アンドエスティHDの業務サーバーへの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月23日、アンドエスティHDは、業務サーバーへの第三者の不正アクセスで、顧客・取引先・従業員の情報の一部が外部に流出したおそれがあると公表しました（アンドエスティHDの2026年10月23日の発表）。 10月22日7時30分ごろから複数のサーバーに順にログインの試み・侵入・データの抜き出しが行われ、10時ごろに検知してサーバーを隔離したとしています。 流出のおそれがあるのは、顧客約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員 ID）と、取引先約1万件（会社名・住所・担当者の氏名・電話番号・メールアドレス）です。従業員は範囲を確かめているとしています。決済の情報と客が設定したパスワードは含まれないとしています。 WEB ストア「and ST」は影響を受けていないとしています。会員ポイントは一時使えなくなっていましたが、10月26日に利用を再開したと公表しました（and ST の2026年10月26日の更新）。

会社の対応

• サーバーを隔離し、10月22日17時までに不正アクセスの経路を遮断。社内の業務システムを止めた
• 不正アクセスの手段を特定し、対応を終えたとしている
• 10月23日に警察へ相談し、個人情報保護委員会へ報告
• 対象の顧客・取引先へ順に連絡し、問い合わせの窓口を設けるとしている
• 10月26日に会員ポイントの利用・ID 連携を再開。店舗受け取りと試着のサービスも10月28日12時に再開したとしています（and ST の11月2日の更新）
• 念のためのパスワードの再設定と、偽のメールへの注意を呼びかけている

この事例から中小企業が学べること

• サーバーへのログインの失敗が続いたら知らせが届くようにする
• 社外から業務サーバーに入れる経路を一覧にし、要らないものを閉じ、残すものに多要素認証を付ける
• 顧客と取引先の情報を置く場所とアクセスできる人を絞る
• システムを止めたときに止まる客向けのサービスと、知らせ方を先に決めておく