Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-rext小売・EC最終確認 2026-10-16 20:08

REXT（WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATE）へのランサムウェア攻撃（店舗臨時休業・決済制限、104万件超の漏えいのおそれ）

公表日

REXT Holdings株式会社（被害子会社：REXT株式会社）（RIZAPグループ）
続報ありランサムウェア不正アクセス脆弱性悪用サプライチェーン：起点

WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATEを運営するREXTがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、一部の店舗が約1週間休業しました。会員や従業員などの情報 最大1,044,906件が漏えいしたおそれがあり、そのうち一部は実際にインターネット上で公開されました。

対象者は？

REXTの会員、WonderGOO・新星堂の予約をした方、WonderREXで買取を利用した方、RIZAPの「APORITO」のお客様・取引先、REXTの従業員などです。漏えいのおそれがあるのは最大1,044,906件（会員コード・氏名・生年月日・性別・住所・電話番号・メールアドレスなど）です。このほか、犯人のサイトで公開されたファイルに、採用に応募した方のエントリーシート、会員の登録情報、取引先の振込口座などが含まれていました。クレジットカード情報は含まれていません。

公開されたファイルに情報が含まれていた27名には、9月中旬に個別に連絡済みです。会員と取引先には第5報のあと順に連絡するとされ、連絡がつかない方には公表をもって代えるとしています。問い合わせ窓口はメール（contact@rext.jp）です。

情報漏えいに関する調査結果と今後の対応（第5報・2026年10月9日） ↗情報漏えいのおそれに関するお知らせ（第4報） ↗

いますぐできること

  • WonderGOOや新星堂などを名乗るメール・SMS・電話で、会員情報の確認や支払いを求められても応じない。公式アプリや公式サイトから確認する
  • WonderREXの買取や会員登録で使ったメールアドレスや電話番号に、不審な連絡が増えていないか気をつける
  • REXTと取引がある会社は、振込先の口座を変えたいという連絡が来たら、いつもの連絡先に電話して本当かどうか確かめる

何が起きたのか

2026年8月9日の未明から朝にかけて、REXTの本部と店舗のサーバーやパソコンの多くがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。で暗号化され、レジ（POS）や会計のシステムが止まりました。5つのブランドの一部の店舗が臨時休業や営業時間の変更をし、キャッシュレス決済の制限、買取・査定の停止、ポイントの休止、ネット通販の発送の遅れが起きました。休業した店舗は8月16日にすべて営業を再開しました。9月11日、流出したおそれのある情報の一部がインターネット上に掲載されていることを会社が確認しました。

なぜ起きたのか・なぜ広がったのか

会社の調査では、犯人はネットワーク機器を通って侵入した可能性が高いとされています。どの機器で、弱点を突かれたのかパスワードを使われたのかは公表されていません。また、障害が起きる前から犯人が社内に入り込んでいたことが分かっています。8月14日の第2報では漏えいの可能性は「極めて低い」とされていましたが、その後の調査で、犯人のサイトに310ファイル（約54MB）が公開されていたことが確認されました。RIZAPから仕事を任されていた「APORITO」事業の情報も、REXTのシステムにあったため対象に含まれました。

いまの状況2026-10-09 時点続報待ち

すべての店舗が営業を再開し、侵入経路への対策とランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の駆除は終わったとされています。個人情報保護委員会に調査結果を出し、警察にも相談しています。会員と取引先の情報のうち実際に公開された人数、被害による損失の額、再発防止策の具体的な内容は、まだ発表されていません。

企業として考えたいこと

自社のネットワーク機器（VPN装置など）は最新の状態に保たれ、怪しいログインに気づける仕組みはあるでしょうか。他社から預かっているお客様の情報が被害に遭ったときの連絡の手順も決まっているでしょうか。

技術的な要約

REXT Holdingsの子会社REXT株式会社は2026年8月9日（日）未明から朝にかけてランサムウェア攻撃を受け、本部・店舗のサーバーとPCの多くが暗号化されてPOS・会計システムなどが停止した。WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATEの一部店舗で臨時休業・部分営業・営業時間変更が起き、キャッシュレス決済の制限、買取・査定受付の停止、ポイントサービス休止、EC発送遅延が生じた。休業店舗は8月16日に全店再開し、残る決済・サービス制限は9月上旬の解消見込みとされた。9月1日にRansomHouseがリークサイトに同社を掲載し、9月11日の第4報で流出のおそれがある情報の一部がネット上に掲載されたことを同社が確認した。10月9日の第5報で調査が完了し、侵入経路はネットワーク機器経由の可能性が高いこと、攻撃者サイトで310ファイル（約54MB）の公開を確認したこと、会員・従業員・予約・買取情報など1,044,906件が漏えいのおそれ（クレジットカード情報は含まず）であることが公表された。

