トレジャー・ファクトリーへの不正アクセス（顧客メールアドレス等約75万件漏えい）
公表日
株式会社トレジャー・ファクトリーの案件管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客のメールアドレスなど約75万件が流出しました。
対象者は？
「出張買取」または「トレファク引越」を利用した顧客のメールアドレス最大746,277件（うち11件は氏名・住所を含む）、および取引先・従業員の氏名・連絡先・端末識別情報。クレジットカード情報やパスワード、店舗・アプリの会員情報は含まれていません。
対象となる顧客には同社から個別に案内が行われる予定であり、専用の問い合わせ窓口の開設準備が進められています。
いますぐできること
- トレジャー・ファクトリーや買取・引越サービスを装った不審なメールや迷惑メールに注意し、本文内のリンクを安易に開かない。
- 心当たりのない連絡で個人情報やパスワードの入力を求められた場合は、入力せずに公式窓口へ確認する。
何が起きたのか
2026年10月20日未明から朝にかけて、「出張買取」と「トレファク引越」の案件管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。同日のログ調査で発覚し、同社は外部からの通信遮断とWeb受付フォームの停止を実施しました。
なぜ起きたのか・なぜ広がったのか
データベースへのアクセスに関する脆弱性が悪用されたことが原因とみられています。直近で話題となったPHPの脆弱性によるものではないと説明されています。
いまの状況2026-10-23 時点続報待ち
同社は脆弱性の修正や監視強化などの安全対策を進めており、安全確認を前提に2026年10月28日を目途にサービス再開を予定しています。クレジットカード情報の流出や二次被害は確認されていません。
企業として考えたいこと
自社で利用している問い合わせや申し込み管理システムにおいて、外部からデータベースへ不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。される脆弱性が残っていないか点検できていますか？
技術的な要約
リユース事業大手の株式会社トレジャー・ファクトリーは、2026年10月20日未明から朝にかけて「出張買取」および「トレファク引越」の案件管理システムが第三者による不正アクセスを受けたと発表した。データベースへのアクセスに関する脆弱性を悪用されたことにより、顧客情報74万6,277件のメールアドレス（うち11件は氏名・住所含む）のほか、取引先や従業員の情報750件、端末関連情報1,000件が不正取得された。同社は10月20日に外部アクセス遮断と申込受付停止を行い、関連アカウントのパスワード変更や脆弱性対策を進めている。なお、直近に公表されたPHPの脆弱性との関連や、決済情報の流出、具体的な二次被害は確認されていない。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者公式は「データベースへのアクセスに関する脆弱性が第三者に悪用されたことが原因とみている」と推定として記載。直近公表のPHP脆弱性（CVE-2026-109618／CVE-2026-109619）との関連は否定。
- 脆弱性
- CVE 非公表報道・研究者データベース関連機能（案件管理システム）公式発表では「データベースへのアクセスに関する脆弱性」と表現されており、具体的な製品名やCVEは非公表。PHPの脆弱性（php2shell）ではないと明記。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年10月20日10時30分に案件管理システムへの外部アクセスを停止し、11時05分に出張買取・引越等の申込フォーム受付を停止。10月28日を目途にサービス再開を予定。期間：2026-10-20〜（10月28日目途に再開予定）
- データ
- 確定上限 748,027確定 748,027件メール氏名住所従業員情報取引先情報顧客情報746,277件（メールアドレス。うち11件は氏名・住所含む）、取引先業者・従業員等の氏名・メールアドレス750件、取引先業者・従業員等の氏名・端末識別情報1,000件の合計。クレジットカードや決済情報、ログインパスワードは含まれない。
- 波及先
- 0 件
- 金銭影響
- —
- サプライチェーン
- 被害を受けたのは自社運営の案件管理システム。なお、2026年8月に発生した子会社カインドオルのフィッシング被害（ECプラットフォームの認証情報悪用）とは侵入経路・原因が異なる別件とされている。
時系列
技術解説
不正アクセスの発生経緯と漏えい対象データ 事実
株式会社トレジャー・ファクトリーの公表によると、2026年10月20日未明から朝にかけて、「出張買取」および「トレファク引越」の業務に使用する案件管理システムが第三者による不正アクセスを受けました。同日中に実施されたアクセスログ調査によってデータの不正取得が確認され、同社は10時30分にシステムへの外部アクセスを遮断、11時05分にWeb上の申込受付フォームを停止しました。流出したデータは、顧客のメールアドレス746,277件（うち11件は氏名および住所を含む）、取引先業者・従業員等の氏名およびメールアドレス750件、取引先業者・従業員等の氏名および端末識別情報1,000件であり、合計約75万件にのぼります。なお、流出データにクレジットカード番号やセキュリティコード等の決済情報、およびログインパスワードは含まれておらず、店舗預かり情報や公式アプリの顧客情報は別システムで管理されているため影響対象外と発表されています。
