アンドエスティHDの不正アクセス 調査結果｜顧客約274万件に拡大

株式会社アンドエスティHD は2026年11月4日、10月に公表した業務サーバーへの不正アクセスについて、調査で新たに分かったことを公表しました。 流出のおそれがある顧客の情報は、10月23日に公表した約250万件から約274万件に増えました。範囲を確かめているとしていた従業員の情報は、約24,000件が対象と分かりました（アンドエスティHDの2026年11月4日の発表）。 同社グループの顧客（会員）と、2013年6月〜2022年11月に同社グループの社会保険に入っていた従業員・退職者に関係します。WEB ストア自体は不正アクセスの影響を受けていないとしています（10月23日の発表）。

公表された内容

• 顧客の情報：約274万件（10月23日の発表では約250万件）。項目は変わらず、氏名・生年月日・性別・住所・電話番号・メールアドレス・会員 ID です
• 従業員の情報：約24,000件。2013年6月〜2022年11月の期間に同社グループの社会保険に入っていた人で、今の従業員と退職者の一部を含みます。氏名・住所・電話番号・生年月日などと、社会保険の算出に使う情報としています
• 含まれないもの：顧客の決済の情報（クレジットカードの情報など）と、客が自分で設定したパスワード。従業員の分には、マイナンバーなどの特定個人情報・要配慮個人情報・金融機関の口座の情報は含まれないと確かめたとしています
• 取引先の情報：10月23日の発表では約1万件（会社名・住所・担当者の氏名・電話番号・メールアドレス）が対象としていました。11月4日の発表では、取引先の件数の変更には触れていません
• 今の状況：サーバーの隔離と不正アクセスの経路の遮断は終わり、店舗と WEB ストアは通常どおり営業しているとしています
• 原因・侵入経路：詳しい内容は11月4日の時点でも公表されていません

経緯

• 2026年10月22日7時30分ごろ：外部から複数のサーバーへのログインの試み・侵入・データの抜き出しが始まる。10時ごろに検知してサーバーを隔離
• 2026年10月23日：不正アクセスと、顧客約250万件・取引先約1万件の情報の流出のおそれを公表（適時開示も同じ日）。警察に相談し、個人情報保護委員会に報告
• 2026年10月26日：会員ポイントの利用・ID 連携を再開（and ST の更新）
• 2026年10月28日：店舗受け取りと試着のサービスを再開
• 2026年11月4日：調査結果として、顧客約274万件・従業員約24,000件を公表。対象の客へのメールでの連絡と、専用の電話窓口を始める

会社の対応

• 11月4日から、流出のおそれがある客にメールで順に個別に知らせるとしています
• 客向けの専用の電話窓口を11月30日まで設けた
• 新たに報告すべきことが分かれば、すぐに知らせるとしています

中小企業が今日からできること

• 従業員の古い記録の置き場所を確かめる：今回は約10年前からの社会保険の加入者の情報も対象になった。退職者の分を含む人事・社会保険の記録が、どのサーバーにいつの分まで残っているかを書き出し、保存の期間を過ぎたものを消す
• 業務サーバーへのログインの失敗に気づけるようにする：同じ朝のうちに複数のサーバーへのログインの試みが続いた。失敗が続いたら担当者に知らせが届く設定にする
• 社外から業務サーバーに入れる経路を絞る：リモート接続や保守用の入口を一覧にし、使っていないものを閉じ、残すものに多要素認証を付ける
• 件数が増えたときの知らせ方を決めておく：最初の発表のあとで件数が変わることは多い。続報を出す場所（お知らせの一覧）と、個別の連絡の手段を先に決めておく
• かたりの連絡に注意を促す：会員と従業員に、会社をかたるメール・電話でパスワードや口座の番号を答えないよう知らせる