公開情報が限られている点について
侵入日（検知前からの侵入とのみ公表）、ネットワーク機器の製品名・CVE、業績影響（決算開示・特別損失の公表を検索で確認できず）は不明のため空欄。RIZAPのAPORITO関連2報は本文を取得できず verified=false。mitre_attackのT1133はネットワーク機器経由の侵入（第5報）からの対応づけで、機器種別は非公表。piyologの本件まとめ記事は検索で見つからなかった。
侵入
—
被害発生
2026-08-09
検知
2026-08-09
第1報公表
2026-08-10
最新続報
2026-10-13
侵入 → 検知
—
侵入日が非公表
検知 → 公表
1日
データ（上限）
104.5万件
確定 —
波及先
1
社（委託元）

攻撃の分類

侵入口
VPN/境界機器公表で確認
第5報（10/9）で『攻撃者はネットワーク機器を経由して侵入した可能性が高い』と公表（同社公表、ただし表現は『可能性が高い』）。機器の種類（VPN装置、ファイアウォール、ルーター等）、製品名、悪用された脆弱性または認証情報の別は非公表。システム障害の検知前から攻撃者が社内ネットワークに侵入していたことも確認されている（侵入日は非公表）。参考：同じREXT Holdings傘下の連結子会社D&Mでは2026年6月1日発覚のランサムウェア被害がVPN機器経由と説明されていたが、本件との関連は公式に示されていない。
脆弱性
CVE 非公表公表で確認
ネットワーク機器（種類・製品名非公表）
第5報で侵入経路として『ネットワーク機器経由の可能性が高い』とされたのみで、脆弱性悪用か認証情報の悪用かも明示されていない。第5報は『侵入経路の対策』が完了したとする。CVE・製品名は2026-10-10時点で公式・報道とも確認できなかった。
攻撃者
RansomHouse 被害組織は認めていない
2026-09-01にRansomHouseがリークサイトに『REXT Holdings Co., Ltd.』を掲載（セキュリティ対策Lab・SOCRadarが同日確認）。『Encrypted』『Status: EVIDENCE』の表示と『Evidence packs』のダウンロード導線があり、WonderGOO等の店舗数を157店舗と記載（REXT公表の直営店116店舗とは集計対象が異なる）。窃取データ量の主張は確認できなかった。REXTは第5報で『攻撃者のサイト上』で310ファイルの公開を確認したとするが、攻撃者名は明示していない。
ATT&CK
T1486 Data Encrypted for ImpactT1005 Data from Local SystemT1133 External Remote Services

