アンドエスティHDに不正アクセス｜顧客約250万件の個人情報が流出のおそれ
公開
株式会社アンドエスティHD は2026年10月23日、業務サーバーへの第三者の不正アクセスで、顧客・取引先・従業員の情報の一部が外部に流出したおそれがあると公表しました（アンドエスティHDの2026年10月23日の発表）。 流出のおそれがあるのは、顧客約250万件、取引先約1万件で、従業員は範囲を確かめているとしています。 同社グループの店舗や WEB ストア「and ST」の会員と、取引先に関係します。
公表された内容
- 何が起きたか：2026年10月22日7時30分ごろから、外部から同社の複数のサーバーに順にログインの試み・侵入・データの抜き出しが行われたとしています（2026年10月23日の発表）
- 顧客の情報：約250万件。氏名・生年月日・性別・住所・電話番号・メールアドレス・会員 ID
- 取引先の情報：約1万件。会社名・発注先と返品先の住所・担当者の氏名・電話番号・メールアドレス
- 従業員の情報：範囲を確かめているとしています
- 含まれないもの：クレジットカードの情報などの決済の情報と、客が自分で設定したパスワードは含まれないとしています
- WEB ストア：WEB ストア「and ST」は今回の不正アクセスの影響を受けていないとしています
- 原因・侵入経路：不正アクセスの手段は特定して対応を終えたとしていますが、詳しい内容は公表されていません
- 会員ポイント：一時、店舗と WEB ストアで会員ポイントが使えなくなっていましたが、10月26日の更新で、ポイントの利用・保有ポイントの表示・ID 連携を再開したとしています。店舗受け取りと試着のサービスは、この時点では止まっていました（and ST の2026年10月26日の更新）。その後、10月28日12時に再開したとしています（and ST の2026年11月2日の更新）
経緯
- 2026年10月22日7時30分ごろ：外部からの不正アクセスで、複数のサーバーへのログインの試み・侵入・データの抜き出しが始まる
- 2026年10月22日10時ごろ：不正な操作を検知し、サーバーを隔離
- 2026年10月22日17時まで：不正アクセスの経路を遮断し、社内の業務システムを停止。WEB ストアは17時ごろからメンテナンスに入る
- 2026年10月23日：警察に相談し、個人情報保護委員会へ報告。流出のおそれを公表
- 2026年10月26日：WEB ストアのお知らせを更新し、会員ポイントの利用などを再開したと公表
中小企業が今日からできること
- 管理者のログインの失敗を知らせる設定にする：今回は複数のサーバーに順にログインが試みられた。サーバーや業務システムで、ログインの失敗が続いたら担当者に知らせが届くようにする
- 外から入れる経路を一覧にする：リモートデスクトップ・VPN・管理画面など、社外から業務サーバーに入れる経路を書き出し、使っていないものは閉じる。残すものには多要素認証を付ける
- 会員の情報と取引先の情報を置く場所を分ける：1台のサーバーに入られると全部が抜かれる形になっていないか確かめ、アクセスできる人とサーバーを絞る
- 止めたときに困る業務を決めておく：業務システムを止めると、ポイント・店舗受け取りなど客に見えるサービスも止まる。止める順番と、客への知らせ方を先に決めておく
- 自社を名乗る偽の連絡に注意を呼びかける：住所や電話番号が漏れると、それらしいメール・SMS・電話が来るおそれがある。客と取引先に注意を知らせる文面を用意しておく