トレジャー・ファクトリーの不正アクセス｜公表と続報のまとめ

何が起きたか

トレジャー・ファクトリーは、原因の違う2件の不正アクセスを公表しています。

1. 子会社カインドオルの EC サイト（2026年8月） 2026年8月22日、カインドオルの EC サイトで使う EC プラットフォームのスタッフアカウントに第三者が不正にアクセスし、8月23日に顧客情報が一括で書き出されました（トレジャー・ファクトリーの2026年8月28日の発表）。運営会社を装ったフィッシングメールで認証情報が取られたことが原因で、二段階認証は設定されていなかったとしています。 2026年10月13日の第三報で、対象は136,464人（うち住所を含むもの109,311人）と確定しました。氏名・住所・電話番号・生年月日・メールアドレス・購入の回数と金額などで、カード情報とログインパスワードは含まれないとしています。

2. 出張買取・トレファク引越の案件管理システム（2026年10月） 2026年10月20日の未明から朝にかけて、案件管理システムのデータベースへのアクセスに関する脆弱性が悪用され、お客様のメールアドレス746,277件（うち11件は氏名・住所も）、取引先業者・従業員などの氏名とメールアドレス750件、端末の情報1,000件が取られたと公表しました（2026年10月23日の発表）。店舗とアプリで管理しているお客様の情報は対象外としています。

会社の対応

• カインドオルの件：不正に使われたアカウントを消し、全スタッフアカウントの二段階認証を必須に。のちにパスキーによる二段階認証、アカウントの棚卸し、一括の書き出しの権限の限定、重要な操作の確認とエスカレーションの見直しを行ったとしています。2026年9月2日に専用の問い合わせ窓口を開設し、10月6日に個人情報保護委員会へ確報を出しました
• グループ全体：外部ツールの多要素認証の必須化や一括の書き出しの権限の制限、標的型攻撃メールの訓練などを定めたガイドラインを作り、各社に情報セキュリティの責任者を置き、CSIRT の運用をグループ全体に広げたとしています
• 案件管理システムの件：10月20日10時30分に外からのアクセスを止め、11時05分に申込フォームの受付を停止。脆弱性への対策、ログイン機能の強化、監視の強化を進め、10月28日をめどに再開する予定としています。外部に公開しているシステムの脆弱性診断や WAF などの守りも、改めて点検するとしています
• 両件とも、個人情報保護委員会への報告と警察への相談を進めています

この事例から中小企業が学べること

• EC プラットフォームなど外部のツールの管理アカウントには、二段階認証（できればパスキー）を付ける
• 顧客データを一括で書き出せる権限を、決まった人だけに絞る
• 外部に公開している申込フォームと管理システムは、脆弱性診断と WAF で守る
• 1つの事案のあと、原因の違う攻撃にも備えて、認証・権限・公開システムをまとめて点検する