株式会社ワールド連結子会社（ティンパンアレイ）への不正アクセス（会員情報延べ約120万件流出の可能性）
公表日
株式会社ワールドは、連結子会社ティンパンアレイの業務サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、セレクトショップ「ラグタグ」などの会員情報延べ約120万件が流出した可能性があると発表しました。
対象者は？
ユーズドセレクトショップ「ラグタグ（RAGTAG）」などを運営するティンパンアレイの会員情報延べ約120万件。流出した可能性がある項目は氏名、住所、電話番号、生年月日、性別、メールアドレスです。クレジットカードなどの決済情報や顔情報の流出は確認されていません。
準備が整い次第、対象となる会員へ個別にメールで連絡が行われるほか、公式ホームページでも案内される予定です。
いますぐできること
- 「ラグタグ」や関連サービスを名乗る不審なメールやSMS、電話に注意し、記載されたリンクを不用意に開かないでください。
- 登録していたパスワードやメールアドレスと同じ組み合わせを他社サービスでも使っている場合は、念のため他社サービスのパスワードを変更してください。
何が起きたのか
2026年10月17日に子会社ティンパンアレイの業務サーバーへ外部から侵入され、データを抽出する操作が行われました。同社は11日後の10月28日に不正な操作を検知し、該当サーバーの隔離やアクセス経路の遮断を実施しました。翌日に警察へ相談し個人情報保護委員会へ報告した上で、10月30日に親会社のワールドが公表しました。
なぜ起きたのか・なぜ広がったのか
侵入に使われた経路や手口については開示されておらず、まだ発表されていません。外部のセキュリティ専門家による調査が進められています。
いまの状況2026-10-30 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の経路は遮断され、現在は同経路からアクセスできないことが確認されています。外部専門家の助言を踏まえた再発防止策の検討が進められており、会員への個別メール送付などの対応準備が行われています。
企業として考えたいこと
自社だけでなく子会社や関連会社が管理するサーバーでも、不正な侵入やデータ持ち出しを早期に検知できる仕組みが整っていますか？
技術的な要約
株式会社ワールドは2026年10月30日、ユーズドセレクトショップ「ラグタグ」等を展開する連結子会社ティンパンアレイの業務サーバーが第三者による不正アクセスを受けたと発表した。2026年10月17日14時51分頃に外部からサーバーに侵入され、データを抽出する操作が行われていた。11日後の10月28日に不正操作を検知し、サーバーの隔離やアクセス経路の遮断、社内業務システムの一時停止を実施した。流出した可能性がある個人情報は会員情報の延べ約120万件で、氏名、住所、電話番号、生年月日、性別、メールアドレスが含まれる一方、決済情報や顔情報の流出は確認されていない。同社は警察や個人情報保護委員会に報告し、外部専門家による調査と再発防止策の検討を進めている。
攻撃の分類
- 侵入口
- 不明開示資料において侵入に使われた経路や手口は明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセス経路遮断に伴い、関連する社内業務システムの一部を停止した。
- データ
- おそれ上限 1,200,000確定 —件氏名住所電話生年月日性別メール連結子会社ティンパンアレイの会員情報延べ約120万件。クレジットカード情報などの決済情報および顔情報の流出は確認されていない。
- 波及先
- —
- 金銭影響
- 当期の業績に与える影響は現在精査中。
- サプライチェーン
- 連結子会社である株式会社ティンパンアレイの業務サーバーへの侵害であり、他社サプライチェーンの侵害経由や波及についての言及はない。
時系列
- 2026-10-17 14:51
- 2026-10-28 12:08
- 2026-10-28
- 2026-10-28 21:36
- 2026-10-29
- 2026-10-29
- 2026-10-30 08:50
- 2026-10-30
技術解説
侵入発生から検知・遮断までの経緯と初期対応 事実
2026年10月17日14時51分頃、ティンパンアレイの業務サーバーに対して外部から不正アクセスがあり、サーバーへの侵入およびデータを抽出する操作が実行された。同社がこの不正な操作を検知したのは、侵入から11日後となる10月28日12時08分頃であった。検知を受けて直ちに当該サーバーが隔離され、同日21時36分までに不正アクセスの経路が遮断された。あわせて被害拡大を防ぐ目的で関連する社内業務システムの一部を停止し、遮断完了後は同経路からアクセスできない状態が確認された。翌10月29日には警察への相談と個人情報保護委員会への報告が行われ、10月30日8時50分に親会社である株式会社ワールドが事案の発生と情報流出の可能性を正式に公表した。
