事案の概要データ
| 公表日 | 2026年10月16日 |
|---|---|
| 不正アクセスの時期 | 2026年10月3日〜10日 |
| 内部調査で判明 | 2026年10月15日 |
| ファンケル | 393,785件・368,184名 |
| アテニア | 441,162件・417,312名 |
| 対象情報 | 氏名・住所・連絡先等、サブメールアドレス、ハッシュ化された2次パスワード、本人認証の質問項目（回答は除く）等 |
| 対象外 | メインパスワード、決済情報 |
| 対応 | 原因となった機能を特定し停止。攻撃の詳細は被害拡大防止のため非開示 |
| 注意 | 両社の件数を合計した834,947件は単純合計であり、重複を除いた人数ではない |
図解：この事故の構造
- アテニア 441,162件・417,312名
- ファンケル 393,785件・368,184名
何が起きたのか
ファンケルとアテニアは2026年10月16日、両社のECサイトが不正アクセスを受け、会員情報が漏えいしたことを公表しました。ファンケルで393,785件（368,184名）、アテニアで441,162件（417,312名）です。
不正アクセスが行われたのは2026年10月3日から10日にかけてで、10月15日の内部調査で判明しました。原因となった機能を特定して停止しており、攻撃の詳細は被害拡大防止のため非開示とされています。
対象となったのは氏名・住所・連絡先等、サブメールアドレス、ハッシュ化された2次パスワード、本人認証の質問項目（回答は除く）などです。メインパスワードと決済情報は対象外とされています。
「本人認証の質問項目」が漏れる意味
対象情報のなかで注意したいのが「本人認証の質問項目」です。回答は含まれないとされていますが、質問そのものが分かることにも意味があります。
本人認証の質問とは、「母親の旧姓は？」「最初に飼ったペットの名前は？」といった、パスワードを忘れたときの確認に使われるものです。
質問の内容が分かれば、攻撃者はその答えをSNSなどから探すことができます。「最初に飼ったペットの名前」は、本人のSNS投稿に書かれているかもしれません。
そもそも、この種の質問は現在では推奨されない認証方式になっています。利用者側としては、設定できるなら質問と関係のない無作為な文字列を答えにしておくのが安全です。
「件数」と「名」を分けて出した
この公表では、ファンケル「393,785件・368,184名」、アテニア「441,162件・417,312名」というように、件数と人数を分けて示しています。
同じ人が複数の登録を持っていれば、件数は人数より多くなります。両方を示すことで、受け手は実態をより正確に理解できます。
2026年10月は、件数の意味を明示する公表が増えました。ブックオフ（643万件は会員番号の件数であり人数ではない）、JR東日本（延べ約609万件）、ソースネクストなどです。大規模な事案が続いたことで、「件数の正確な説明」が業界の標準になりつつあります。
なお、両社の件数を単純に足した834,947件は、重複を除いた人数ではありません。別会社の別サイトですが、同じ人が両方に登録している可能性があります。
時系列で見る経過
- 2026年10月3日〜10日両社のECサイトが不正アクセスを受ける
- 2026年10月15日内部調査により不正アクセスが判明。原因となった機能を特定し停止
- 2026年10月16日ファンケル393,785件、アテニア441,162件の漏えいを公表
中小企業が学ぶべきポイント
- 「本人認証の質問」は推奨されない認証方式。答えは質問と無関係な文字列にする。
- 件数と人数を分けて公表する。受け手が実態を正確に理解できる。
- グループ会社で同じ作りのECサイトを使っていると、同時に被害を受ける。
- 決済情報を自社で持たない設計にしていたことが、被害の範囲を限定した。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。