トレジャー・ファクトリーに不正アクセス｜出張買取などのメール74万件

トレジャー・ファクトリーが2026年10月23日、「出張買取」と「トレファク引越」で使う案件管理システムに第三者の不正アクセスがあり、お客様のメールアドレス746,277件などが取られたと公表しました（トレジャー・ファクトリーの2026年10月23日の発表）。 システムの脆弱性が悪用されたとしています。 8月に公表した子会社カインドオルの件（フィッシングによるアカウントの乗っ取り）とは、原因も侵入経路も違うと説明しています。

公表された内容

• 時期：2026年10月20日の未明から朝にかけて（同日、アクセスの記録を調べて確認）
• お客様の情報：746,277件。メールアドレス。うち11件は氏名と住所も含むとしています。カード番号やセキュリティコードなどの決済の情報は含まれないとしています
• 取引先業者・従業員などの情報：750件（氏名・メールアドレス）
• 取引先業者・従業員などが使う端末の情報：1,000件（氏名・端末の識別情報）
• 対象外：店舗で預かっているお客様の情報と、アプリで管理しているお客様の情報は、別のシステムのため対象外としています
• 原因：データベースへのアクセスに関する脆弱性が悪用されたとみていると説明しています。直近に公表された PHP の脆弱性とは関係がないことを確かめたとしています
• 二次被害：具体的な二次被害は確認されていないとしています
• 再開：必要な対策と確認を行ったうえで、2026年10月28日をめどにシステムと申込フォームを再開する予定としています

経緯

• 2026年10月20日未明〜朝：案件管理システムへの不正アクセス
• 2026年10月20日：10時30分に案件管理システムへの外からのアクセスを止め、11時05分に出張買取・引越などの申込フォームの受付を停止
• 2026年10月23日：公表。個人情報保護委員会への報告と警察などへの相談を進め、専用の問い合わせ窓口の設置を準備しているとしています

中小企業が今日からできること

• 申込フォームとつながる管理システムを点検する：Web の申込フォームから入った情報をためる案件管理・顧客管理のシステムについて、脆弱性診断をいつ受けたかを確かめ、受けていなければ制作会社と相談する
• WAF を入れているか確かめる：外に公開しているシステムの前に WAF（Web アプリケーションへの攻撃を止める仕組み）があるかを、サーバーやクラウドの設定で確かめる
• アクセスの記録を毎日見られるようにする：今回は記録を調べて当日に気づき、午前中に止めている。夜間の大量のアクセスに気づける知らせを設定する
• 止める手順を決めておく：システムの外からのアクセスを止める・申込フォームを閉じる、をだれの判断で何分でできるかを決めておく
• メールアドレスだけの漏えいでも注意を呼びかける：買取や引越を名乗る、それらしいメールが届くことがある。自社の顧客にも、公式サイトから確かめるよう知らせる文面を用意しておく