【インシデント速報】2026年8月17日｜チャーム23万件・丸高興業ランサム・海月館グループ不正アクセス
secure2026年8月17日 速報
今日のポイント: ペット用品通販「チャーム」で約23万件の顧客情報が漏えいのおそれ。ECサイトを持つ企業は認証基盤とサーバー隔離手順の点検を。VPN経由の侵入・宿泊業でのフィッシング二次被害も並行して起きており、入口と出口の両方で守りを固める必要があります。
本日のインシデント（8月上旬〜中旬公表・詳報）
チャーム（ペット用品通販）— 約23万件の顧客情報に漏えいのおそれ
ペット用品・観賞魚用品の通販を手がけるチャームは、8月11日に運営するECサイト「チャーム本店」（1号店・2号店）が第三者による不正アクセスを受けたと公表しました。8月12日に検知し、被害拡大を防ぐため関連サーバーへのアクセスをすべて遮断、同日午前10時に本店を一時休店しました。
漏えいのおそれがあるのは、7月1日〜8月12日にチャーム本店を利用した顧客のお届け先情報などで、氏名・住所・電話番号・FAX番号・生年月日・性別・メールアドレス・所持ポイント数・顧客対応の社内記録、およびハッシュ化されたパスワードが対象です。クレジットカード情報は含まれていないとしています。安全性が確認できた支店から順次、8月13日に受注を再開しました。
中小企業への影響
ECサイトは規模を問わず狙われます。パスワードがハッシュ化されていても、使い回しをしている顧客はほかのサービスで悪用される二次被害のリスクを負います。自社が漏えい元になれば、顧客への告知・問い合わせ対応・売上停止と、直接被害以上のコストが発生します。
推奨対応
- ECサイトの管理画面・サーバーへのログインにMFA（多要素認証）を必須化し、管理者権限のアカウントを棚卸しする
- 「攻撃を検知したらどのサーバーを、誰の判断で、何分以内に遮断するか」を手順書にしておく（チャームは検知当日に遮断・休店できた点が被害限定につながった）
- 保存する顧客情報を必要最小限に絞り、退会者・古い注文データは保持期限を決めて削除する
丸高興業（産業用ホース販売）— VPN経由のランサム被害、1.5GB流出のおそれ
産業用ホースなどを扱う丸高興業は、2026年3月11日に発生したランサムウェア攻撃について、外部専門会社によるフォレンジック調査の結果を公表しました。攻撃者はVPN機器を経由して社内ネットワークに侵入し、不正に作成した管理者アカウントを使って複数のサーバーにアクセスしていたことが確認されています。
調査では、少なくとも1.5GBのデータが外部に漏えいしたおそれがあると判断されました。対象サーバーには取引先の会社名・担当者名・住所・電話番号・メールアドレス・受発注履歴などが保存されていました。実際に外部へ持ち出された事実や不正利用は現時点で確認されていないとしています。
中小企業への影響
VPN機器は中小企業でも広く使われる社外接続の入口ですが、脆弱性の放置や弱い認証設定が侵入経路の定番になっています。一度侵入されると管理者アカウントを新規作成され、正規の運用に紛れて横展開されるため、発覚が遅れがちです。取引先情報が漏れれば、自社だけでなく取引先まで巻き込みます。
推奨対応
- VPN機器・ファイアウォールのファームウェアを最新に更新し、管理者ログインにMFAを設定する
- 管理者アカウントの一覧を定期的に棚卸しし、身に覚えのない新規アカウントや権限昇格を検知する仕組みを持つ
- バックアップをネットワークから切り離して保管し（オフライン／イミュータブル）、復旧手順を実際に試しておく
海月館グループ（宿泊施設）— 不正アクセスで顧客の氏名・連絡先が流出の可能性
海月館グループは、グループの宿泊施設が不正アクセスを受け、顧客の個人情報が流出した可能性があると公表しました。不正アクセスは7月29日夕刻から7月30日午前にかけて発生し、氏名・連絡先などが外部へ流出した可能性が確認されています。宿泊内容の詳細やクレジットカード番号などが流出した可能性はないとしています。
同社は判明後、直ちに不正アクセスを遮断し、専門機関を交えた調査とセキュリティ強化を実施。あわせて、グループ施設を装ったフィッシングメールが配信されるおそれがあるとして、メールでクレジットカード番号やパスワードの入力を求めることは一切ないと注意喚起しています。
中小企業への影響
宿泊・サービス業は予約システムに顧客連絡先が集まり、漏えい後は「その企業をかたる詐欺メール」という二次被害に直結します。氏名とメールアドレスの組み合わせが漏れるだけで、精度の高いフィッシングの材料になります。流出企業には、被害者へ確実に注意喚起を届ける責任が生じます。
推奨対応
- 顧客に「当社はメールでカード番号やパスワードを尋ねない」と平時から明示し、正規の連絡手段を周知しておく
- 予約・顧客管理システムへのアクセスを必要な担当者に限定し、ログを監視する
- 漏えい時に顧客へ注意喚起する連絡テンプレートと窓口を、事前に用意しておく
編集部まとめ
今回の3件は、ECサイト・VPN・予約システムという「顧客情報が集まる入口」がそれぞれ狙われました。共通の教訓は、認証をMFAで固める・管理者権限を棚卸しする・攻撃検知時の遮断手順と漏えい時の告知手順を事前に決めておくこと。攻撃を完全には防げなくても、被害を早く止められる企業とそうでない企業の差は事前準備で決まります。