影響

業務停止
あり 8/9未明〜朝に本部・店舗のサーバー・PCの多くが暗号化され、POSシステム・会計システム等の業務システムが停止（第5報）。WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATEの一部店舗で臨時休業・部分営業・営業時間変更。店頭ではキャッシュレス決済等の一部決済方法の制限、買取・査定受付停止、ポイントサービス休止。ECは商品発送遅延と一部サービスの受付停止（第1報）。RIZAPのAPORITO事業（REXTに運営の一部を委託）でも一部店舗のサービスが停止。
期間：店舗休業：2026-08-09〜08-16（被害店舗が全店営業再開）。決済・サービス制限：再開後も一部店舗で継続し、9月上旬に全店で解消見込み（第3報、8/31）。第5報（10/9）時点で全店営業再開、ランサムウェア駆除完了
データ
確定上限 1,044,906確定 —件
氏名性別生年月日住所メール電話会員ID従業員情報取引先情報口座業務データその他（WonderGOO・新星堂の予約情報、WonderREXの買取情報、APORITOの顧客・取引先情報、採用応募者のエントリーシート）
【漏えい確定】攻撃者サイトで公開を確認したファイルが計310件（約54MB）。個人情報を含むもの：採用応募者のエントリーシート（氏名・性別・生年月日・住所・メール・電話等）、従業員の人事関係書類、会員登録情報（会員コード・氏名・住所・連絡先等）、取引先の請求書・支払通知書（名称・住所・振込口座情報・取引金額等）。個人情報を含まないもの：会計・給与資料、発注データ、店舗のPOS・売上・在庫データ、システム関連ファイル。うち対象者27名には9月中旬に個別通知済み、会員・取引先へは第5報後に順次通知（会員・取引先の人数は非公表のため records_confirmed は null）。【漏えいのおそれ】暗号化被害サーバー上の情報は持ち出しの痕跡はないがアクセスを否定できないとして1,044,906件（従業員情報、会員情報、WonderGOO・新星堂の予約情報、WonderREXの買取情報、APORITOの顧客・取引先情報等。項目は会員コード・氏名・生年月日・性別・郵便番号・住所・電話・メール等）。クレジットカード情報は含まれない。10/9時点で当該104万件のリークサイト公開は未確認。経緯：第1報『完全には否定できない』→第2報『可能性は極めて低いと推定』→第4報『一部がネット上に掲載』→第5報で確定。なお同時期のRIZAP『APORITOオンラインストア』の不正スクリプトによるカード情報流出の可能性（2026/5/1〜8/5の注文分）は別事案。
波及先
1 社（委託元）
  • RIZAP株式会社『APORITO』事業：REXTに運営の一部を委託しており、一部店舗のサービス停止と顧客・取引先情報の漏えいのおそれ
金銭影響
—
サプライチェーン
REXTはRIZAPの『APORITO』事業の運営の一部を受託しており、REXTの侵害によりRIZAP側でも一部店舗のサービス停止が発生し、APORITOの顧客・取引先情報が漏えいのおそれの対象になった。委託元自身のシステムが侵害されていなくても、受託者側に預けたデータが被害対象になる構造。

時系列

  1. 2026-08-09
    未明から朝にかけて本部・店舗のサーバー・PCの多くが暗号化され、POS・会計システム等が停止。同日REXTがランサムウェア被害を確認（侵入自体は検知前から）15
  2. 2026-08-10
    REXT Holdingsが第1報。5ブランドの一部店舗で臨時休業・部分営業、キャッシュレス決済制限、買取・査定停止、ポイント休止、EC発送遅延。個人情報漏えいの可能性は『完全には否定できない』。同日RIZAPもAPORITO事業のシステム障害を公表16810
  3. 2026-08-12
    外部専門機関による詳細調査を開始2
  4. 2026-08-14
    第2報。警察と個人情報保護委員会に報告済み。漏えいの可能性は『極めて低いと推定』、全店営業再開を8/16と見込む2
  5. 2026-08-16
    被害を受けて休業していた店舗が全店営業再開3
  6. 2026-08-31
    第3報。一部店舗の決済・サービス制限は順次復旧中で9月上旬に全店で解消見込み。原因・影響範囲は調査継続3
  7. 2026-09-01
    RansomHouseがリークサイトにREXT Holdingsを掲載（Encrypted、Status: EVIDENCE、Evidence packs）11
  8. 2026-09-11
    第4報。流出のおそれがある情報の一部がインターネット上に掲載されていることを確認。対象者には調査完了後に個別連絡すると表明412
  9. 2026-09
    9月中旬、公開ファイルに個人情報が含まれていた27名に個別通知5
  10. 2026-10-09
    第5報（調査結果）。ネットワーク機器経由の侵入の可能性が高い、310ファイル（約54MB）の公開を確認、1,044,906件が漏えいのおそれ（カード情報なし）。侵入経路対策とランサムウェア駆除完了、PPCに調査結果提出、警察に再相談5
  11. 2026-10-13
    新星堂WonderGOO ONLINEとWonderREXが、10/9のREXT Holdings調査結果公表を受けた告知を更新。現時点で情報の悪用による二次被害は確認されていないとし、グループ各社を装った不審なメールや電話等への注意を呼びかけた。侵入経路への対策とランサムウェアの駆除は完了し、店舗は全店営業していると案内した1516

