カインドオルのECプラットフォームのスタッフアカウントへの不正アクセス（13万6,464人の個人情報が漏えい対象として確定）
公表日
ブランド古着の買取・販売を行うカインドオルのECサイトで、顧客情報が外部に漏れました。調査が完了し、漏えいの対象は136,464人で確定しました。
対象者は？
カインドオルオンラインの顧客136,464人(うち住所情報を含む人は109,311人)。対象の情報は人によって異なり、氏名、住所、電話番号、生年月日、メールアドレス、購入回数・金額、ポイント履歴などが含まれます。クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは含まれないと公表されています。
対象の方には順次メールで個別に案内されています。ただし、登録メールアドレスや受信設定によっては届かない場合があります。届いていない場合は、専用お問い合わせ窓口(電話0120-721-616、平日9:00〜18:00)に確認できます。
いますぐできること
- カインドオルや配送業者、金融機関などを名乗るメール・SMS・電話は、すぐに信用せず、公式サイトなどで確認する。
- 案内メールが届かない場合は、専用お問い合わせ窓口に問い合わせる。
- メールやSMSのリンクから、IDやパスワードを入力しない。
何が起きたのか
2026年8月22日、従業員がECプラットフォーム運営会社を装ったメールのリンク先の偽サイトにログイン情報を入力し、第三者がスタッフアカウントに不正にアクセスしました。翌23日に登録メールアドレスが変更され、顧客情報がまとめて2回出力されました。8月24日、通常業務で注文情報を出力した際にメールアドレスの変更に気づき、調査で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と出力が分かりました。8月28日に公表され、当初は最大136,464人に漏れた可能性があるとされました。9月2日には、出力されたファイルが第三者にダウンロードされていたことも確認されました。10月13日の第三報で調査が完了し、対象は136,464人で確定しました。
なぜ起きたのか・なぜ広がったのか
公表によると、偽サイトに入力されたログイン情報が使われました。対象のアカウントには二段階認証が設定されておらず、メールアドレスとパスワードだけでログインでき、パスワードの強度も十分ではありませんでした。第三報では、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。を前提にした認証方式の選択、顧客情報の一括出力権限の設計、重要な操作を早く把握する監視体制も管理上の課題として挙げられました。プラットフォーム自体の侵害は公表されていません。
いまの状況2026-10-13 時点続報待ち
2026年10月13日の第三報で調査は完了しました。対象のアカウントは削除され、全スタッフアカウントにパスキー方式の二段階認証が導入されました。一括出力権限の限定や運用の見直しも行われ、グループ全体で情報セキュリティの責任者を選任しています。個人情報保護委員会へは10月6日付で確報を提出し、警察にも相談して被害届の提出に向けた手続きを進めています。連結業績への影響は軽微で、業績予想に変更はありません。
企業として考えたいこと
自社で使っているSaaSの管理者アカウントに二段階認証は設定されていますか。また、顧客情報をまとめて出力できる人は限られていますか。
技術的な要約
トレジャー・ファクトリーの連結子会社カインドオルは2026年8月28日、運営するECサイトで利用するECプラットフォームのスタッフアカウントが第三者から不正アクセスを受け、顧客情報が漏えいしたと公表した。従業員がECプラットフォーム運営会社を装ったフィッシングメールの偽サイトに認証情報を入力したことが発端で、8月22日に不正アクセスが発生し、8月23日にメールアドレス変更と顧客情報の一括エクスポート2回が実行された。8月24日、通常業務で注文情報を出力した際に登録メールアドレスの変更に気づいて発覚した。9月2日にはエクスポートされたファイルが第三者にダウンロードされていたことが確認され、10月13日の第三報で調査が完了し、漏えい対象者は136,464名（うち住所情報を含むものは109,311名）で確定した。対象項目は氏名、住所、電話番号、生年月日、メールアドレス、購入回数・金額、ポイント履歴などで、クレジットカード情報とログインパスワードは含まれないとされる。カインドオルは全スタッフアカウントにパスキー方式の二段階認証を導入するなどの再発防止策を実施し、連結業績への影響は軽微としている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認ECプラットフォーム運営会社を装ったフィッシングメールのリンク先の偽サイトに、従業員がスタッフアカウントの認証情報を入力した。対象PCのログ確認で、入力直後に最初の不正アクセスが発生していたことが分かった。当該アカウントは二段階認証が未設定で、メールアドレスとパスワードだけでログインでき、パスワードの強度も十分ではなかった。第三報では管理上の課題として、二段階認証の未設定に加え、フィッシング攻撃を前提とした認証方式の選択とアカウント保護、顧客情報の一括エクスポート権限の設計、重要な操作を早期に把握する監視体制が十分でなかったことが挙げられた。
- 脆弱性
