2026-abahouse-international小売・EC最終確認 2026-10-14 17:47

アバハウスインターナショナルへの不正アクセス（全会員の個人情報漏えいのおそれ・件数非公表）

公表日 2026-10-02

株式会社アバハウスインターナショナル

続報あり不正アクセス脆弱性悪用

アバハウスインターナショナルの社内システムが第三者に不正アクセスされ、会員の個人情報が漏えいした可能性が公表されました。全会員が対象となる可能性がありますが、件数は発表されていません。

対象者は？

会員情報を保有するすべての顧客（退会済みを含む）が対象となる可能性があります。漏えいの可能性がある情報は、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文日時・商品名・金額・配送先などの注文情報です。クレジットカード番号とセキュリティコードは同社のシステムに保存されておらず、漏えいは現時点で確認されていません。

対象となる可能性がある方には、2026年10月2日に登録メールアドレス宛へ個別通知（件名「【重要】お客様の会員情報の不正アクセスによる漏えいの可能性について」）が送られています。届いていないか、迷惑メールフォルダも確認してください。

【続報】不正アクセスによる個人情報漏えいに関するご報告（2026年10月9日） ↗

いますぐできること

返金や欠品を理由とするメールが届いても、メール内のリンクや連絡先を使わず、マイページの注文履歴で確認するか、カスタマーサポートに問い合わせる。
アバハウスメンバーズクラブ（AMC）のログインパスワードを変更する。同じパスワードを使っている他のサービスも変更する。
不審なメールで不安なときは、警察相談専用電話「#9110」や消費者ホットライン「188」に相談する。

何が起きたのか

同社によると、第三者による不正アクセスが2026年9月27日深夜から28日にかけてあったと推定されています。9月28日に、複数の顧客から実際の注文情報と一致する不審な返金案内メールが届いたとの問い合わせがあり、調査で不正アクセスの痕跡が確認されました。同社は10月2日に公表し、対象となる可能性がある顧客へメールで知らせました。10月9日には続報を出し、警察に被害届を提出したことを伝えました。

なぜ起きたのか・なぜ広がったのか

報道によると、社内システムへの不正なログインをきっかけに、システムの不備が使われて不正なプログラムが設置・実行され、会員情報や注文情報のデータベースにアクセスされたとみられています。ただし、ログインに使われた情報の入手経路や不備の内容は発表されていません。データベース全体にアクセスされた可能性があり、取得された範囲を特定できていないため、全会員が対象となる可能性があるとされています。

いまの状況2026-10-09 時点続報待ち

2026年10月9日時点で、不正アクセスの経路は遮断済みで、これ以上の影響拡大は確認されていないとされています。同社は外部の専門機関と調査を続けており、再発防止策も進めています。現時点で金銭的な被害の申し出は確認されていません。件数、原因の詳細、取得された情報の範囲は、まだ発表されていません。

企業として考えたいこと

自社の顧客データベースに不正アクセスがあった場合、何が取得されたかを特定できるログが残っており、顧客へ短時間で注意喚起できる体制があるでしょうか。

技術的な要約

株式会社アバハウスインターナショナルは2026年10月2日、社内システムへの第三者による不正アクセスで顧客の個人情報の一部が漏えいした可能性があると公表した。不正アクセスは9月27日深夜から28日にかけてあったと推定され、9月28日に複数の顧客から実際の注文情報と一致する不審な返金案内メールを受信したとの問い合わせがあり発覚した。社内システムへの不正なログインを起点に、システムの不備を悪用して不正なプログラムが設置・実行され、会員情報・EC受注情報のデータベースへアクセスされたとみられている。データベース全体にアクセスされた可能性があり、取得範囲を特定できていないため、退会済みの顧客を含む全会員が対象となる可能性がある。件数は明らかにされていない。10月9日の続報時点で侵入経路は遮断済みで、外部専門機関と連携して原因と被害範囲の調査を継続している。

公開情報が限られている点について

公開情報が公式続報1件と報道2件のみで、sources 8件以上などの最低量には届かない。件数・侵入口・業務停止の有無は非公表のため null としている。

侵入

2026-09-27

被害発生

2026-09-27

検知

2026-09-28

第1報公表

2026-10-02

攻撃の分類

侵入口: 不明報道・研究者
「社内システムへの不正なログインを起点に、システムの不備を悪用して不正なプログラムが設置・実行され、会員情報やEC受注情報を保管するデータベースへ不正にアクセスされたものとみられています」（報道）。ログインに用いられた認証情報の入手経路や「システムの不備」の内容は公表されていない。取得された情報の範囲と原因の詳細は調査継続中。
脆弱性: CVE 非公表報道・研究者
「システムの不備」を悪用して不正なプログラムが設置・実行されたとみられているが、製品名・CVEは公表されていない。
攻撃者: 特定・主張なし
ATT&CK: T1078 Valid Accounts T1059 Command and Scripting Interpreter T1213 Data from Information Repositories