流出した可能性がある個人情報の範囲と影響規模 事実
公表された内容によると、流出した可能性があるのはティンパンアレイが管理する会員情報の延べ約120万件である。該当するデータ項目には、氏名、住所、電話番号、生年月日、性別、メールアドレスが含まれている。一方で、クレジットカード情報などの決済情報や顔情報の流出は確認されていない。ワールドは対象となる会員や正確な件数の詳細について確認を進めており、準備が整い次第、ホームページ上での告知および会員宛ての個別メール送付による謝罪と注意喚起を行う方針を示している。また、本インシデントが当期の業績に与える影響については公表時点で精査中とされている。
滞留期間を踏まえたログ監視態勢と子会社ガバナンスの課題 解釈
本件では侵入当日にデータ抽出操作まで行われていたにもかかわらず、検知までに11日間のタイムラグが生じていた。ネットワーク境界やサーバー内部での異常なデータ送出・不審なコマンド実行をリアルタイムで検知・通知する仕組みが十分に機能していなかった可能性が考えられる。また、グループ企業において子会社のサーバー環境は親会社と比較してセキュリティ監視や運用リソースが手薄になりやすく、そこが攻撃の足がかりとして狙われるリスクは高い。開示資料では侵入経路や脆弱性の詳細は明かされていないが、今後は外部専門家によるフォレンジック調査を通じて侵入口を突き止めるとともに、グループ横断での統合ログ監視や迅速なインシデント検知体制の構築が重要な論点となる。
対応
- 封じ込め
- 不正操作の検知後、速やかに当該業務サーバーを隔離した。同日21時36分までに不正アクセスの経路を遮断し、関連する社内業務システムの一部を停止した上で、遮断後は同経路からアクセスできないことを確認した。
- 公表の仕方
- 2026年10月30日に開示資料を公表。ホームページでの告知および会員への個別メール送付による謝罪と注意喚起を準備が整い次第実施する方針としている。
- 当局対応
- 警察
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サーバー侵入からデータ抽出に至る不審な挙動を即座に検知できなかったこと | EDR（Endpoint Detection and Response）やNDR（Network Detection and Response）を導入し、サーバー上の不審なプロセス実行や大量データのアウトバウンド転送を検知した際に即時アラートを発報する運用体制を整える。 |
| グループ子会社が管理するサーバーの外部露出および脆弱性管理の不備 | EASM（外部攻撃対象領域管理）ツール等を活用してグループ全社の公開サーバーや境界機器を定期的に自動スキャンし、不要なポートの開放やパッチ未適用の脆弱性を継続的に洗い出して是正する。 |
| 氏名や連絡先情報の流出懸念に伴うなりすましやフィッシング被害の拡大リスク | 連絡先情報が流出した可能性がある利用者に対し、自社を騙る不審なメールや連絡に対する具体的な注意点と正規の問い合わせ窓口を早期に個別通知する仕組みを用意する。 |
| 不正アクセス発覚時における迅速な影響範囲の特定と通信経路の遮断 | 侵害が疑われるサーバーを論理的に即時隔離できるようネットワークセグメンテーションを実施し、インシデント発生時の通信遮断手順や業務停止基準を定めたプレイブックを策定・訓練しておく。 |
自組織などでの確認項目
- 自組織およびグループ子会社の業務サーバーにおいて、外部への不審なデータ抽出や大量通信を検知・遮断できる監視体制（EDR・SOC等）が整っているか。
- グループ会社が独自に管理・運用している公開サーバーや境界機器の資産台帳は最新化されており、脆弱性診断が定期的に行われているか。
- サーバーの侵害を検知した際、速やかにネットワークから隔離し、被害範囲の拡大を防ぐための初動対応手順が確立されているか。
未解明点
- 業務サーバーへの外部侵入を許した具体的な経路や悪用された脆弱性（VPN機器、Webアプリケーション、認証情報等）は何であったのか。
- 流出の可能性があるとされる延べ約120万件のうち、実際に外部へ流出したことが確定した件数や実人数はどれほどか。
出典
- 1株式会社アクト2026-10-30報道本文確認済
- 2株式会社 ワールド2026-10-30公式本文確認済
- 3NHK2026-10-30報道本文確認済
- 4NHKニュース2026-10-30報道本文確認済
- 5WWDJAPAN.com2026-10-30報道本文確認済
- 6日本インタビュ新聞社2026-10-30報道本文確認済
- 7日本経済新聞2026-10-30報道本文確認済