ファイブフォックスへのランサムウェア攻撃（VIP・GOLD会員等の顧客・従業員情報 延べ73,185件流出の可能性）
公表日
「COMME CA」などのアパレルブランドを展開するファイブフォックスの本社サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員や問い合わせをしたお客様、従業員の情報 最大のべ73,185件が流出したおそれがあります。
対象者は？
2021年9月〜2026年6月にメンバーズカードのVIP・GOLDランクに登録された一部のお客様 59,504件（氏名・住所・電話番号・生年月日・性別・会員番号など）、2008年1月〜2026年6月にカスタマーサービスへ問い合わせた一部の方 8,403件（氏名・住所・電話番号）、ファイブフォックスの従業員・退職者 2,450件、コムサの従業員・退職者 2,828件（口座情報を含む）です。件数はのべ数で、重なりを除いた人数は公表されていません。クレジットカード番号とマイナンバーは対象外です。
対象の方には、会社から封書で順に連絡するとされています。お客様、ファイブフォックスの従業員、コムサの従業員それぞれに問い合わせ窓口が設けられています。
いますぐできること
- ファイブフォックスやCOMME CAを名乗る電話・メール・SMSで、会員情報の確認や支払いを求められても応じない。気になるときは公式サイトの窓口に自分から問い合わせる
- コムサの従業員・退職者の方は、給与の振込口座に身に覚えのない入出金がないか、通帳やアプリで確認する
何が起きたのか
2026年7月8日、ファイブフォックスはいつものセキュリティ調査の中で、本社のサーバーの一部がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染した可能性に気づきました。会社はすぐにそのサーバーを止め、インターネットとメールも止めて、対策本部を作りました。店舗は通常どおり営業し、オンラインストアは別のシステムで動いているため影響はありませんでした。9月8日の第二報で、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認したと発表し、会員・お客様・従業員の情報が流出したおそれがあると公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。第1報では「ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。」と書かれていましたが、第二報では「不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。」とされ、データが暗号化されたかどうかは示されていません。被害の範囲が広くなったのは、お客様の会員情報と従業員の人事情報が、同じ本社のシステムから届く場所に置かれていたためです。また、約18年前までさかのぼる問い合わせの記録や、約15年前からの従業員の情報も対象に含まれていました。
いまの状況2026-09-08 時点続報待ち
被害を受けた環境は止められ、お客様の情報は対策をした新しい環境で管理されています。9月8日の時点で、情報が悪用された例は確認されていません。侵入の経路、実際に持ち出されたかどうか、重なりを除いた人数は、まだ発表されていません。
企業として考えたいこと
自社では、何年も前のお客様の問い合わせ記録や退職者の情報を、いつまで、なぜ残しているでしょうか。お客様の情報と社員の情報は、別々に守られているでしょうか。
技術的な要約
COMME CA等のアパレルブランドを展開するファイブフォックスは、2026年7月8日に通常のセキュリティ調査の過程で本社サーバーの一部がランサムウェアに感染した可能性を確認し、即日サーバーとインターネット・メール機能を停止して対策本部を設置した。7月14日の第1報で感染の可能性を公表し、個人情報保護委員会への報告と警察への協力依頼を行ったとした。店舗は通常営業、オンラインストアは別システムのため影響なしとした。9月8日の第二報では、第三者による不正アクセスを確認したとして、VIP・GOLD会員59,504件、カスタマーサービス問い合わせ者8,403件、ファイブフォックス従業員2,450件、コムサ従業員2,828件（口座情報を含む）の個人情報に流出の可能性があると公表した（合計は延べ73,185件、重複は非公表）。侵入経路・攻撃者・ランサムウェアの確定は公表されておらず、9月8日時点で不正利用は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第1報は『通常のセキュリティ調査の過程で、本社サーバーの一部がランサムウェアに感染した可能性』を確認したとし、第二報は『第三者による不正アクセスを確認』したとするのみで、侵入経路は公表されていない。報道（セキュリティ対策Lab）はVPN機器の脆弱性、認証情報の窃取、フィッシング等の可能性を一般論として挙げているが、いずれも確認されていないと明記している。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品の有無を含め非公表。2026-10-10時点で報道・研究者による言及も確認できなかった。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 7/8に感染の可能性があるサーバーを即時停止し、インターネットとメール機能も停止（第1報）。第二報では当該システムを停止しネットワークを遮断したと説明。店舗は通常営業、オンラインストアは別システムで運営しており影響なしとした。影響を受けた環境は停止済みで、顧客情報は安全対策を講じた新しい環境で管理しているとする。期間：本社のインターネット・メール機能の再開時期は非公表。9/8時点で旧環境は停止、新環境へ移行済み
