トレファク子会社に不正アクセス、13万人超の顧客情報漏えい 二段階認証設定しておらず

トレジャー・ファクトリー（東京都千代田区）は8月28日、ブランド古着の買取・販売を手掛ける連結子会社のカインドオルが運営するECサイトが第三者による不正アクセスを受け、13万6464人分の個人情報が漏えいしたと発表した。第三者がECプラットフォームのスタッフアカウントを乗っ取り、顧客情報の一括エクスポートを2回実行していたという。

漏えいしたのは、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、ECプラットフォーム上で管理している顧客タグ情報、ポイント情報履歴（保有・失効・累計）。

うち住所情報を含むのは10万9311人分で、対象となる項目は顧客によって異なる。クレジットカード情報やECサイトのログインパスワードは含まれておらず、28日時点で不正利用などの二次被害は確認していないとしている。

不正アクセスは22日に発生した。第三者はスタッフアカウントに侵入後、23日にアカウントのメールアドレスを変更した上で、同日中に顧客情報の一括エクスポートを2回実行した。翌24日、担当者が通常業務で注文情報をエクスポートした際、アカウントのメールアドレスが自社で使用していないものに変わっていることに気付き、ECプラットフォームの運営会社に調査を依頼して判明した。

原因は、当該アカウントを利用する従業員に運営会社を装ったフィッシングメールが届き、記載されたリンク先で認証情報を入力してしまったこと。アカウントには二段階認証を設定しておらず、メールアドレスとパスワードのみでログインできる状態だった上、パスワードの強度も十分ではなかったといい、認証管理上の不備も要因の一つと認識しているとした。

カインドオルは判明後、不正アクセスを受けたアカウントの削除や、全スタッフアカウントでの二段階認証の必須化などを実施。27日付で個人情報保護委員会に報告した。対象者には順次個別に案内するほか、専用の問い合わせ窓口の設置も準備している。連結業績への影響は精査中としている。