アンドエスティHD業務サーバーへの不正アクセス（約250万件の個人情報流出の可能性）
公表日
株式会社アンドエスティHDの業務サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客情報最大約250万件や取引先情報約1万件が外部へ流出した可能性があります。
対象者は？
「アンドエスティ」などの顧客情報最大約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）および取引先情報約1万件。なお、クレジットカードなどの決済情報やパスワードは流出対象に含まれていません。
対象となる顧客および取引先へは順次連絡が行われる予定です。また、公式サイトやECサイトのお知らせでも状況が案内されています。
いますぐできること
- 公式発表によるとパスワード流出は確認されていませんが、念のためマイページからパスワードを再設定し、他社サービスと同じパスワードの使い回しを避けてください。
- 氏名やメールアドレス、電話番号が悪用され、アンドエスティや配送業者などを装った不審なメール・SMS（フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺など）が届く可能性があるため警戒してください。
何が起きたのか
2026年10月22日の朝、会社の複数の業務サーバーに対して外部から不正なアクセスがあり、ログインの試行やデータの抽出が行われました。午前10時頃に異常な操作が見つかり、対象のサーバーを切り離したほか、同日夕方までに侵入経路を遮断し、社内業務システムを停止させました。翌23日には警察や個人情報保護委員会に報告し、顧客情報などが流出した可能性があることを公表しました。
なぜ起きたのか・なぜ広がったのか
外部から複数の業務サーバーに対して順次ログイン試行や侵入が行われたと発表されていますが、具体的な侵入経路や脆弱性については公表されていません。また、業務サーバーに顧客情報などが保管されていたため、侵入後にデータが抽出される事態となりました。
いまの状況2026-10-24 時点続報待ち
2026年10月24日時点で、侵入経路の遮断と不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。手段への対応は完了したとされています。オンラインショップでのポイント利用や保有ポイント表示、ID連携機能などは復旧しましたが、実店舗でのポイント利用や店舗受取・試着サービスなどは一部停止が続いています。対象者への順次連絡や専用窓口の設置準備が進められています。
企業として考えたいこと
社内の業務サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けて停止を余儀なくされた際、自社のECサイトや店舗などの顧客向けサービス全体が連鎖的に止まってしまわないよう、安全に切り離して営業を続けられる設計になっているでしょうか。
技術的な要約
株式会社アンドエスティホールディングスは2026年10月23日、社内の複数業務サーバーが第三者による不正アクセスを受け、顧客および取引先などの情報が外部へ流出した可能性があると発表した。2026年10月22日午前7時30分頃より複数サーバーに対するログイン試行、侵入、データ抽出が順次行われ、同日午前10時頃の不正操作検知後にサーバー隔離、経路遮断、社内業務システム停止などの緊急対策が実施された。流出した可能性があるのは、顧客の氏名・生年月日・性別・住所・電話番号・メールアドレス・会員IDなど約250万件と取引先情報約1万件であり、従業員情報についても調査中としている。クレジットカード情報等の決済情報や顧客設定のパスワードは流出対象に含まれておらず、情報の不正利用も確認されていない。店舗およびオンラインストアでの商品販売自体は継続しているが、システム停止に伴いポイント利用停止などの影響が生じ、一部機能は10月24日に順次復旧している。
攻撃の分類
- 侵入口
- 不明公表資料では「外部からの不正アクセスにより、当社の複数サーバーに対して順次ログイン試行、侵入、およびデータ抽出が行われた」「不正アクセス手段の特定と対応を完了」と記載されているが、侵入口となった機器や脆弱性・認証情報等の具体的な侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 社内業務システムの停止やECサイトのシステムメンテナンスに伴い、店頭およびオンラインストアでの会員ポイント利用停止、店舗受取・試着サービスの停止、一部商品の注文不可、他社ID連携の不具合、注文商品の配送遅延が発生した。店舗およびオンラインストアでの通常購買は継続。期間：2026-10-22から継続中（オンラインでのポイント利用等は2026-10-24に復旧）
- データ
- おそれ上限 2,510,000確定 0件氏名生年月日性別住所電話番号メールアドレス会員ID取引先情報従業員情報顧客の個人情報約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）および取引先情報約1万件（会社名、発注先・返品先住所、担当者氏名、電話番号、メールアドレス）に流出の可能性がある。従業員情報についても流出の可能性があり対象範囲を確認中。クレジットカードなどの決済情報および顧客自身で設定したパスワードは対象外。
- 波及先
- —
- 金銭影響
- 本件が当期（2027年2月期）の業績に与える影響については精査中としている。
- サプライチェーン
- —
時系列
- 2026-10-22 07:30
- 2026-10-22 10:00
- 2026-10-22 17:00
- 2026-10-22 17:00
- 2026-10-23
- 2026-10-23 17:00
- 2026-10-23
- 2026-10-24 15:00オンラインショップでのポイント利用、保有ポイントの正常表示、ID連携機能（dアカウント・楽天ID）が復旧。店舗受取や実店舗でのポイント利用停止は継続8
技術解説
侵入の検知と初動対応のタイムライン 事実