影響

業務停止

あり不正アクセスを確認したアカウントの停止や、ECの各管理システムへのアクセス制限などの措置が取られた。サービス停止の期間や範囲は公表されていない。

データ

おそれ上限 —確定 —

会員ID氏名住所電話メール生年月日性別購入履歴

漏えいの可能性がある情報は、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文日時・商品名・金額・配送先などの注文情報。データベース全体にアクセスされた可能性があり取得範囲を特定できていないため、会員情報を保有する全顧客が対象となる可能性がある。退会済み顧客も、過去の注文情報が受注データとして残っていれば対象となる可能性がある。件数は明らかにされていない。クレジットカード番号とセキュリティコードは決済代行会社側で管理しており同社システムには保存しておらず、漏えいは現時点で確認されていない。

波及先

—

同社を装った「返金」「欠品」などを名目とする不審メール（実際の注文情報と一致する内容のものを含む）が確認されている。アバハウスと無関係のアドレスやフリーメールから送信され、公式LINEへの連絡を促し、返金の受付期限を設けて急がせる特徴がある。

金銭影響

現時点で金銭的な被害の申し出は確認されていない（2026年10月9日時点）。

サプライチェーン

—

時系列

2026-09-27
第三者による不正アクセスが発生したと推定される（9月27日深夜から28日にかけて）。2 3
2026-09-28
複数の顧客から、実際の注文情報と一致する不審な返金案内メールを受信したとの問い合わせが寄せられた。2 3
2026-09-28
社内調査で会員情報・受注情報の一部への不正アクセスの痕跡を確認し、発覚した。2 3
2026-10-02
同社が、社内システムへの不正アクセスにより顧客の個人情報の一部が漏えいした可能性があると公表した。2
2026-10-02
対象となる可能性がある顧客（退会済みを含む）へ、登録メールアドレス宛に個別通知（件名「【重要】お客様の会員情報の不正アクセスによる漏えいの可能性について」）を送付した。2 3
2026-10-02
個人情報保護委員会への報告が行われたと報じられた（報告日は出典に明記なし）。2 3
2026-10-03
報道各社が、全顧客の個人情報が漏えいした可能性があり、実際の注文内容と一致する返金詐欺メールも確認されていると報じた。2 3
2026-10-09
同社が第一報後の調査とセキュリティ対策を踏まえた続報を公表した。不正アクセスの経路は遮断済みで、これ以上の影響拡大は確認されていないとした。1
2026-10-09
同社は所轄警察へ被害届を提出したと公表した。1
2026-10-09
同社は、返金・欠品を理由とするメール内のリンクや連絡先を使わないよう呼びかけ、AMCのログインパスワードの予防的な変更を推奨した。1

技術解説

公表された事実の整理事実

同社は2026年10月2日、社内システムへの第三者による不正アクセスで顧客の個人情報の一部が漏えいした可能性があると公表した。不正アクセスは9月27日深夜から28日にかけてあったと推定されている。9月28日に複数の顧客から、実際の注文情報と一致する不審な返金案内メールを受け取ったとの問い合わせがあり、社内調査で会員情報・受注情報の一部に不正アクセスの痕跡が確認された。10月9日の続報では、不正アクセスの経路は遮断済みで、これ以上の影響拡大は確認されていないとした。取得された情報の範囲と原因の詳細は、外部の専門機関と連携して調査を継続している。同社は所轄警察へ被害届を提出した。個人情報保護委員会への報告も報じられている。

漏えいのおそれがある情報と件数の扱い事実

漏えいの可能性がある情報は、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文日時・商品名・金額・配送先などの注文情報である。報道によると、データベース全体に不正アクセスされた可能性があり、取得された範囲を特定できていない。そのため会員情報を保有するすべての顧客が対象となる可能性がある。退会済みの顧客も、過去の注文情報が受注データとして残っていれば対象となり得る。件数は明らかにされておらず、上限も確定件数も公表されていない。クレジットカード番号とセキュリティコードは決済代行会社側で管理されており、同社のシステムには保存していない。これらの漏えいは現時点で確認されていない。

