アンドエスティHDの業務サーバーに不正アクセス、顧客情報 約250万件が流出のおそれ

事案の概要データ

図解：この事故の構造

何が起きたのか

アンドエスティホールディングスは2026年10月23日、業務サーバーへの不正アクセスを公表しました。顧客情報 約250万件、取引先情報 約1万件が流出した可能性があるとしています。従業員情報については対象範囲を確認中です。

同日午前10時頃に不正操作を検知し、対象サーバーを隔離しました。警察への相談と個人情報保護委員会への報告を同日中に済ませています。

漏えい項目は氏名、住所、メールアドレスなど。クレジットカードなどの決済情報は含まれていないと説明されています。不正利用は現時点で確認されていません。

検知から公表まで同じ日

この事案で特筆すべきは、スピードです。午前10時頃に検知し、同じ日のうちにサーバーを隔離し、警察と個人情報保護委員会に連絡し、公表しています。

2026年の事案を振り返ると、侵入から発覚まで数か月から数年かかったものが数多くありました。10月22日のキャリー「Lili」は約3か月、9月のさくらインターネットは約3年です。

一方で、検知してから公表するまでの速さは、別の能力です。本件は「おかしい」と気づいてから半日で動いています。

中小企業にとって参考になるのは、この初動です。異常を検知したら、まず切り離す。そして報告先へ連絡する。件数の確定を待つ必要はありません。「調査中」のまま公表してよいのです。

ポイントだけを止めた判断

店舗とWEBストアは通常どおり使えますが、会員ポイントの利用だけが停止されました。

これは理にかなった切り分けです。会員情報が流出した可能性がある以上、他人になりすましてポイントを使われる危険があります。一方、通常の買い物を止めてしまえば、店舗も顧客も困ります。

2026年10月21日のマネックス証券も、新規口座開設だけを止めて他は動かしました。10月22日のフューチャーショップは、逆に全店舗を止めています。どちらが正しいということではなく、「何が危ないか」を見極めて止める範囲を決めた結果です。

自社で事故が起きたとき、全部止めるか全部動かすかの二択になりがちです。「どの機能が悪用されうるか」で切り分けられると、被害も損失も小さくできます。

10月23日は流通業界に事案が集中した

2026年10月23日は、流通・小売の事案が重なりました。本件のほか、トレジャー・ファクトリー（案件管理システム・74万6,277件）、ゼビオHD（EC子会社・最大約15万8,000件）、モスフードサービス（モスカード・113万3,070件）です。

さらに佐川急便が第5報で最大約5,323万件という2026年最大規模の数字を公表しました。

これらは手口も原因も別々ですが、同じ日に重なったことで「小売・流通が狙われている」という印象を与えました。実際、顧客数が多く、会員登録制のサービスを持つ業種は、攻撃者にとって効率がよい標的です。

対象となった方は、アンドエスティグループを装ったメールに警戒してください。「ポイントの確認」「会員情報の再登録」といった誘導は典型的な手口です。

時系列で見る経過

• 2026年10月23日 午前10時頃業務サーバーへの不正操作を検知
• 2026年10月23日対象サーバーを隔離
• 2026年10月23日警察へ相談、個人情報保護委員会へ報告
• 2026年10月23日顧客 約250万件・取引先 約1万件の流出の可能性を公表。会員ポイントの利用を停止

中小企業が学ぶべきポイント

1. 異常を検知したら、件数の確定を待たずに切り離し、報告先へ連絡する。
2. 「調査中」のまま公表してよい。初報の速さと件数の正確さは別の話。
3. 止める範囲は「どの機能が悪用されうるか」で切り分ける。全部止める／全部動かすの二択にしない。
4. 会員ポイントはなりすまし利用の対象になる。流出時はポイント機能を止める判断がありうる。
5. 顧客数が多く会員制のサービスを持つ業種は、攻撃者にとって効率がよい標的になる。

出典・参考

• アンドエスティHD、情報流出か 氏名、住所など250万件（共同通信） - Yahoo!ニュース
• アパレル大手「アンドエスティ」客の個人情報約250万件流出か - NHK
• アンドエスティHDにサイバー攻撃、顧客約250万件の個人情報漏えいの恐れ - セキュリティ対策Lab
• アンドエスティ、ゼビオ、トレジャーファクトリーで情報漏えい - 激流オンライン