事案の概要データ
| 初報 | 2026年8月28日 |
|---|---|
| 確定の公表 | 2026年10月13日 |
| 対象者 | 136,464名で確定（うち住所情報を含むもの 109,311名） |
| 起点 | 従業員がフィッシングメールを受信 |
| 経路 | 従業員PC経由でスタッフアカウントの認証情報が窃取された |
| 実行された操作 | ECプラットフォームの管理機能で顧客情報を一括エクスポート |
図解：この事故の構造
何が起きたのか
トレジャー・ファクトリーは2026年8月28日に初報を公表し、10月13日に対象者を136,464名（うち住所情報を含むもの109,311名）と確定しました。
攻撃の流れは具体的に判明しています。まず従業員がフィッシングメールを受信し、そのPCを経由してスタッフアカウントの認証情報が窃取されました。攻撃者はその認証情報でECプラットフォームにログインし、管理機能を使って顧客情報を一括でエクスポートしています。
「正規の機能」で持ち出された
この事案で重要なのは、最後の持ち出しが「一括エクスポート」という正規の機能で行われた点です。
ECプラットフォームの管理画面には、顧客リストをCSVファイルで出力する機能が備わっているのが一般的です。メール配信やDM発送のために使う、正当な機能です。
しかし、認証情報を奪った攻撃者から見れば、これは「全顧客データをワンクリックで持ち出せるボタン」です。システムの脆弱性を探す必要すらありません。
対策としては、(1)一括エクスポート機能を使える権限を限られた人だけにする、(2)エクスポートの実行を記録し、通知する、(3)大量エクスポートがあれば管理者にアラートを出す、が有効です。
中小企業でも、使っているECカートやCRMに「全件ダウンロード」機能があるはずです。それを誰が使えるかを確認してください。
フィッシングは入口にすぎない
起点は1通のフィッシングメールでした。従業員がそれを受信し、PCを経由して認証情報が盗まれています。
2026年はこの連鎖が繰り返されました。8月の講談社（偽ログイン画面→553件へ二次送信）、9月の東洋紡せんい（約1,500件のフィッシング送信）、10月4日の日本経済新聞社（約9,000件のなりすましメール）、10月13日の東日本三菱自動車販売（825通）です。
最も効くのは多要素認証です。パスワードが盗まれても、もう一つの要素がなければログインできません。特に管理画面にアクセスできるスタッフアカウントは、例外なく対象にすべきです。
時系列で見る経過
- 2026年8月従業員がフィッシングメールを受信し、PC経由でスタッフアカウントの認証情報が窃取される
- 2026年8月攻撃者がECプラットフォームにログインし、顧客情報を一括エクスポート
- 2026年8月28日初報を公表
- 2026年10月13日対象者を136,464名（うち住所を含むもの109,311名）と確定して公表
中小企業が学ぶべきポイント
- 「一括エクスポート」機能を使える人を限定する。全件ダウンロードは最大のリスク。
- エクスポートの実行を記録し、大量実行があれば管理者へ通知する。
- 管理画面にアクセスできるアカウントには例外なく多要素認証をかける。
- フィッシングは入口にすぎない。その先に何ができるかを想定して守る。
- 攻撃者は脆弱性を探さない。正規の機能で十分に目的を達する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。