推定される脆弱性の性質と攻撃経路 解釈
同社は原因について「データベースへのアクセスに関する脆弱性が悪用された」と推定を公表しており、直近に注意喚起されていたPHPの重大な脆弱性（php2shell等）との関連は明確に否定しています。詳細な技術情報は非公表ですが、データベースアクセスに関する脆弱性という表現からは、Webアプリケーション経由でのSQLインジェクションや、データベース管理インターフェース・APIエンドポイントにおける認証・認可制御の不備、あるいは設定不備などが推測されます。短時間のうちに数十万件規模のメールアドレスや端末識別情報が一括して不正取得されている点から、認証を経ずにテーブルデータを直接抽出可能な状態であったか、過剰なデータ取得権限を持つ経路が悪用された可能性があります。決済情報やパスワードが格納された領域とはデータストアまたはアクセス権が分離されていたため、機微な認証・決済データの流出は免れたとみられます。
グループ内におけるセキュリティ対策と個別システムの網羅性 解釈
同社グループでは2026年8月に連結子会社カインドオルにおいてフィッシングを発端とする約13万件の個人情報漏えいが発生し、これを受けてグループ全体でアカウント棚卸しや多要素認証の導入、データ出力権限の制限などの再発防止策を進めていました。前回の事案はスタッフアカウントの認証情報窃取というアイデンティティレイヤーの攻撃であったのに対し、今回の事案は公開業務システムのアプリケーション・データベース脆弱性を突かれたものであり、侵入経路が異なります。認証情報の管理強化が進められていた一方で、出張買取や引越といった個別事業部門の案件管理システムに対する脆弱性診断やアクセス制御の網羅的検証に課題が残っていた可能性が示唆されます。インシデント検知から約30分〜1時間で外部遮断と受付停止を実施した初動対応は迅速であったといえます。
対応
- 封じ込め
- 案件管理システムへの外部アクセスの遮断、出張買取・トレファク引越等の申込受付フォーム停止、関連アカウントのパスワード変更、悪用された脆弱性への対策、ログイン機能のセキュリティ強化、不審なアクセスの監視強化を実施。
- 公表の仕方
- 2026年10月23日15時30分に公式ウェブサイトおよび適時開示にて不正アクセスと個人情報漏えいを公表。対象顧客への個別案内や専用問い合わせ窓口の開設準備を進める。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開Webシステムとデータベース間のアクセス制御および入力検証の徹底 | Webアプリケーションとデータベースの通信においてパラメータ化クエリ（プレースホルダ）を徹底し、最小権限の原則に基づきWebアプリ用DBアカウントから参照可能なテーブルや実行可能コマンドを厳格に制限する。 |
| 業務管理システムにおける機密情報の保持最小化とマスキング | 案件管理などの運用システムでは、業務上不要となった古い連絡先データを定期的にパージまたは匿名化し、万が一の不正アクセス時にも大量のメールアドレスが一括窃取されない構造を設計する。 |
| インシデント発生時の迅速なサービス停止・ネットワーク遮断手順の整備 | 異常検知時に外部からの通信遮断やWeb受付フォームのメンテナンス切り替えを1時間以内に完了できるよう、権限委譲を含む緊急対応ランブックをあらかじめ策定しておく。 |
| 認証強化施策と並行した公開システムの脆弱性診断の定期実施 | グループ全体でのアカウント棚卸しや多要素認証の導入だけでなく、外部公開されているすべてのWebアプリケーションおよびAPIエンドポイントを対象にした静的・動的脆弱性診断（DAST/SAST）を網羅的に実施する。 |
自組織などでの確認項目
- 自社が運営する業務受付フォームや案件管理システムにおいて、データベースへのアクセス制御やSQLインジェクション等の脆弱性診断が網羅的に実施されているか？
- 万が一システムに侵入された場合、メールアドレス等の顧客連絡先が一括して外部へ持ち出されることを防ぐレート制限やログ検知の仕組みが存在するか？
- フィッシング対策やアカウント管理の強化を進める過程で、個別事業部門が管理する公開サーバやWebシステムの脆弱性管理が疎かになっていないか？
未解明点
- 「データベースへのアクセスに関する脆弱性」の具体的な技術的詳細（SQLインジェクション、認可不備、管理インターフェースの露出など）は何であったか。
出典
- 1BigGo ファイナンス報道本文確認済
- 2激流オンライン2026-10-23報道本文確認済
- 3共同通信2026-10-23報道本文確認済
- 4セキュリティ対策Lab2026-10-13報道本文確認済
- 5セキュリティ対策Lab2026-10-23報道本文確認済
- 6デイリースポーツ2026-10-23報道本文確認済
- 7株式会社トレジャー・ファクトリー2026-10-23公式本文確認済
- 8株式会社トレジャー・ファクトリー2026-10-23公式本文確認済