ファンケルとアテニアに不正アクセス 計約83万件の会員情報漏えい

化粧品や健康食品のファンケルと、グループのアテニアは、それぞれのECサイトが不正アクセスを受け、計約83万件の会員情報が漏えいしたと公表しました。クレジットカード情報は含まれず、漏れたパスワードも限られています。いっぽうで、攻撃の手口は公開されていません。この記事は、両社の公式のお詫びに書かれていることだけをまとめます。

何が起きたか

両社は2026年10月16日、ECサイトが第三者による不正アクセスを受けたと公表しました。2026年10月15日に実施した内部調査で判明し、同日、緊急対策本部を設置したとしています。不正アクセスの期間は、2026年10月3日から10月10日とされています。本件以外の不正アクセスやマルウェアの感染は確認されておらず、事業やサービスへの影響はないとしています。

漏れた情報と、含まれない情報

漏れた情報の内容は、メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード(ハッシュ化)、本人認証の質問項目(回答は含まない)、そしてポイントや会員ステージなどの会員登録情報です。

クレジットカードなどの決済情報は、含まれていません。パスワードについて漏れたのは、一部の会員が設定しているサブメールアドレス用の2次パスワードのみで、ハッシュ化され、そのままでは読み取れない情報としています。メインのログインパスワードは対象外です。

手口が「非公開」であることの意味

両社は、被害の拡大を防ぐため、サイバー攻撃の詳細は開示を差し控えるとしています。これは、原因究明や対策の途中で、手口を明かすと攻撃者を利することがあるため、実務ではよくある判断です。

ただ、利用者側から見ると、「リスト型攻撃だから、使い回しのパスワードを変えればよい」といった、原因に応じた対策を、まだ断定できないことを意味します。両社は、原因となった機能を特定し、その機能を停止したとしています。個人情報保護委員会と警察へは、10月16日に報告・相談を実施したとしています。

影響する会社・しない会社

• 影響する: ファンケルやアテニアのECサイトの会員で、今回の対象に含まれる人です。メール・氏名・住所・電話・生年月日などが漏れた可能性があります。なりすましメールやフィッシングに注意が要ります。
• 影響する: ECサイトで、会員情報と本人確認の質問を持つ会社です。本人確認の仕組みが、漏れた情報で突破されないかを確かめる価値があります。
• 影響しない: クレジットカードなどの決済情報です。含まれていないと発表されています。
• 影響しない(メインのパスワード): ログイン用のメインのパスワードは、対象外とされています。

情シスが今日やること

• 本人確認の設計を見直す。「秘密の質問」のような本人確認の項目が漏れると、なりすましに使われます。質問だけに頼らず、多要素認証などで補えているかを確かめます。
• 原因が分からない前提で備える。手口が非公開のときは、使い回しパスワードの変更、不審メールへの注意といった、原因によらない基本の対策を、利用者に案内します。
• パスワードの保存方式。自社の利用者パスワードを、ハッシュ化して保存しているか。2次的なパスワードも含め、平文で持っていないかを確かめます。
• 連名の発表に学ぶ。グループの複数ブランドでECを運営している場合、共通の基盤が1か所やられると、両方に及びます。基盤を共有している範囲を確かめます。