侵入経路に関する報道と未公表の点事実

報道では、原因は社内システムへの不正なログインを起点に、システムの不備を悪用して不正なプログラムが設置・実行され、会員情報やEC受注情報を保管するデータベースへアクセスされたものとみられている。一方で、ログインに使われた認証情報の入手経路や、「システムの不備」の具体的な内容は公表されていない。そのため侵入口の分類は「不明」とするのが妥当である。製品名やCVEも示されておらず、既知の脆弱性か設定上の問題かは判断できない。これらは調査中の事項であり、続報で変わる可能性がある。ここでは、公表された範囲に基づく整理にとどめる。

注文情報と一致するメールが示す意味解釈

今回の特徴は、発覚の端緒が顧客からの問い合わせであり、攻撃の成果が短期間で詐欺メールの送信に使われた点にある。注文内容と一致するメールは、受注データが実際に参照された可能性を示すものと読める。ただし、これは外部から見た解釈であり、取得範囲は同社も特定できていない。このタイプのメールは受信者に本物と信じさせやすい。返金の受付期限を設けて急がせる特徴も報じられている。情報の漏えいと二次被害が近い時期に起きる場合、顧客への注意喚起の速さが重要になる。同社は10月2日に個別メールで通知し、10月9日にも注意を呼びかけた。この点は被害抑止に資する対応と考えられる。

対応

封じ込め

不正アクセスを確認したアカウントの停止、関連システムのパスワード変更、侵入経路の遮断を実施。ECの各管理システムへのアクセス制限と認証強化、管理システム利用者パスワードの再設定、ログイン履歴の記録・監視の強化を行った。2026年10月9日時点で経路は遮断済みで、これ以上の影響拡大は確認されていない。外部の専門機関と連携して調査を継続している。

公表の仕方

2026年10月2日に公表し、対象となる可能性がある顧客には同日個別メールで通知した。10月9日に続報を公表し、不審メールへの注意喚起、AMCパスワード変更の推奨、警察相談専用電話「#9110」・消費者ホットライン「188」の案内を行った。件数は明らかにされていない。今後も必要に応じ顧客へ個別連絡する場合がある。

当局対応

個人情報保護委員会（報告済み）
所轄警察（被害届提出）

教訓と対策

教訓	具体的な対策
受注データを使った詐欺メールは、顧客からの問い合わせで先に気付く場合がある。	カスタマーサポートの問い合わせ分類に「不審メール」を設け、一定件数を超えたらセキュリティ担当へ自動エスカレーションする運用と通報窓口を整える。
社内システムへの不正ログインが起点とみられており、管理系の認証が重要になる。	EC管理画面や社内システムに多要素認証と接続元IP制限を適用し、休眠アカウントを棚卸しして無効化する。
データベース全体にアクセスされた可能性があるとき、取得範囲を特定できずに全会員が対象となり得る。	DBのクエリ監査ログとアクセス元を長期保存し、大量取得を検知する閾値アラートを設定して、範囲特定に使える証跡を確保する。
退会済み顧客の注文情報が受注データとして残っていると、影響範囲が広がる。	個人情報の保持期間を定め、退会後や期限後は削除または匿名化するバッチを実装し、受注データの保管先も対象に含める。
不正プログラムの設置・実行を許すシステムの不備が悪用されたとみられている。	サーバ上のプログラム設置とプロセス実行をEDRで監視し、アップロード領域での実行を禁止して、構成と更新の定期点検を行う。

自組織などでの確認項目

自社のEC管理画面や社内システムに、多要素認証と接続元制限はかかっているか。
顧客の注文情報を使った詐欺メールが届いた場合、問い合わせを受けてから経営層へ報告するまでの手順と時間は決まっているか。
退会済み顧客の個人情報や注文データを、どの期間どの場所に保管しているか把握できているか。
データベース全体へのアクセスがあったとき、取得範囲を特定できるログが残っているか。

未解明点

漏えいの可能性がある件数（上限）と、実際に取得が確認された件数はいくつか。
不正ログインに使われた認証情報の入手経路と、悪用された「システムの不備」の具体的内容は何か。
攻撃者の特定や犯行声明の有無、事業への影響（業務停止の有無）はどうか。

出典

1
【続報】不正アクセスによる個人情報漏えいに関するご報告（2026年10月9日）
ABAHOUSE INTERNATIONAL2026-10-09公式本文確認済
2
アバハウスに不正アクセス、会員の個人情報漏洩の恐れ―実際の注文内容と一致する「返金」詐欺メールも確認|セキュリティニュースのセキュリティ対策Lab
セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-03報道本文確認済
3
アバハウスに不正アクセス　全顧客の個人情報が漏えいした可能性
FASHIONSNAP2026-10-03報道本文確認済