技術解説

攻撃の構造：境界機器から侵入し、本部と店舗を一斉に暗号化 事実

第5報によれば、攻撃者はネットワーク機器を経由して侵入した可能性が高く、システム障害の検知より前から社内ネットワークに潜伏していた。8月9日（日）の未明から朝という人手の少ない時間帯に、本部と店舗のサーバー・PCの多くが暗号化され、POSや会計システムが停止した。本部と店舗が同一ネットワーク・同一管理基盤で結ばれていたことで、暗号化が店舗端末まで一斉に及んだと読める。並行して情報も持ち出されており、攻撃者サイトで310ファイル（約54MB）の公開が確認された。一方、暗号化されたサーバー上の104万件余りについては持ち出しの痕跡がなく、『アクセスを否定できない』という理由でおそれとして扱われている。機器の種類、製品名、CVE、侵入日、滞在期間は非公表。

店舗小売でのランサムウェア：POS・決済・買取・ポイントが連鎖停止 事実

影響は単なる社内システム停止にとどまらず、店頭のキャッシュレス決済制限、買取・査定受付停止、ポイントサービス休止、EC発送遅延として顧客に直接現れた。休業店舗は1週間後の8月16日に全店再開したが、決済・サービスの制限は再開後も残り、解消は9月上旬見込みとされた。業務復旧（約1週間〜1か月）と漏えい調査の完了（約2か月、10月9日）が別の時間軸で進んだ典型例である。WonderREXのようなリユース業態では、買取時の本人確認と査定データがPOS・会員基盤と結合しており、買取停止は仕入れそのものの停止を意味する。

公表内容の揺れ：『極めて低い』から『漏えい確定』へ 解釈

第1報（8/10）は漏えいの可能性を『完全には否定できない』としたが、第2報（8/14）は『極めて低いと推定』と踏み込んだ。しかし9月1日にRansomHouseが掲載し、第4報（9/11）でネット上への掲載を確認、第5報（10/9）で310ファイルの公開と104万件余りのおそれを公表するに至った。調査初期に暗号化の痕跡を中心に見て持ち出しの痕跡を過小評価した可能性、または攻撃者が暗号化前に少量ずつ持ち出していた可能性が考えられる（推測）。初期段階で『可能性は低い』と書くと、後の訂正が信頼を損なう。RansomHouseについては、同社は第5報でも攻撃者名を明示しておらず、帰属を公式に認めた形にはなっていない。

グループ内での連続被害と委託関係による波及 解釈

REXT Holdingsの連結子会社D&Mでは2026年6月1日にVPN機器経由のランサムウェア被害が発覚しており（FAX受注データ633件の流出可能性）、その約2か月後に今回のネットワーク機器経由の侵入が起きた。両事案の関連は公式に示されていないが、グループ内で境界機器経由の侵入が続いた事実は、D&M事案後のグループ横断点検（同種機器の脆弱性・認証情報・MFAの確認）が十分だったかを問う材料になる（推測）。また、REXTはRIZAPのAPORITO事業の運営を一部受託しており、委託元のRIZAP側でも店舗サービス停止とAPORITO顧客・取引先情報の漏えいのおそれが生じた。同時期にAPORITOオンラインストアでは別系統の不正スクリプトによるカード情報流出の可能性も公表されており、利用者から見ると2つの事案が重なって見える点にも注意が要る。

対応

封じ込め
8/9の被害確認後、システム停止・店舗の臨時休業や部分営業で対応し、8/12から外部専門機関が詳細調査。8/16に休業店舗を全店再開、決済・サービス制限は9月上旬に解消見込み。ダークウェブ等の外部モニタリングを継続。第5報（10/9）時点で侵入経路の対策とランサムウェア駆除を完了し、外部専門機関の知見を踏まえた再発防止策を実施済みとする（具体策は非公表）。
公表の仕方
REXT Holdingsが8/10第1報、8/14第2報、8/31第3報、9/11第4報（情報漏えいのおそれ）、10/9第5報（調査結果）をIR資料として公表。第2報で漏えい可能性を『極めて低い』としたが、第4報・第5報で漏えいを確定。対象27名へ9月中旬に個別通知、会員・取引先へは第5報後に順次通知し、連絡困難者は公表をもって代える。攻撃者名は明示せず。問い合わせ窓口 contact@rext.jp。委託元のRIZAPもAPORITO事業について8/10に第1報、その後第2報を公表。
当局対応
  • 個人情報保護委員会：第2報（8/14）時点で報告済み、第5報（10/9）で調査結果を提出
  • 警察：第2報時点で報告済み、第4報で被害状況を共有、第5報で改めて相談

