アエナのECアプリへの不正アクセス（最大81万7,215人分のマイページ情報が閲覧された可能性）
公表日
化粧品などを扱うアエナのECアプリに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、アプリ会員の最大817,215人分のマイページ情報が閲覧された可能性があると発表された。
対象者は？
アエナのECアプリに個人情報を登録している本会員（最大817,215人）。LINE会員と、Amazonや楽天などで利用したお客様は対象外とされています。閲覧された可能性がある情報は、氏名、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先情報（家族や知人宛を含む）、お気に入り店舗、メール配信設定、登録済みカードの下4桁・有効期限・カード名義です。カード番号の全桁、セキュリティコード、ログインパスワードは含まれないとされています。
対象の可能性がある会員には、アエナから順次メールで個別に案内されています。心配な場合は、お客様専用フリーダイヤル（0120-532-565、9:00〜21:00、土日祝日を含む）に問い合わせられます。
いますぐできること
- アエナの名前や、公的機関・金融機関を名乗るメール・電話・SMSに注意する。アエナは、メール・SMS・電話でパスワードやクレジットカード情報を尋ねることはないとしています。
- アエナから届いたメールの内容を確認する。リンクを開く前に、公式サイトのお知らせと照らし合わせる。
- 不安があれば、お客様専用フリーダイヤル 0120-532-565（9:00〜21:00）に相談する。
何が起きたのか
アエナは2026年10月14日、運営するECアプリに第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、会員のマイページ情報が見られていたと発表しました。10月13日の午前5時58分に、システムの記録（ログ）を調べて分かったとしています。見られた可能性がある会員は最大817,215人です。同社はサイトへのアクセスを止め、対象になり得る会員へメールで知らせています。会員情報の変更、退会、購入の確定といった操作は行われていないことを確認したとしています。
なぜ起きたのか・なぜ広がったのか
原因は、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を通じて機械的な連続アクセスが行われたことだと説明されています。どのようにして入られたのか、どこに問題があったのかは、まだ調査中です。
いまの状況2026-10-15 時点続報待ち
2026年10月15日時点では、会員情報の悪用や二次被害は確認されていないとされています。アエナはECサイトへのアクセスを遮断したまま、再発防止策を作っています。サイトの再開時期や詳しい原因は、まだ発表されていません。
企業として考えたいこと
もし自社の会員ページが短時間に何万回も自動で見られたら、それに気づける仕組みと、サイトをすぐ止めて利用者に知らせる手順はあるでしょうか。
技術的な要約
アエナは2026年10月14日、同社が運営するECアプリに第三者による不正アクセスがあり、アプリ会員のマイページ情報が不正に閲覧されたと発表した。システムログの解析により、10月13日5時58分に不正閲覧が判明した。閲覧された可能性がある会員数は最大81万7,215人で、氏名・住所・電話番号・メールアドレス・生年月日、登録済みクレジットカードの下4桁・有効期限・カード名義などが含まれる。カード番号の全桁とセキュリティコード、ログインパスワードの流出はなく、会員情報の変更・退会・購入確定といった不正操作も確認されていないという。原因は機械的な連続アクセスとされ、具体的な侵入経路などは調査中で、同社はECサイトへのアクセスを遮断し再発防止策を構築している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表では「不正アクセスを通じて、機械的な連続アクセスが行われたことが原因」とされ、具体的な侵入経路や悪用されたシステム上の問題は調査中。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ECサイトへのアクセスを遮断し、再発防止策を構築中。再開時期は公表されていない。
- データ
- おそれ上限 817,215確定 —人氏名住所電話メール生年月日性別クレカその他最大81万7,215人は閲覧された可能性がある本会員数で、全員分が外部へ持ち出されたと確認された人数ではない。閲覧された可能性がある情報は、氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先情報（第三者宛を含む）、お気に入り店舗、メール配信設定、登録済みカードの下4桁・有効期限・カード名義。クレカはカード番号の全桁ではなく下4桁・有効期限・名義のみ。LINE会員およびAmazon・楽天などの利用客は対象外。カード番号全桁・セキュリティコード・ログインパスワードの流出はないとしている。悪用や二次被害は確認されていない。
- 波及先
- —
- 配送先情報に会員本人以外の第三者（家族や知人）宛の氏名・住所・電話番号が含まれ、影響が及んだ可能性がある
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-13 05:58
- 2026-10-13
- 2026-10-14
- 2026-10-14
- 2026-10-14
- 2026-10-14
- 2026-10-14
- 2026-10-1510月13〜14日公表の不正アクセス事案の一つとして整理記事が公開された。2
技術解説
公表された事案の概要 事実
アエナは2026年10月14日、運営するECアプリに第三者による不正アクセスがあり、アプリ会員のマイページ情報が不正に閲覧されたと発表した。システムログの解析により、2026年10月13日5時58分に判明したという。閲覧された可能性がある会員数は最大817,215人（本会員）で、LINE会員やAmazon・楽天などの利用客は対象外とされている。発生原因は、不正アクセスを通じた機械的な連続アクセスと説明されている。具体的な侵入経路や悪用されたシステム上の問題は調査中である。同社はECサイトのアクセスを遮断し、再発防止策を構築している。