- CVE 非公表公表で確認ECプラットフォーム（スタッフアカウント）ソフトウェアの脆弱性ではなく、二段階認証の未設定とパスワード強度不足が不正アクセスを防げなかった要因として公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 136,464確定 136,464人会員ID氏名住所電話生年月日メール購入履歴その他漏えい対象者は136,464名で、2026年10月13日の第三報で確定した。うち住所情報を含む顧客は109,311名。対象項目は顧客ごとに異なる。項目はカスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジン購読状況、合計注文回数、合計購入金額、顧客タグ情報、ポイント情報履歴（保有・失効・累計）など。クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは含まれない。9月2日、一括エクスポートされた顧客情報ファイルが第三者にダウンロードされていたことが確認された。それ以外の不正な操作は確認されていない。
- 波及先
- —
- 金銭影響
- 専用お問い合わせ窓口の運営等の対応費用が発生しているが、連結業績への影響は軽微で、2027年2月期の連結業績予想に変更はない。
- サプライチェーン
- ECプラットフォーム運営会社を装ったフィッシングで、カインドオルのスタッフアカウントの認証情報が窃取された。プラットフォーム自体の侵害は公表されていない。
時系列
- 2026-08-22
- 2026-08-23
- 2026-08-24
- 2026-08-24
- 2026-08-24
- 2026-08-27個人情報保護委員会へ報告した。1
- 2026-08-28
- 2026-08-282026年8月28日時点で、個人情報の不正利用など具体的な二次被害は確認されていないと公表された。2
- 2026-09-02追加調査により、一括エクスポートされた顧客情報ファイルが第三者にダウンロードされていたことを確認したと公表した。それ以外の不正な操作は確認されていない。6
- 2026-09-02専用お問い合わせ窓口（電話0120-721-616、平日9:00〜18:00）を開設した。対象顧客には順次メールで個別に案内している。6
- 2026-09グループで外部ツールのアカウント・権限・認証状況の初回の棚卸しを実施し、高リスクと判定したものの是正を進めている。8
- 2026-10-06
- 2026-10-13
技術解説
攻撃の流れ:フィッシングから一括エクスポートとダウンロードまで 事実
公表によると、従業員がECプラットフォーム運営会社を装ったフィッシングメールのリンク先の偽サイトにスタッフアカウントの認証情報を入力した。対象PCのログ確認で、入力直後に最初の不正アクセスが発生していたことが分かった。不正アクセスは8月22日で、翌23日に登録メールアドレスが変更され、顧客情報の一括エクスポートが2回実行された。8月24日、通常業務で注文情報を出力した際に、登録メールアドレスが社内で使用していないものに変わっていることに気づき、ECプラットフォーム運営会社へ調査を依頼して不正アクセスとエクスポートが判明した。9月2日には、エクスポートされたファイルが第三者にダウンロードされていたことが確認された。それ以外の不正な操作は確認されていない。ソフトウェアの脆弱性の悪用は公表されておらず、攻撃は正規の認証情報によるログインの形をとった。
管理上の課題として公表された点 事実
当該アカウントは二段階認証が未設定で、メールアドレスとパスワードだけでログインでき、パスワードの強度も十分ではなかった。10月13日の第三報で、カインドオルは管理上の課題として、二段階認証の未設定に加え、フィッシング攻撃を前提とした認証方式の選択とアカウント保護、顧客情報の一括エクスポート権限の設計、重要な操作を早期に把握する監視体制が十分でなかったことを挙げた。ECプラットフォーム自体の侵害は公表されていない。当該アカウントは判明後に削除され、他のスタッフアカウントの不審なアクセスや操作の有無も確認された。再発防止策として、全スタッフアカウントにパスキー方式の二段階認証を導入し、アカウント棚卸しと一括エクスポート権限の限定を実施した。
影響範囲:当初は最大数、10月13日に確定 事実
8月28日の公表時点では、漏えいの可能性がある顧客は最大136,464名とされていた。10月13日の第三報で調査が完了し、漏えい対象者は136,464名(うち住所情報を含むものは109,311名)で確定した。対象項目は顧客ごとに異なり、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジン購読状況、合計注文回数、合計購入金額、顧客タグ情報、ポイント情報履歴などが含まれる。クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは含まれない。8月28日時点では個人情報の不正利用など具体的な二次被害は確認されていないとされた。費用面では、専用お問い合わせ窓口の運営等の対応費用が発生しているが、連結業績への影響は軽微で、2027年2月期の連結業績予想に変更はない。
評価:一括出力権限と監視の観点 解釈
以下は公表内容に基づく解釈である。1つのアカウントの認証情報だけで顧客情報の一括エクスポートまで実行できる状態だったことが、影響の大きさに関係した可能性がある。第三報が管理上の課題として一括エクスポート権限の設計と重要操作の監視を挙げている点から、同社自身も同じ論点を重視していると読める。また、メールアドレス変更から約1日後に通常業務で気づいた経緯から、変更通知や出力操作のアラートがあれば発見が早まった可能性がある。ただし、当時の通知設定や監視の実態は公表されていないため、断定はできない。パスキーの導入やグループ全体での外部ツールの棚卸しは、類似リスクへの横展開として評価できる。なお、第1報から第三報までに、顧客情報の流出範囲が「おそれ」から「確定」へ進んだ点は、公表の段階的な精緻化として読める。