- データ
- おそれ上限 73,185確定 —件氏名住所電話生年月日性別会員ID従業員情報口座その他第二報（9/8）の4区分の単純合計（59,504＋8,403＋2,450＋2,828＝73,185件）。区分間の重複は非公表で、人数ではなく延べ件数。(1)メンバーズカード：2021年9月〜2026年6月にVIP・GOLDランクに登録された一部の顧客59,504件（氏名、住所、電話番号、生年月日、性別、登録店舗、会員ランク、会員番号）。(2)カスタマーサービス：2008年1月〜2026年6月の問い合わせ者の一部8,403件（氏名、住所、電話番号）。(3)ファイブフォックス従業員：2024年1月〜2026年6月の在籍者（退職者含む）2,450件（氏名、住所、電話番号、生年月日、性別、人事情報）。(4)コムサ従業員：2011年10月〜2026年3月の在籍者（退職者含む）2,828件（氏名、住所、電話番号、生年月日、性別、口座情報、人事情報など）。顧客計67,907件、従業員計5,278件。クレジットカード番号とマイナンバーは当該システムで取得しておらず対象外。9/8時点で不正利用は確認されていない。data_typesの『その他』は登録店舗・会員ランク。
- 波及先
- —
- 本社のメール機能停止により取引先・関係先との連絡に影響（第1報で取引先向け電話窓口を別途設置）
- 金銭影響
- —
- サプライチェーン
- 委託先経由・ソフトウェアサプライチェーン経由であるとの公表はない。グループ会社の株式会社コムサの従業員情報も同じ侵害範囲に含まれた。
時系列
- 2026-07-08
- 2026-07-14第1報『ランサムウェア感染の可能性に関するお知らせとお詫び』を公表。個人情報保護委員会へ報告済み、警察に協力依頼。店舗は通常営業、オンラインストアは別システムのため影響なし。顧客・取引先向けの電話窓口を設置1
- 2026-07-20セキュリティ対策Labが第1報を報道。顧客情報の流出は断定できない段階と整理し、取引先に既知の連絡手段での確認を呼びかけ3
- 2026-08-04ScanNetSecurityが第1報を報道（『通常のセキュリティ調査過程で発覚』）5
- 2026-09-08第二報『不正アクセスによる個人情報流出の可能性についてのお知らせとお詫び』を公表。VIP・GOLD会員59,504件、CS問い合わせ者8,403件、ファイブフォックス従業員2,450件、コムサ従業員2,828件に流出の可能性。カード番号・マイナンバーは対象外。旧環境停止・新環境で管理、対象者へ封書で順次通知、不正利用は未確認2
- 2026-09-14セキュリティ対策Labが第二報を報道。合計は延べ73,185件で重複不明、ランサムウェア感染は確定していないと整理4
- 2026-09-25ScanNetSecurityが第二報を報道（9/26更新）6
- 2026-10-10本調査時点で第三報、リークサイト掲載（ransomware.live日本一覧）はいずれも確認できず7
技術解説
公表表現の変遷：『ランサムウェア感染の可能性』から『不正アクセス』へ 事実
7月14日の第1報のタイトルは『ランサムウェア感染の可能性に関するお知らせとお詫び』で、7月8日に『通常のセキュリティ調査の過程で』本社サーバーの一部の感染可能性を確認したと説明した。一方、約8週間後の9月8日の第二報は『不正アクセスによる個人情報流出の可能性』と題し、7月8日に『第三者による不正アクセスを確認』したと書いている。第二報本文はランサムウェア感染を確定したとは述べておらず、暗号化の有無、ランサムノートの有無、ランサムウェアの種類、身代金要求の有無はいずれも公表されていない。発見の契機が『通常のセキュリティ調査』とされた点も、具体的に何（EDRアラート、定期診断、外部からの通報等）だったかは明らかにされていない。
影響データの構造：顧客と従業員が同じ侵害範囲に 事実
第二報が示した流出可能性のある情報は4区分で、VIP・GOLD会員（2021年9月〜2026年6月登録、59,504件）、カスタマーサービス問い合わせ者（2008年1月〜2026年6月、8,403件）、ファイブフォックス従業員（2024年1月〜2026年6月在籍、2,450件）、コムサ従業員（2011年10月〜2026年3月在籍、2,828件）である。顧客の会員情報と従業員の人事情報、さらにコムサ従業員の口座情報が同じ侵害範囲に含まれた。カスタマーサービス記録は約18年前、コムサ従業員情報は約15年前まで遡る。一方、クレジットカード番号とマイナンバーは当該システムで取得していないとして対象外とされ、オンラインストアも別システムのため影響なしとされた。件数は区分ごとの延べで、重複を除いた人数は示されていない。
被害範囲を広げた要因（解釈） 解釈
公表事実から読み取れる要因は二つある。第一に、顧客データと従業員データ（口座情報を含む）が、同一の侵害範囲から到達可能な本社システム群に置かれていたこと。ECが別システムで無事だった点と対照的で、ネットワーク分離が効いた部分と効かなかった部分がはっきり分かれた事例といえる。第二に、データ保持期間の長さである。2008年からの問い合わせ記録や、2011年からのコムサ在籍者の情報が残っていたことで、現在の取引関係がない人まで対象になった。なおコムサ従業員の対象期間が2026年3月で終わっている点は、グループ再編等で同月以降の人事情報が別管理になった可能性を示すが、理由は公表されておらず推測にとどまる。