2026年10月22日午前7時30分頃、外部からの不正アクセスにより、アンドエスティHDの複数の業務サーバーに対して順次ログイン試行、侵入、およびデータ抽出が行われた。同日午前10時00分頃にサーバー上で不正な操作が検知され、同社は対象サーバーをネットワークから隔離した。さらに同日17時00分までに不正アクセスの経路を遮断し、社内業務システムを停止させる緊急対応を実施した上で、遮断経路からアクセスできないことを確認した。翌23日には警察への相談と個人情報保護委員会への報告を完了し、同日17時に適時開示等を通じて公表した。最初のログイン試行から検知までに約2時間30分、経路遮断とシステム停止までに約9時間30分を要しており、検知後に速やかな隔離対応が取られた一方で、その初期段階において複数サーバーへの侵入とデータ抽出が行われていた。
業務基盤の隔離に伴うオムニチャネル機能への波及 解釈
不正アクセスを受けたのは社内の業務サーバー群であり、ECサイト「アンドエスティ」自体のシステムサーバーへの不正アクセスは確認されていない。また、クレジットカード決済には外部サービスを利用しており社内サーバーに決済情報を保持・保管していなかったため、決済情報やパスワードの流出は否定されている。しかしながら、業務サーバー群とオムニチャネル基盤が密接に結合していたため、被害拡大防止と安全点検を目的とした社内業務システム停止により、実店舗やECサイトでの会員ポイント利用停止、店舗受取・試着サービスの中断、ID連携の不具合、商品配送の遅延など、広範な顧客向けサービス停止へと波及した。バックエンドの隔離がフロントエンドの顧客体験全体に影響を及ぼす現代的な小売基盤の相互依存構造が浮き彫りとなっている。
アカウント探索型攻撃の可能性と横展開防止の課題 解釈
公表資料では「複数サーバーに対して順次ログイン試行、侵入、データ抽出が行われた」と説明されており、攻撃者がブルートフォースや辞書攻撃、あるいは漏洩済み認証情報の流用等によって順次認証突破を試みた可能性が推察される。同社は旧社名（アダストリア）時代の2023年1月にも約104万件の顧客情報流出のおそれがある不正アクセス事案を公表しており、認証管理や境界防御の強化が進められていたと考えられる。短時間で複数の業務サーバーへ順次侵入されている点から、内部ネットワーク内における特権アカウントの使い回しや、境界内部でのセグメンテーション、横方向移動（ラテラルムーブメント）に対する早期検知・遮断体制の設計に改善の余地があった可能性が考えられる。
対応
- 封じ込め
- 不正操作の検知後に対象サーバーを隔離し、不正アクセス経路の遮断および社内業務システムの停止を実施。遮断経路からアクセスできないことを確認するとともに、緊急対策の実施および不正アクセス手段の特定と対応を完了した。
- 公表の仕方
- 2026年10月23日17時に適時開示および公式サイトにて公表し、10月24日にECサイト上でサービス制限と復旧状況の案内を掲載。対象顧客・取引先への順次連絡および専用問い合わせ窓口の設置を予定している。
- 当局対応
- 警察
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 複数サーバーへの連続したログイン試行を遮断する認証保護と多要素認証の徹底 | 業務サーバーや管理コンソールへの全アクセス経路において、同一IPやアカウントからの試行回数を制限するレートリミットを導入し、FIDO2/WebAuthnやTOTPによる多要素認証（MFA）を必須化する。 |
| 侵害発生時における内部ネットワークでの横方向移動（ラテラルムーブメント）の局所化 | サーバーセグメント間の通信を最小権限のACLで制限し、LAPS（Local Administrator Password Solution）等を導入して管理者アカウントやパスワードの使い回しを排除する。 |
| 短時間での大量データ抽出や異常なファイル操作を即時に検知・停止する監視体制 | EDRおよびSIEMを導入し、業務サーバーにおける短時間での大量データ読み出しや夜間・早朝の特権コマンド実行などの振る舞い検知ルールを構成し、検知時の自動隔離スクリプトを整備する。 |
| 基幹・業務システム停止時でもECや店舗の主要機能を維持する縮退運転（グレースフル・デグラデーション）の設計 | ポイント機能や外部ID連携などのマイクロサービス連携部にサーキットブレーカーパターンを実装し、基幹API停止時でも購買処理を継続しポイントを事後付与できる非同期アーキテクチャを採用する。 |
自組織などでの確認項目
- 自社の業務サーバーや管理端末へのアクセス経路において、多要素認証（MFA）が未適用の箇所や、連続ログイン試行を即時に検知・遮断できない経路は残っていないか。
- 単一のサーバーやアカウントが侵害された場合、同一の管理者認証情報を用いて社内の他サーバーへ横展開（ラテラルムーブメント）が可能な状態になっていないか。
- 顧客情報や取引先情報を保持するサーバーから通常とは異なるデータ抽出や大量転送が行われた際、自動的にアラートが発報され遮断される仕組みが整っているか。
未解明点
- 複数サーバーへの順次ログイン試行・侵入に至った具体的な初期侵入経路（公開機器の脆弱性、VPN設定不備、漏洩認証情報の悪用など）は何であったか。
- 流出の可能性があるとされる顧客情報（最大約250万件）や取引先情報（最大約1万件）、従業員情報について、実際に外部転送が完了していたのか、確定した漏洩件数はどれだけか。
出典
- 18and...2026-10-23報道本文確認済
- 2ライブドアニュース2026-10-23報道本文確認済
- 3NHKニュース2026-10-23報道本文確認済
- 4共同通信2026-10-23報道本文確認済
- 5セキュリティ対策Lab2026-10-23報道本文確認済
- 6株式会社アンドエスティHD2026-10-23公式本文確認済
- 7株式会社アンドエスティHD2026-10-23公式本文確認済
- 8アンドエスティホールディングス2026-10-24公式本文確認済
- 9FASHIONSNAP2026-10-23報道本文確認済
- 10日本経済新聞2026-10-23報道本文確認済
- 11東京新聞デジタル2026-10-23報道本文確認済