッフアカウントへの二段階認証の必須化などの再発防止策を進めている。連結業績への影響については現在精査中とされている。
影響と背景
ECサイトにおける個人情報流出は、顧客の氏名や住所、連絡先、購買履歴などが含まれるため、顧客への影響が直接的になりやすい。今回の事案では、13万6464人分という大規模な顧客情報が対象となり、そのうち10万9311人については住所情報も含まれるなど、特定の個人と紐づくデータが広範囲にわたって流出した可能性がある。
フィッシングを起点とした被害は、特定の企業規模や業種に限定されず、ECプラットフォームのように外部サービスを利用する環境や、運営・委託・取引といった複数の関係者が関わる環境でも発生し得る点が背景としてある。今回も、ECプラットフォーム運営会社を名乗る偽メールを通じてスタッフアカウントの認証情報が窃取され、管理画面から顧客情報の一括エクスポートが行われた典型的な事案であり、フィッシングという入口が情報流出に直結したケースとして注意が必要だ。
対策・今後の展望
フィッシング起点の被害を抑えるには、メールやメッセージ経由の不審な誘導に備え、技術的対策と運用面の対策を重ねることが重要となる。今回の事案でも、スタッフアカウントに二段階認証が設定されていなかったことや、パスワード強度が十分でなかったことが被害拡大の一因とされており、認証情報の管理と保護が重要な教訓となっている。一般にECサイト運営では、管理画面や業務用アカウントが攻撃の標的になりやすく、これらが侵害されると顧客情報の一括取得や設定変更などによる被害につながりやすい。
- 不審な連絡への手順化：IDやパスワードの入力を求める連絡は、いったん立ち止まって公式サイトや公式サポート窓口など、事前に確認した正規の手段で真偽を確認する運用を徹底する。フィッシングメールと判明した場合は、社内の所定の窓口へ速やかに報告し、同様のメールを受信した可能性がある他の関係者にも注意喚起を行う。
- アカウント保護の強化：ログイン情報がだまし取られた場合でも被害を抑えられるよう、管理画面やスタッフアカウントには二段階認証など追加の認証手段を必須化し、権限管理を見直す。不要な権限を削減し、顧客情報の一括エクスポートなど高リスクな操作は限定されたアカウントのみが実行できるようにすることで、侵害時の影響範囲を最小化する。
- 周知と再発防止：従業員・委託先を含む関係者に対し、フィッシングメールの典型例や、偽のログイン画面、偽の更新案内などの特徴を共有し、違和感を覚えた際に相談・報告できるルートを明確化する。定期的な教育や訓練を通じて、フィッシングを起点とした侵入を早期に検知・遮断できる体制を整える。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが中小企業のMDR（マネージド・ディテクション＆レスポンス）運用や診断を支援する現場では、フィッシングメール経由で担当者のアカウントが侵害され、ECや業務システムの管理画面に不審なログインが発生するケースが繰り返し見られる。特に「担当者個人のメール起点」で侵入が始まり、そこからスタッフアカウントや管理用アカウントへ横展開される例が多い。
【観点②：セキュリティ専門家でない人への平易な解説】例えるなら、偽の受付が「本人確認です」と言って合鍵を渡すよう求め、渡してしまうのがフィッシングだ。つまり、正規に見える案内でもID・パスワードを入れた時点で相手に鍵を渡したのと同じであり、その鍵を使ってオフィスに入り、キャビネットから顧客名簿を丸ごと持ち出されてしまうのが今回のような情報流出だと捉えると分かりやすい。
【観点③：中小企業が今週中にできること】まず、会社で使う主要な管理アカウントやECサイトのスタッフアカウントについて、ログイン通知や履歴を確認し、心当たりのないアクセスがないか担当者と一緒に点検する。次に、IDやパスワードの入力を促すメールやメッセージを受けたら、必ず上長や情報システム担当へ報告するルールを社内に周知し、単独で判断して入力しないよう徹底する。最後に、重要アカウントについては二段階認証を設定し、パスワードを十分な長さと複雑さを備えたものへ速やかに変更することで、同様のフィッシング事案が発生した際のリスクを減らす。