カインドオルの不正アクセス調査結果｜フィッシングで13万人分が流出

リユース店「トレジャーファクトリー」を運営するトレジャー・ファクトリーが2026年10月13日、子会社カインドオルの EC サイトで起きた不正アクセスについて、調査を終えたとして結果と再発防止策を公表しました（第三報）。 EC プラットフォームのスタッフのアカウントがフィッシングメールで乗っ取られ、顧客136,464人分の情報が持ち出されたと確定しています（トレジャー・ファクトリーの2026年10月13日の発表）。 同社は、二段階認証を設定していなかったことなどを管理上の課題として挙げています。

公表された内容

• 対象：136,464人（うち住所を含むもの109,311人）で確定（2026年10月13日の発表）
• 情報：カスタマー ID・氏名・住所・電話番号・生年月日・メールアドレス・メールマガジンの購読状況・合計の注文回数と購入金額・顧客タグ・ポイントの履歴（人によって項目は違う）。カード情報と EC サイトのログインパスワードは含まれないとしています（2026年8月28日の発表）
• 原因：EC プラットフォームの運営会社を装ったフィッシングメールのリンク先で、従業員がスタッフアカウントの認証情報を入力し、直後に最初の不正アクセスがあった（2026年8月28日・10月13日の発表）
• 管理上の課題として挙げたこと：二段階認証を設定していなかった、パスワードの強さが足りなかった、フィッシングを前提にした認証方式とアカウントの守りが足りなかった、顧客情報を一括で書き出せる権限の設計、重要な操作に早く気づく監視が足りなかった
• 二次被害：具体的な二次被害は確認されていないとしています
• 届け出：2026年10月6日に個人情報保護委員会へ確報を出し、警察に相談して被害届を出す手続きを進めているとしています

経緯

• 2026年8月22日：第三者がスタッフアカウントに不正アクセス
• 2026年8月23日：アカウントのメールアドレスが変えられ、顧客情報の一括の書き出しが2回行われる
• 2026年8月24日：注文情報を書き出そうとした社員が、アカウントのメールアドレスが変わっているのに気づく
• 2026年8月27日：個人情報保護委員会へ報告
• 2026年8月28日：公表（第一報）。全スタッフアカウントの二段階認証を必須に
• 2026年9月2日：専用の問い合わせ窓口を開設。書き出された顧客情報のファイルが第三者にダウンロードされていたことを確認したと公表
• 2026年10月6日：個人情報保護委員会へ確報
• 2026年10月13日：調査結果と再発防止策を公表（第三報）

中小企業が今日からできること

• EC の管理画面に二段階認証を付ける：EC プラットフォームのスタッフアカウント全員に、二段階認証を必須にする。できればパスキーなど、偽サイトに入力しても使えない方式を選ぶ
• 顧客データを一括で書き出せる人を絞る：スタッフごとの権限を見直し、顧客一覧のエクスポートができるのは決まった人だけにする
• アカウントの変更の知らせを受ける：アカウントのメールアドレスやパスワードが変わったときに、責任者にも知らせが届くよう設定する
• プラットフォームを名乗るメールのリンクからログインしない：管理画面へはブックマークから入る決まりにし、運営会社を装うメールの例を社内で見せておく
• 使っていないスタッフアカウントを消す：退職者や外注先のアカウントが残っていないかを、月に1回は確かめる