リユース店「トレジャーファクトリー」を展開するトレジャー・ファクトリー（東証プライム）は10月23日、出張買取と「トレファク引越」の申し込みを管理するシステムが第三者の不正アクセスを受け、利用者のメールアドレス74万6277件が抜き取られたと発表した。うち11件は氏名と住所も含む。同社はシステムの脆弱性を突かれたとみており、クレジットカード番号など決済の情報は含まれていない。29日には専用の問い合わせ窓口を開いた。グループでは8月に子会社カインドオルの通販サイトでも顧客情報が漏れており、2か月で2度目の大規模な漏えいとなる。
未明から朝にかけて侵入、発覚した日の朝に停止
同社の発表によると、不正アクセスを受けたのは、出張買取とトレファク引越の申し込みの受け付けや関連業務に使う「案件管理システム」。10月20日にアクセスの記録（ログ）を調べたところ、同日の未明から朝にかけて、第三者がシステムの脆弱性を悪用して侵入し、利用者の情報などを抜き取っていたことが分かった。
同社は同日午前10時30分に外部からシステムへのアクセスを止め、午前11時05分には出張買取や引越などの申込フォームの受け付けを止めた。関連するアカウントのパスワードも変えた。
同社の総合サイトには同じ23日付で「セキュリティ対応に伴う一部サービス停止のお知らせ」も載り、緊急のメンテナンスで一部のサービスや機能を止めていると伝えた。システムと申込フォームは、安全対策と確認を済ませたうえで10月28日をめどに再開する予定だとしていた。ただ、同社のお知らせ一覧には、11月3日の時点で再開を伝える掲載は無い。
出張買取は、大型の家具・家電や食器などの生活用品からブランド品、着物まで、利用者のもとへ出向いて査定し買い取るサービスで、トレファク引越は出張買取と引っ越しを一緒に頼めるサービスだ。どちらも電話のほか、ウェブのフォームで申し込める。
抜き取られたのはメールアドレス、店舗とアプリの会員は対象外
抜き取られた情報は3種類ある。
| 区分 | 件数 | 含まれる情報 |
|---|---|---|
| 利用者 | 74万6277件 | メールアドレス（うち11件は氏名・住所も） |
| 取引先業者・従業員など | 750件 | 氏名、メールアドレス |
| 取引先業者・従業員などが使う端末 | 1000件 | 氏名、端末識別情報 |
利用者の分は大半がメールアドレスだけで、電話番号は区分に挙がっていない。同社は、クレジットカード番号やセキュリティコードなど決済の情報が含まれていないことを確かめたとしている。
店舗で預かっている会員の情報と、同社アプリで管理している会員の情報は、別のシステムで管理しており、今回の対象には含まれない。発表の時点で、漏れた情報が不正に使われるなどの二次被害は確認されていない。
原因について同社は、データベースへのアクセスに関する脆弱性を第三者に悪用されたとみており、外部のセキュリティ専門機関と詳しく調べている。最近公表されたPHP（ウェブのプログラムを作る言語）の脆弱性とは関係がないことも確かめたという。
偽メールに注意、専用窓口は平日のみ
漏れたのが主にメールアドレスであるため、同社は、そのアドレスが偽のメール（フィッシングメール）などの不正な連絡に使われるおそれがあるとして、利用者に4つの点を求めている。心当たりのないメールやSMSのURLを不用意に開かない、不審な添付ファイルを開かない、不審なサイトでパスワードやカード情報を入力しない、不審な電話を受けたら、相手が名乗った組織の公式の連絡先を自分で調べて問い合わせる――の4つだ。
10月29日には専用の問い合わせ窓口を開いた。電話番号は0120-007-074で、受け付けは平日の午前10時から午後6時まで。対象者には個別にメールで知らせているが、登録したアドレスの状況や受信の設定によっては届かない場合があるとしている。
情報処理推進機構（IPA）は10月26日、個人情報が漏れた人に向けた手引きを公表し、メールアドレスや氏名が漏れると、リストにされて闇サイトなどで売られ、詐欺を狙った偽のメールやSMSが届くおそれがあると説明した。突然届くメールやSMSは基本的にすべて詐欺だと考えて無視し、真偽を確かめたいときは正規のサイトを自分で調べて問い合わせるよう勧めている。手引きの内容は「IPA、個人情報が漏れた人向けに対処手順 免許証画像は信用情報機関へ申告を」で伝えた。
8月には子会社がフィッシングで13万人分
トレジャー・ファクトリーのグループでは、8月にも漏えいが起きている。8月28日の発表によると、子会社カインドオルが運営する通販サイトで、通販の基盤サービスのスタッフ用アカウントが8月22日に乗っ取られ、翌23日に顧客情報が2回にわたって一括で書き出された。基盤サービスの運営会社を装ったフィッシングメールで認証情報を盗まれたとみられ、このアカウントには二段階認証が設定されていなかった。
10月13日の第三報で、漏れた対象者は13万6464人（うち住所を含むのは10万9311人）と確定した。カインドオルは10月6日に個人情報保護委員会へ確報を出し、全スタッフのアカウントにパスキー方式の二段階認証を入れた。グループとしても、全グループ会社の情報セキュリティ責任者でつくる連絡協議会を設けた。
今回の件について同社は、8月の件が「フィッシングによりスタッフアカウントの認証情報が第三者に取得された」ものだったのに対し、今回はデータベースの脆弱性を突かれたもので、原因も侵入経路も違うと説明している。そのうえで、短期間にグループで複数の事案が起きたことを「重く受け止め」、外部に公開しているシステムの脆弱性の管理や診断、WAF（ウェブアプリケーションへの攻撃を防ぐ仕組み）による防御などを改めて点検するとした。
さらに10月29日には、子会社のピックアップジャパンとGKファクトリーが通販の受注や在庫の管理に使う外部の「WASABI SWITCH」（ワサビ提供）が10月14〜16日に不正アクセスを受け、両社の注文情報など計2342件が流出したことも公表した。案件管理システムの件とは別の事案だという。
報告義務の対象、業績への影響は精査中
個人情報保護法では、1000人を超える個人データの漏えいや、不正な目的で行われたおそれがある漏えいは、個人情報保護委員会への報告が義務付けられている。不正な目的によるおそれがある場合、報告の期限は発覚した日から60日以内だ。今回はどちらにも当てはまり、同社は委員会への報告と、警察などへの相談・報告を進めている。
業績への影響について同社は「現在精査中」としており、重要な影響が分かれば知らせるとしている。8月の子会社の件では、第三報で影響は「軽微」とし、2027年2月期の連結業績予想を変えなかった。
この秋はリユースの事業者で不正アクセスの公表が続いている。本紙はこれまでに「ブックオフ情報漏えい、対象かを会員サイトで確認可能に 638万人分、専用フリーダイヤルも」と「ゲオとセカンドストリートの不正アクセス、個人情報の漏えいは確認されず 第2報で調査結果 アプリと通販の再開未定」を伝えている。