ファンケル・アテニアのECサイトへの不正アクセス（会員情報 件数合計83万4,947件・人数単純合計78万5,496人）
公表日
ファンケルとアテニアの通販サイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員情報が最大約83万4,947件（人数の単純合計は約78万5,496人）漏えいしました。
対象者は？
ファンケルとアテニアの通販サイトの会員のうち、対象となった方（ファンケル39万3,785件・36万8,184名、アテニア44万1,162件・41万7,312名）。氏名、住所、電話番号、メールアドレス、生年月日、性別などが含まれます。メインのパスワード、クレジットカードなどの決済情報、本人認証質問の回答は含まれないとされています。人数の合計は両社の重複を考慮していません。
対象の方には、登録メールアドレス宛に順次個別に連絡があるとされています。10月17日9時から専用ダイヤル（0120-333-600）が開設される予定です。
いますぐできること
- ファンケル・アテニアを名乗るメールやSMSのリンクは開かず、公式サイトから確認する。両社からパスワードやクレジットカード情報を尋ねることはないとされています。
- 登録メールアドレス宛の個別連絡を確認する。心配な場合は専用ダイヤル（0120-333-600）に問い合わせる。
- 他のサービスで同じパスワードを使っている場合は、念のため変更を検討する。
何が起きたのか
2026年10月3日から10日までの間に、ファンケルとアテニアの通販サイトが第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。10月15日にファンケルの内部調査で分かり、同じ日に緊急対策本部を設置して、原因となった機能を止めました。10月16日には個人情報保護委員会へ報告し、警察へ相談したうえで、両社とキリンホールディングスが公表しました。
なぜ起きたのか・なぜ広がったのか
侵入の方法は、被害拡大を防ぐためとして公表されていません。そのため、原因や、被害が広がった理由は、まだ分かっていません。
いまの状況2026-10-16 時点続報待ち
2026年10月16日の発表時点で、不正利用や二次被害、漏えいした情報の公開、お客様からの申し出は確認されていないとされています。両社は詳細調査を続けています。キリンホールディングスは連結業績への影響を精査中で、金額はまだ発表されていません。再発防止策もまだ発表されていません。
企業として考えたいこと
自社の会員サイトで、複数のブランドやサイトが共通の機能を使っている場合、その機能で異常が起きたとき、何日で気づき、何時間で止められるでしょうか。
技術的な要約
キリンホールディングス子会社のファンケルと、その連結子会社アテニアが運営するECサイトが、2026年10月3日から10日まで第三者による不正アクセスを受けた。10月15日の内部調査で判明し、同日に緊急対策本部を設置して原因となった機能を停止した。漏えいした会員情報はファンケル39万3,785件（36万8,184名）、アテニア44万1,162件（41万7,312名）で、件数の単純合計は83万4,947件。人数の単純合計は78万5,496人だが、両社間の重複は考慮されていない。氏名、住所、電話番号、メールアドレス、生年月日などが含まれ、メインのパスワードとクレジットカード等の決済情報は対象外とされる。侵入口は非公表で、10月16日時点では不正利用や二次被害は確認されておらず、詳細調査が続いている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「サイバー攻撃の詳細については開示を差し控える」としており、侵入口は公表されていない。報道も、特定の脆弱性やAPIの不備が原因と断定はできないとしている。
- 脆弱性
- CVE 非公表不明脆弱性の有無・製品名・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公式発表は事業活動・サービスへの影響はないとしている。報道では重大な影響は確認されていないとされる。原因となった機能は停止された。
- データ
- 確定上限 834,947確定 834,947件氏名住所電話メール生年月日性別会員IDハッシュ化PW購入履歴その他ファンケル393,785件（368,184名）とアテニア441,162件（417,312名）の件数単純合計は834,947件。人数の単純合計は785,496人で、両社間の重複を考慮した実人数ではない。ハッシュ化PWは一部の会員が設定した2次パスワードで、メインのパスワードは対象外。ハッシュ方式は非公表。本人認証質問は項目のみで回答は含まない。その他の会員登録情報はポイント情報、会員ステージ、メルマガ配信希望の有無、店舗での購入の有無。サブメールアドレスとお客様番号も含まれる。クレジットカード等の決済情報は含まれない。「購入履歴」は店舗購入の有無を指す。
- 波及先
- —
- 金銭影響
- キリンホールディングスは連結業績への影響を精査中で、重大な影響が認められる場合は開示するとしている。金額は公表されていない。
- サプライチェーン
- キリンホールディングスの子会社ファンケルと、その連結子会社アテニアの両ECサイトが被害を受けた。委託先や外部ソフトウェア経由との公表はない。
時系列
技術解説
公表されている経過 事実
公式発表によると、2026年10月15日（木）にファンケルが実施した内部調査で、10月3日（土）から10月10日（土）までの間にファンケルとアテニアのECサイトが不正アクセスを受けていたことが判明した。両社は判明した当日に緊急対策本部を設置し、調査と対応を進めた。その結果、会員情報の一部が外部に漏えいしたことを確認し、被害拡大を防ぐため、原因となった機能を特定してその機能を停止した。10月16日には個人情報保護委員会への報告と警察への相談を行い、両社が「お詫びとお知らせ」を公表した。同日、キリンホールディングスも子会社のECサイトへの不正アクセスと会員情報の漏えいを発表し、NHKは78万人余りの個人情報漏えいとして報じた。
漏えいした情報の範囲と数字の読み方 事実