閲覧された可能性がある情報と、含まれないとされる情報 事実
閲覧された可能性がある情報は、氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先情報（第三者宛を含む）、お気に入り店舗、メール配信設定、登録済みカードの下4桁・有効期限・カード名義である。同社は、カード番号の全桁とセキュリティコードをデータベース・サーバー内に保持していないため流出していないとしている。ログインパスワードの閲覧・流出もないとしている。会員情報の変更、退会手続き、購入確定操作（決済）は行われていないことを確認したという。最大81万7,215人は閲覧された可能性がある人数で、全員分が外部に持ち出されたと確認された人数ではない。現時点で悪用や二次被害は確認されていないとしている。
攻撃の構造についての読み取り 解釈
公表されている手がかりは「機械的な連続アクセス」という表現と、被害がマイページの閲覧に集中していた点である。一方で、パスワードの流出や、情報変更・退会・購入確定といった操作はなかったとされる。この組み合わせから、自動化されたアクセスがマイページの表示機能を繰り返し呼び出して情報を集めた形が想定される。ただし、ログインに使われた手段、認証の回避の有無、アクセス元の分散状況などは公表されていない。そのため、認証情報の流用なのか、アプリや連携機能の不備なのかは、現時点の情報では判断できない。ここに書いたのは一つの読み方であり、原因の断定ではない。
公表内容の評価と今後の注目点 解釈
第1報は、判明時刻、最大人数、対象外の範囲、含まれない情報（カード全桁・セキュリティコード・パスワード）を明記している。「最大」と「確認された人数ではない」の区別も示されており、利用者が自分の状況を判断しやすい構成と読める。個別メールとフリーダイヤルの案内も同日に出ている。一方、侵入の開始時期、閲覧が続いた期間、遮断までの経過、ECサイト再開の見通しは第1報では示されていない。報道には「約81万人」や「午前6時ごろ」という丸めた表記があるが、公式の数値は817,215人と5時58分である。続報で原因と範囲が確定した際に、評価を見直す必要がある。
対応
- 封じ込め
- 不正アクセスを遮断する緊急対策を実施し、ECサイトへのアクセスを遮断したうえで再発防止策を構築中。根本的な原因追究と改修を進めている。
- 公表の仕方
- 2026-10-14に公式サイトで発表し謝罪。対象となる可能性のある会員には順次個別にメールで案内。フィッシングやなりすましへの注意を喚起し、お客様専用フリーダイヤル（0120-532-565、9:00〜21:00、土日祝日を含む）を設置。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 短時間に集中する機械的なアクセスは、ログイン後の画面でも検知できるようにしておく必要がある。 | マイページ系エンドポイントについて、アカウント単位・IP単位・端末単位の閲覧回数をレート制限し、閾値超過をSIEMでアラート化する。User-AgentやASNの偏りも検知条件に加える。 |
| 画面に表示する個人情報は、通常利用に必要な範囲に絞るほど、閲覧被害の範囲も狭くなる。 | マイページAPIのレスポンス項目を棚卸しし、生年月日・職業・第三者宛の配送先などは再認証後の表示やマスク表示に切り替える。 |
| カード番号の全桁やセキュリティコードを保持しない設計は、被害の範囲を限定するうえで有効に働く。 | 決済は外部の決済代行トークンで処理し、自社DBには全桁を持たない構成を維持する。定期的にDB・ログ・バックアップに平文のカード情報がないかスキャンする。 |
| 第三者宛の配送先情報は、会員以外の人にも影響が及ぶ。通知の範囲や説明の仕方を、事前に決めておく必要がある。 | 配送先データの保持期間と削除ルールを定める。インシデント時の通知手順書に、会員本人以外の第三者への案内方針を加える。 |
| 原因が確定する前でも、遮断の判断と第1報の出し方を迅速にできる体制が求められる。 | ECサイトやAPI単位で停止できる遮断スイッチ（WAFルールやフラグ）を用意し、判断基準と連絡経路をランブックに定めて、年1回以上の訓練で検証する。 |
自組織などでの確認項目
- 自社の会員向けページやAPIで、同一アカウント・同一IPからの連続閲覧を検知し、制限する仕組みはあるか。夜間や早朝の異常も気づける体制になっているか。
- 自社のマイページに表示している個人情報のうち、通常利用に不要な項目はないか。第三者宛の情報も含め、項目ごとにマスクや再認証が必要かを確認できるか。
- 自社でカード情報を扱う場合、全桁やセキュリティコードが、DB・ログ・バックアップのどこにも残っていないと説明できるか。
- ECサイトやアプリを緊急停止する権限者と手順が決まっているか。停止から利用者への案内まで、何時間で実施できるかを訓練で確認しているか。
未解明点
- 具体的な侵入経路や悪用されたシステム上の問題は何か（公式発表では調査中）。
- 不正アクセスはいつ始まり、いつまで続いたのか。アクセス遮断までの経過はどうだったのか。
- 最大817,215人のうち、実際に閲覧・取得が確認された人数はどれだけか。
- ECサイトの再開時期と、再発防止策の具体的な内容はどうなるのか。
- 攻撃者の特定や、個人情報保護委員会などへの報告状況はどうなっているのか。
出典
- 1株式会社アクト2026-10-14報道本文確認済
- 2innovaTopia2026-10-15報道本文確認済
- 3KSB瀬戸内海放送（ANN NEWS）2026-10-14報道本文確認済
- 4スポーツニッポン新聞社（Yahoo!ニュース配信）2026-10-14報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-14報道本文確認済
- 6株式会社アエナ2026-10-14公式本文確認済
- 7ITmedia NEWS2026-10-14報道本文確認済