トレジャー・ファクトリー子会社のECサイトに不正アクセス、個人情報が漏えい

リユース事業を展開するトレジャー・ファクトリーは8月28日、連結子会社でブランド古着の買取・販売を手がけるカインドオルが運営するECサイトで、第三者による不正アクセスが発生し、顧客の個人情報が漏えいしたと発表した。

対象者は13万6464人で、このうち住所情報を含む顧客は10万9311人。現時点で、クレジットカード情報やECサイトのログインパスワードは含まれていないことを確認しており、不正利用などの具体的な二次被害も確認されていないとしている。

不正アクセスを受けたのは、カインドオルが運営するECのプラットフォーム上で利用していたスタッフアカウント。8月24日、通常業務で注文情報をエクスポートした際、同アカウントに登録されていたメールアドレスが、カインドオル社内で使用していないものに変更されていることが判明した。これを受け、ECプラットフォーム運営会社に調査を依頼した。

調査の結果、8月22日に第三者がスタッフアカウントへ不正アクセスし、翌23日にメールアドレスを変更したうえで、顧客情報の一括エクスポートを2回実行していたことを確認した。

漏えいした可能性がある情報は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジン購読状況、合計注文回数、合計購入金額、顧客タグ情報、ポイント情報履歴（保有・失効・累計）など。対象となる情報項目は顧客ごとに異なるという。

トレジャー・ファクトリーグループによると、不正アクセスの発端は、ECプラットフォーム運営会社を装ったフィッシングメール。従業員が偽のリンク先でスタッフアカウントの認証情報を入力したことで、第三者に情報が流出したと説明している。

また、当該アカウントでは二段階認証を設定しておらず、メールアドレスとパスワードだけでログインできる状態だった。加えて、設定していたパスワードの強度も十分ではなかったことが、不正アクセスを防げなかった要因の1つだったとしている。

不正アクセスの判明後、カインドオルは当該スタッフアカウントを削除、他のスタッフアカウントについても不審なアクセスや操作がないかを確認した。あわせて、ECプラットフォーム上の全スタッフアカウントで二段階認証を必須化。個人情報保護委員会には8月27日付で報告した。

対象となる顧客には順次、今回の事案の内容や注意事項を個別に案内する予定。専用の問い合わせ窓口も準備を進めており、整い次第、トレジャー・ファクトリーとカインドオルのホームページで案内するとしている。

再発防止策として、フィッシングメール対策の強化、従業員向けの情報セキュリティ教育やフィッシング対策訓練の徹底、顧客情報へのアクセス権限や一括エクスポート権限の見直し、不審なログインや大量データ出力を早期に把握する監視・エスカレーション体制の強化などを進める。

親会社のトレジャー・ファクトリーも、グループ全体で二段階認証の設定状況やアクセス権限、情報出力権限、監視体制を改めて点検し、再発防止に取り組むとしている。

なお、業績への影響は現在精査中。重要な影響が判明した場合や、追加で開示すべき事項が生じた場合には速やかに公表するとしている。