公表の評価 解釈
検知から6日で第1報を出し、個人情報保護委員会への報告済み、警察への協力依頼、店舗とオンラインストアへの影響の有無を明示した点は、顧客が真っ先に知りたい事項に答えている。第二報では区分ごとの対象期間・件数・項目を具体的に示し、カード番号とマイナンバーが対象外であることも明記した。一方で、侵入経路、ランサムウェアの確定の有無、実際に持ち出されたかどうか、重複を除いた人数は示されず、『新しい環境』の安全対策も具体性がない。第1報で『ランサムウェア』と明示しながら第二報でその語を使わなかった経緯の説明もないため、読み手は事案の性質を判断しにくい。
対応
- 封じ込め
- 7/8に感染の可能性があるサーバーを即時停止し、インターネット・メール機能も停止、ネットワークを遮断。同日対策本部を設置し外部専門調査機関と影響範囲特定・原因調査・復旧を実施。影響を受けた環境は停止し、顧客情報は安全対策を講じた新しい環境で管理（具体的な対策内容は非公表）。対象者には封書で個別通知。
- 公表の仕方
- 7/14第1報（ランサムウェア感染の可能性、店舗・EC影響なし、PPC報告済み）、9/8第二報（流出可能性のある情報を4区分・件数・項目で公表、カード番号・マイナンバー対象外、不正利用未確認、不審な電話・メール・SMSへの注意喚起）。顧客・ファイブフォックス従業員・コムサ従業員別に問い合わせ窓口を設置。
- 当局対応
- 個人情報保護委員会：第1報（7/14）時点で報告済み
- 警察：協力を依頼（第1報）、第二報では警察および関係行政機関へ報告・相談と記載
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 本社システムの侵害が顧客会員データと従業員データ（口座情報含む）に同時に及んだ | 会員管理・CS・人事給与のデータストアを別セグメント・別認証基盤に分け、業務端末からはアプリケーション経由のみアクセス可能にする。ファイル共有に置かれた会員・人事データのエクスポート（CSV等）を定期スキャンで検出し削除する |
| ECを別システムで運営していたため販売は継続できた | 売上に直結する系（EC、店舗POS）と本社系の間で、認証基盤（Active Directory等）・管理者アカウント・バックアップ基盤を共有しない構成にする。共有している場合は管理者アカウントを系ごとに分け、相互の管理ポートを閉じる |
| 2008年からの問い合わせ記録、2011年からの元従業員情報まで対象になった | CS記録・退職者情報に保持期限を設定し、期限超過データを自動削除するジョブを運用。会員データは最終購入から一定期間で個人特定項目を削除・仮名化する |
| メール機能を止めたため、取引先との連絡経路が細った | インシデント時の代替連絡手段（別ドメインのメール、電話番号、クラウドのステータスページ）を事前に用意し、主要取引先の連絡先リストをオフラインで保持。取引先に『侵害時は既知の電話番号で確認する』ルールを平時から共有する |
| 流出の有無と重複を除いた人数を示せなかった | 外向き通信（プロキシ、ファイアウォール、クラウドストレージへのアップロード）のログを90日以上保持し、侵害時に持ち出し量と宛先を特定できるようにする。顧客・従業員データには共通の個人キーを持たせ、区分横断で重複を除いた人数を即座に算出できるようにしておく |
自組織などでの確認項目
- あなたの会社で、本社のファイルサーバーやPCが侵害された場合、顧客データ・従業員の口座情報・取引先情報のどれまで到達されうるか。実際のネットワーク図で辿ってみよう。
- ECやPOSなど売上に直結するシステムは、本社系と認証基盤・管理者アカウント・バックアップを共有していないか。
- 10年以上前の問い合わせ記録や退職者情報を保持している理由は何か。法定保存期間と照らして削除できるデータはどれか。
- 第1報で『ランサムウェア』と書き、第二報で『不正アクセス』と書いた場合、読み手にどう伝わるか。続報で表現を変えるときに何を説明すべきか。
未解明点
- 侵入経路と侵入開始日、7/8の発見契機となった『通常のセキュリティ調査』の具体的内容
- ランサムウェア感染（暗号化）が確定したかどうか、ランサムウェアの種類・攻撃グループ・身代金要求の有無
- 実際に外部へ持ち出されたデータの有無と、重複を除いた対象人数
- 本社のインターネット・メール機能の復旧時期と、『新しい環境』で講じた具体的な安全対策
- コムサ従業員情報の対象期間が2026年3月で終わっている理由
出典
- 1ファイブフォックス2026-07-14公式本文確認済
- 2ファイブフォックス2026-09-08公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-07-20報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-09-14報道本文確認済
- 5ScanNetSecurity2026-08-04報道本文確認済
- 6ScanNetSecurity2026-09-25報道本文確認済
- 7ransomware.live研究者本文確認済