事案の概要データ
| 公表日 | 2026年10月23日 |
|---|---|
| 侵入時期 | 2026年10月20日 未明から朝にかけて |
| 対象システム | 「出張買取」「トレファク引越」の申込受付・関連業務に使う案件管理システム |
| 顧客メールアドレス | 746,277件 |
| うち氏名・住所も含むもの | 11件 |
| 取引先・従業員の氏名とメールアドレス | 750件 |
| 取引先・従業員の端末情報 | 1,000件 |
| 原因 | データベースへのアクセスに関する脆弱性を悪用された |
| PHPの脆弱性との関係 | PHPの脆弱性によるものではないと説明 |
| 対象外 | 店舗・アプリで管理する顧客情報（別システムのため） |
| 再開予定 | 2026年10月28日を目途 |
| 二次被害 | 現時点で未確認 |
図解：この事故の構造
何が起きたのか
トレジャー・ファクトリーは2026年10月23日、「出張買取」および「トレファク引越」の申込受付や関連業務に使う案件管理システムへの不正アクセスを公表しました。
侵入は2026年10月20日の未明から朝にかけて行われ、同社は同日中に案件管理システムへの外部アクセスと申込フォームの受付を停止しています。
対象は、顧客のメールアドレス746,277件（うち11件は氏名や住所も含む）、取引先・従業員の氏名とメールアドレス750件、取引先・従業員が利用する端末の情報1,000件です。
原因は、データベースへのアクセスに関する脆弱性を悪用されたこと。同社は、PHPの脆弱性によるものではないと明示しています。店舗やアプリで管理する顧客情報は別システムのため対象外です。システムと申込フォームは2026年10月28日を目途に再開する予定です。
同じ会社で2026年2件目
トレジャー・ファクトリーは、2026年8月にも事案を公表しています。そのときはフィッシングメールで従業員の認証情報が盗まれ、ECプラットフォームにログインされて顧客情報を一括エクスポートされたものでした。10月13日に対象者を136,464名と確定しています。
今回は別の事案です。システムも違い（ECプラットフォームと案件管理システム）、手口も違います（フィッシング経由のログインと、脆弱性の悪用）。
同じ年に2件というのは珍しいことではありません。2026年10月21日のデジタルアーツ、10月のカプコン（2020年のランサムウェア被害に続く）も同様です。
ただし、2件目が起きると「1件目の対策が不十分だったのではないか」という見方をされます。実際には別のシステム・別の手口であっても、外から見れば同じ会社の事案です。
1件目の事故対応で、他のシステムも横断的に点検できていたか——この問いは、どの企業にも当てはまります。
「PHPの脆弱性ではない」とわざわざ書いた理由
同社は、PHPの脆弱性によるものではないと明示しました。これは、この時期の事情を反映しています。
2026年10月、PHPの重大な脆弱性が複数の事案で話題になりました。10月22日のフューチャーショップは、PHPの脆弱性への対応が完了していないとして全店舗を停止しています。同じ10月22日、バルテックは初報で「PHPの脆弱性を標的とした攻撃」と説明したものを、同日19時37分に誤報として訂正しました。
こうした状況では、「また PHP か」と受け取られかねません。同社が否定を明示したのは、誤った関連づけを避けるためと考えられます。
公表文で「何が原因ではないか」を書くのは、読む側にとって有益です。曖昧なままだと、憶測が広がります。
当日中に止めた初動
侵入は10月20日未明から朝。同社は同日中に外部アクセスと申込フォームの受付を停止しました。
そして公表は10月23日です。侵入から3日、停止からも3日かかっていますが、停止の判断自体は当日中でした。
被害の拡大を止めるのは「停止」であり、「公表」ではありません。まず止める、そのうえで調べて公表する——この順序が守られています。
再開予定を10月28日と示している点も親切です。利用者と取引先は、それまでの代替手段を準備できます。2026年10月22日のバルテック（最短10月26日中）も同様でした。復旧の見込みを示すことは、相手の段取りを助けます。
メールアドレスだけでも標的になる
今回流出したものの大半は、メールアドレスです。氏名や住所を含むのは11件にとどまります。
「メールアドレスだけなら大したことはない」と思われがちですが、そうではありません。
トレファクの出張買取や引越を申し込んだ人のアドレス——という属性がついているからです。攻撃者は「お見積もりの件でご連絡しました」「買取金額が確定しました」といったメールを送れます。実際に申し込んだ人には、心当たりがあります。
どこから流出したかが分かるアドレスは、その文脈に合わせたフィッシングに使われます。これは「ただのメールアドレス」ではありません。
対象となった方は、トレファクを名乗るメールのリンクを踏まないでください。用件があれば、公式サイトか店舗から連絡してください。
時系列で見る経過
- 2026年10月20日 未明〜朝案件管理システムへの不正アクセスが行われる
- 2026年10月20日案件管理システムへの外部アクセスと申込フォームの受付を停止
- 2026年10月23日顧客メールアドレス746,277件ほかの漏えいの可能性を公表。原因はデータベースへのアクセスに関する脆弱性の悪用と説明
- 2026年10月28日（予定）システムと申込フォームを再開する目途
中小企業が学ぶべきポイント
- 被害の拡大を止めるのは「停止」であって「公表」ではない。まず止めてから調べる。
- 復旧の見込み日を示すと、利用者と取引先が代替手段を準備できる。
- 公表文で「何が原因ではないか」を書くと、誤った関連づけと憶測を防げる。
- メールアドレスだけでも、出どころが分かれば文脈に合わせたフィッシングに使われる。
- 1件目の事故対応のとき、他のシステムも横断的に点検できていたかを振り返る。
出典・参考
- 不正アクセスによる個人情報漏えいに関するお詫びとお知らせ - トレジャー・ファクトリー
- トレファク、不正アクセスで個人情報漏洩 約70万件 - 日本経済新聞
- 「トレファク」に不正アクセス モスバーガー運営会社も - 東京新聞
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。