アンドエスティHDに不正アクセス 顧客約250万件流出の恐れ ポイント停止

アンドエスティHDは2026年10月23日、自社の業務サーバーに第三者による不正アクセスがあり、顧客、取引先、従業員の情報の一部が外部に流出した可能性があると公表しました。流出の可能性があるのは、顧客の情報が約250万件、取引先の情報が約1万件です。従業員の情報は、範囲を確認しています。

不正アクセスは10月22日の朝に起き、複数のサーバーに侵入されて、データが抜き出されました。グループの店舗とWEBストアは使えますが、会員ポイントは使えなくなっています。

アンドエスティHDが公表したこと

同社は10月23日、適時開示で経緯と流出の可能性がある情報を公表しました。

検知したのは、不正アクセスが始まってから約2時間半後です。

流出の可能性がある情報

クレジットカード情報などの決済の情報と、顧客が自分で設定したパスワードは含まれていません。

店舗とWEBストアは使えます。WEBストア「アンドエスティ」は、今回の不正アクセスの影響を受けていないとしています。一方で、店舗とWEBストアで、会員ポイントが使えなくなっています。

同社は、緊急の対策と、不正アクセスの手段の特定と対応を終えたとしています。対象の顧客と取引先への連絡を順に始め、問い合わせの窓口も設けるとしています。

公表に書かれていないこと

• 侵入の手口。どのようにログインに成功したか。
• 狙われたサーバーと、そこで動いていた業務。
• データが暗号化されるなどの被害(ランサムウェア)があったかどうか。
• 従業員の情報の範囲と項目。
• 会員ポイントがいつ使えるようになるか。
• 問い合わせの窓口の連絡先。

影響する人・会社、しない人・会社

• 影響する: 同社のグループの会員の人です。氏名、住所、電話番号、メールアドレスなどが流出した可能性があり、同社を名乗る偽のメールやSMSに注意が要ります。
• 影響する: 同社と取引のある会社です。担当者の氏名やメールアドレス、発注先や返品先の住所が流出した可能性があり、同社を名乗る請求や、振込先の変更の連絡に注意が要ります(当社の見立て)。
• 影響する: 同社の従業員です。範囲を確認しているとしています。
• 影響しない(公表の範囲では): クレジットカードの情報と、顧客が設定したパスワードです。含まれていないとしています。

会社・情シスが今日やること

1. 取引があるかを確かめます。 購買や物流、返品を担当する部署に、同社との取引があるかを聞きます。あれば、同社からの連絡を待ちつつ、担当者に注意を伝えます。
2. 偽の請求や連絡先の変更に気をつけます。 同社を名乗って、支払いの口座や返品先の変更を求める連絡が来たら、ふだんの連絡先に電話で確かめてから動くよう、経理と購買に伝えます(当社の見立て)。
3. 社員に知らせます。 私用で同社のグループの会員になっている社員もいます。同社を名乗るメールやSMSのURLを開かないよう、短く知らせます。
4. 自社の業務サーバーの監視を確かめます。 複数のサーバーへの続けてのログインの試みを、検知して知らせる仕組みがあるか。気づいたらすぐにサーバーを隔離する手順があるかを確かめます。
5. 続報を見る担当を決めます。 従業員の情報の範囲や、問い合わせの窓口が公表されたら、社内への知らせを直します。

10月23日の適時開示をもとにした内容です。