漏えいが確認された会員情報は、ファンケルが39万3,785件（36万8,184名）、アテニアが44万1,162件（41万7,312名）である。件数の単純合計は83万4,947件、人数の単純合計は78万5,496人だが、後者は両社間の重複を考慮した実人数ではない。対象情報は両社共通で、メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのハッシュ化パスワード、本人認証質問の項目（回答は含まない）、ポイント情報、会員ステージ情報、メールマガジン配信希望の有無、店舗での購入の有無である。ハッシュ化パスワードは一部の方が設定した2次パスワードで、メインのパスワードは対象外とされる。クレジットカードなどの決済情報も含まれない。
侵入口が非公表であることの意味 解釈
公式発表は、さらなる被害拡大を防ぐためサイバー攻撃の詳細の開示を差し控えるとしており、侵入口や脆弱性は公表されていない。報道も、特定の脆弱性やAPIの不備が原因とは断定できないとしている。そのため、原因を論じる材料は現時点では乏しい。ただ、2社のサイトが同じ期間に対象となり、「原因となった機能」を停止して対処した点からは、両サイトに共通する基盤や機能が関わっていた可能性も考えられる。これは公表内容からの推測にすぎず、確認はできない。今後の調査結果の公表で、この見方が当たっているかどうかが分かる。
公表内容の評価と残る論点 解釈
判明の翌日に、件数・人数・項目・対象外の情報まで具体的に示して公表した点は、利用者が自分への影響を判断しやすい内容と受け取れる。メインのパスワードや決済情報が対象外と明記されたこと、専用ダイヤルとフィッシング注意喚起を同時に示したことも、二次被害の抑止に資する対応と考えられる。一方で、攻撃の詳細を差し控えているため、アクセスが8日間続いた経緯や、漏えいを確認した根拠は外部から評価できない。人数の重複や、2次パスワードのハッシュ方式といった評価に必要な情報も、10月16日時点では示されていない。続報で補われるかが焦点となる。
対応
- 封じ込め
- 判明当日の2026年10月15日に緊急対策本部を設置し、不正アクセスを受けた原因の機能を特定して停止した。本件以外の不正アクセスやマルウェア感染は確認されていないとしている。
- 公表の仕方
- 2026年10月16日に両社が公式発表し、同日キリンホールディングスも発表した。対象者へは登録メールアドレス宛に順次個別連絡し、10月17日9時から専用ダイヤルを開設するとした。なりすましメールやフィッシングへの注意を喚起し、両社からパスワードやクレジットカード情報を尋ねることはないとしている。サイバー攻撃の詳細は被害拡大防止のため開示を差し控えるとしている。
- 当局対応
- 個人情報保護委員会（2026-10-16報告）
- 警察（2026-10-16相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 複数ブランドやグループ会社で共通の機能を使う場合、1か所の不備が複数サイトに及びうる | 共通認証基盤・共通APIなどの機能を台帳化し、ブランド別にアクセス範囲を分離する。会員情報APIにはサイト単位のスコープと取得件数の上限を設定し、超過時にアラートを出す。 |
| 不正アクセスの期間と発見の日が離れると、調査と通知の範囲確定に時間がかかる | 会員情報を返すAPIとDBクエリの大量取得をログに残して集計し、通常時の件数を基準に異常検知ルールを組む。ログは調査に足りる期間（例：90日以上）保管し、改ざん耐性のある別領域にも転送する。 |
| 補助的な情報（2次パスワード、本人認証質問の項目など）も漏えい対象になりうる | 保存する認証関連情報を棚卸しし、不要なものは削除する。必要なものは、遅いハッシュ（bcrypt、Argon2など）とソルトで保護し、方式を設計書に明記する。 |
| 漏えいした属性情報はフィッシングに悪用されうるため、通知と注意喚起の設計が重要 | 通知メールは送信ドメイン認証（SPF・DKIM・DMARC）を整え、本文にリンクを置かず公式サイトの案内に誘導する運用にする。専用窓口の番号は公式サイトにも掲載し、偽の連絡との区別を可能にする。 |
| 原因機能を即時停止できる体制が、被害拡大の防止につながる | 機能単位のフィーチャーフラグや遮断手順（誰が判断し、どこで停止するか）をランブックに定め、年1回以上の机上演習で停止から公表までの時間を確認する。 |
自組織などでの確認項目
- 自社の会員向けサイトで、会員情報を返すAPIや機能は複数のブランド・サイトで共用されているか。共用している場合、一方の侵害が他方に及ばないよう分離されているか。
- 会員情報の大量取得（たとえば1日数万件）が起きた場合、何分・何時間で気づけるか。ログの保管期間は、侵入から発見まで1週間以上かかる場合の調査に足りているか。
- 2次パスワード、本人認証質問の項目、サブメールアドレスなど、主たる認証以外に保存している情報を把握しているか。それらの保護方式（ハッシュ方式を含む）を説明できるか。
- 漏えいを確認した当日に、原因機能を停止し、緊急対策本部を立ち上げ、当局へ報告する手順は文書化されているか。直近で演習を行ったのはいつか。
未解明点
- 侵入口（脆弱性、認証の不備、API、委託先など）と、攻撃者の特定や主張の有無は、10月16日時点で公表されていない。
- 2026年10月3日から10日の不正アクセスが10月15日まで検知されなかった経緯と、10月3日が最初の侵入日かどうかは、公表されていない。
- 両社間の重複を除いた実人数は示されていない。
- 2次パスワードのハッシュ方式は示されていない。
- キリンホールディングスの連結業績への影響額は精査中で、金額は公表されていない。
- 詳細調査の結果と再発防止策がいつ公表されるかは、示されていない。
出典
- 1NHK2026-10-16報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-16報道本文確認済
- 3株式会社ファンケル / 株式会社アテニア2026-10-16公式本文確認済