トレジャー・ファクトリーの連結子会社が運営するECサイトに対して不正アクセスが発生し、13万6464人分の顧客情報が漏えいした。同社によると、攻撃を受けたECプラットフォームのスタッフアカウントで二段階認証が設定されておらず、第三者に乗っ取られたことが原因とされている。
事案の詳細
トレジャー・ファクトリー（東京都千代田区）は2026年8月28日、ブランド古着の買取・販売を手掛ける連結子会社株式会社カインドオルが運営するECサイトが第三者による不正アクセスを受け、最大13万6464人分の個人情報が漏えいした可能性があると発表した。現時点で確認されている対象者は13万6464人で、このうち住所情報を含むものは10万9311人と説明している。
不正アクセスは、ECプラットフォームのスタッフアカウントが乗っ取られたことで発生した。従業員がECプラットフォーム運営会社を装ったフィッシングメールのリンク先で認証情報を入力したことにより、当該スタッフアカウントのID・パスワードが窃取されたとみられている。その結果、2026年8月22日に第三者が当該アカウントへ不正アクセスし、翌23日にメールアドレスを変更した上で、同日中に顧客情報の一括エクスポートを2回実行していたことが判明した。
漏えいした可能性がある情報は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、ECプラットフォーム上で管理している顧客タグ情報、ポイント情報の履歴（保有・失効・累計）などであり、対象となる項目は顧客によって異なる。一方、エクスポートされたデータにはクレジットカード情報やECサイトのログインパスワードは含まれていないと説明している。
タイトルにある通り、乗っ取られたスタッフアカウントでは二段階認証が未設定だった。認証情報がフィッシングにより窃取された後も、ログイン時の追加確認が行われない状態で運用されていたため、第三者による不正アクセスと顧客情報の一括エクスポートが容易に行われたとみられる。
発覚の経緯については、同社がECサイトの運営状況を確認する中で、スタッフアカウントのメールアドレス変更や顧客情報の一括エクスポート履歴を不審と判断し、調査した結果、本件が判明したと報告している。第三者機関や所轄官庁への届け出・報告については、個人情報保護委員会など関係当局への報告を進めているとされるが、具体的な受理状況や詳細な対応内容については現時点で不明である。
影響と背景
顧客情報の漏えいは、対象となる顧客の不安や問い合わせの増加などを招く可能性がある。今回エクスポートされたデータには氏名・住所・電話番号・メールアドレスなどの連絡先情報が含まれており、悪用されれば不審なメールや電話、ダイレクトメール送付などのリスクが想定される。一方で、クレジットカード情報やECサイトのログインパスワードは含まれておらず、本件に起因する不正利用などの二次被害は、同社の発表時点では確認されていないとされる。今後、二次被害の有無について継続的な監視が必要になる。
背景としては、フィッシングメールを起点にスタッフアカウントの認証情報が窃取され、そのアカウントで二段階認証が未設定 【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断では、SaaSや管理者アカウントの二段階認証が「任意のまま」放置されている例が少なくない。MDRのアラートでも、深夜帯の不審ログインや海外IPからの認証試行が繰り返し観測されるなど、今回のようなフィッシングを起点としたアカウント乗っ取りリスクは各所で顕在化している。 【観点②：平易な解説】二段階認証がない状態は、例えるなら「鍵が1つだけの玄関」に似ている。つまり、パスワードが知られたり推測されたりすると、その時点で中に入られる可能性が高いということだ。追加確認（ワンタイムコードや認証アプリなど）があると、突破の難度が上がり、攻撃者が不正ログインに成功しにくくなる。 【観点③：今週中にできること】まず、業務で使うメール、顧客管理、決済やEC管理などの管理者アカウントで二段階認証が有効かを確認する。次に、未設定が見つかったら担当者に即日で有効化を依頼し、設定完了を画面で相互確認する。最後に、誰が管理者権限を持つかを一覧化して不要分を外し、権限の付与・変更・削除の手順を文書化しておくことで、今回のような大規模な情報漏えいリスクを抑制できる。対策・今後の展望
CSRIからの現場アドバイス