教訓と対策

教訓具体的な対策
ネットワーク機器（境界機器）経由で侵入され、検知前から潜伏されていたVPN・ファイアウォール等の外部公開機器を台帳化し、KEV掲載脆弱性は72時間以内にパッチまたは無効化。管理画面のインターネット非公開、VPNは証明書＋MFA必須、機器ログ（認証成功/失敗、設定変更）をSIEMへ転送し、新規国・新規ASNからの認証成功や深夜帯のログインをアラート化
本部と店舗のサーバー・PCが休日未明に一斉暗号化され、POS・決済が停止した店舗POS／決済端末と本部業務系を別セグメント・別ドメイン（別AD/別管理アカウント）に分け、ドメイン管理者権限での全端末一括配布（GPO・ソフトウェア配布ツール）を監査・制限。EDRで大量ファイル書き換えとシャドウコピー削除を自動隔離する設定にし、休日夜間もSOCが対応できる体制にする
グループ子会社D&MでのVPN機器経由の被害から約2か月で再び境界機器経由の侵入を許したグループ内で1件被害が出たら、全子会社の同種機器・同一ベンダー製品・共通アカウントを2週間以内に横断点検するルールを定め、点検結果を持株会社に報告させる
初期の『漏えい可能性は極めて低い』推定が後に覆ったフォレンジック完了前の公表では『漏えいを確認していない』と『漏えいがないことを確認した』を区別して書く。外部送信の有無はファイアウォール/プロキシの通信量ログ（宛先別バイト数）で裏付けてから評価する
暗号化されたサーバー上の104万件は『アクセスを否定できない』として全件がおそれの対象になった会員・予約・買取データを個別システムに分散させず保存期間を定めて削除し、ファイルサーバー上のCSV/Excelエクスポートを禁止または暗号化する。データベースのアクセスログを保管し、持ち出しの有無を件数単位で判定できるようにする
受託者（REXT）の侵害で委託元（RIZAP）の顧客データとサービスにも影響した委託契約で、受託者側のセキュリティ要件（MFA、EDR、ログ保管、セグメント分離）、インシデント通知期限（例：24時間以内）、委託データの保存場所と削除時期を明記し、年次で証跡を確認する

自組織などでの確認項目

  1. あなたの会社の店舗・拠点端末は、本部のドメイン管理者権限が奪われた場合に一斉に暗号化されうる構成になっていないか。POS・決済系を本部から切り離して動かせるか。
  2. グループ会社や委託先で境界機器経由の侵入が起きたとき、自社の同種機器を何日以内に点検できるか。機器台帳は最新か。
  3. 初報・第2報で『漏えいの可能性は低い』と書く根拠として、どのログが何日分あれば十分と言えるか。
  4. 顧客から見て2つの別事案（ランサムウェアとECの不正スクリプト）が同時期に公表された場合、どう伝え分けるべきか。

未解明点

  • 侵入に使われたネットワーク機器の種類・製品名、脆弱性（CVE）悪用か認証情報悪用か、侵入日と潜伏期間
  • 2026年6月のD&M事案（VPN機器経由）と本件の関連（同一機器・同一攻撃者か）
  • 攻撃者の特定（RansomHouseの関与を同社が認めるか）と身代金要求の有無
  • 会員・取引先の漏えい確定人数
  • 業績への影響（休業・決済制限期間の売上影響、調査・復旧費用、特別損失計上の有無）
  • 再発防止策の具体的内容

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
    REXTでランサムウェア 被害、WonderGOO・WonderREX・新星堂などで一部休業やサービス制限
    セキュリティ対策Lab（ロケットボーイズ）2026-08-13報道本文確認済
  10. 10
  11. 11
    REXT Holdings Co., Ltd. Data Breach (RansomHouse extortion)
    SOCRadar2026-09-01研究者本文確認済
  12. 12
  13. 13
    2026年8月 ランサムウェアの被害 事例 まとめ
    セキュリティ対策Lab（ロケットボーイズ）2026-09-03報道本文確認済
  14. 14
    2026年9月 ランサムウェアの被害 事例 まとめ
    セキュリティ対策Lab（ロケットボーイズ）2026-10-02報道本文確認済
  15. 15
  16. 16