対応
- 封じ込め
- 当該スタッフアカウントを削除してアクセスできない状態にし、他のスタッフアカウントの不審なアクセス・操作を確認した。ECプラットフォームの全スタッフアカウントで二段階認証を必須化し、第三報の時点では全スタッフアカウントにフィッシング耐性を考慮したパスキー方式の二段階認証を導入した。あわせてアカウントの棚卸し、顧客情報の一括エクスポート権限の限定、重要な操作に関する確認と社内エスカレーションの運用見直しを実施した。グループ全体では情報セキュリティ対策ガイドラインを整備し、全グループ会社で情報セキュリティ責任者を選任した。外部ツールのアカウント・権限・認証状況も定期的に棚卸ししており、2026年9月の初回棚卸しで高リスクと判定したものは是正を進めている。
- 公表の仕方
- 2026年8月28日にトレジャー・ファクトリーとカインドオルが公表した。9月2日には専用問い合わせ窓口の開設と、顧客情報ファイルがダウンロードされていたことを続報として公表した。10月13日の第三報では調査完了、対象者136,464名の確定、再発防止策を公表した。対象顧客には順次メールで個別に案内している。登録メールアドレスの状況や受信設定によっては案内メールが届かない場合がある。同社は、漏えい情報を悪用した同社・配送事業者・金融機関などを装うメール、SMS、電話に注意を呼びかけている。警察にも相談しており、被害届の提出に向けた手続きを進めている。
- 当局対応
- 個人情報保護委員会（2026年8月27日付で報告、2026年10月6日付で確報を提出）
- 警察（相談済み。被害届の提出に向けた手続き中）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理画面のアカウントは多要素認証がないと、フィッシングで窃取された認証情報だけで突破される | ECプラットフォームなどSaaSの全スタッフ・管理者アカウントで多要素認証を必須化し、未設定アカウントを定期棚卸しで検出する。偽サイトに強いパスキーやFIDO2方式を選ぶ。 |
| パスワード強度が不十分だと、ほかの防御が弱い場合に突破されやすい | SaaS側のパスワードポリシー(長さ・使い回し禁止)を設定し、パスワードマネージャーを配布する。SSO対応のSaaSはIdP経由に統一し、個別パスワードを廃止する。 |
| 顧客情報の一括エクスポート権限が広いと、1アカウントの侵害が全顧客規模の漏えいにつながる | 一括エクスポートを専用ロールに分離し、最小限の担当者にのみ付与する。可能なら承認フロー、出力件数の上限、IPアドレス制限を設ける。 |
| 登録メールアドレス変更や大量出力を即時に検知できないと、発見が遅れる | 登録メールアドレス変更・権限変更・一括エクスポートを監査ログから取得し、SIEMやチャットへ即時通知するルールを作る。変更時に旧アドレスへ通知が届く設定を有効にする。 |
| 従業員の誤操作を前提にした対策が必要で、教育だけに頼れない | 偽装ドメイン検知(SPF/DKIM/DMARC判定、類似ドメイン警告)を導入し、フィッシング報告窓口と訓練を組み合わせる。認証情報を入力した疑いがある場合の即時パスワード変更・セッション失効手順を整備する。 |
| 外部ツールのアカウント・権限・認証状況は継続的に把握しないと、未設定のまま残る | SaaSの管理者・スタッフアカウント、権限、MFA設定状況を台帳化し、定期的に棚卸しして高リスクのものから是正する。責任者を明確にする。 |
自組織などでの確認項目
- 自社が使っているSaaSやECプラットフォームの管理者・スタッフアカウントのうち、多要素認証が未設定のものはいくつあるか、一覧で確認できるか。
- 顧客情報を一括でエクスポートできる権限を持つ人は誰か。その権限は業務上必要か、実行時に通知や記録が残るか。
- 従業員がフィッシングサイトに認証情報を入力してしまった場合、気づいてから何分以内に誰がどの手順でパスワード変更やセッション無効化を行えるか。
- SaaS上でメールアドレス変更や大量データ出力があったとき、担当者がその日のうちに気づける仕組みがあるか。
未解明点
- ダウンロードされた顧客情報ファイルが、その後どこかで流通・悪用されたかどうかは公表されていない。
- 攻撃者の特定や、攻撃者の主張の有無は公表されていない。
- 8月22日の最初の不正アクセスから発覚まで、アカウントで一括エクスポート以外に何が行われたかの詳細は、公表された範囲では示されていない。
- 業績への影響は軽微とされているが、対応費用の具体的な金額は公表されていない。
- 公式の第1報の本文は今回の出典に含まれておらず、その記載内容は報道経由でしか確認できない。
出典
- 1ネットショップ担当者フォーラム（インプレス）2026-09-01報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-30報道本文確認済
- 3ScanNetSecurity2026-09-18報道本文確認済
- 4ScanNetSecurity2026-09-24報道本文確認済
- 5LOGISTICS TODAY2026-08-28報道本文確認済
- 6株式会社トレジャー・ファクトリー2026-09-02公式本文確認済
- 7BigGo ファイナンス（TDnet適時開示の転載）2026-10-13公式本文確認済
- 8株式会社アクト2026-10-13報道本文確認済