トレファクに不正アクセス 出張買取の顧客メール約74.6万件流出

リユースの店「トレファク」などを営むトレジャー・ファクトリーは、2026年10月23日、「出張買取」と「トレファク引越」の案件管理システムへの第三者の不正アクセスで、顧客の情報などが不正に取得されたと公表しました。顧客の情報は746,277件で、中身はメールアドレスです。このうち11件は、氏名と住所も含みます。

原因は、データベースへのアクセスに関する脆弱性が悪用されたこととみています。直近で公表されたPHPの脆弱性とは関係ないと、確かめたとしています。

公表で分かっていること

同社は、東京証券取引所の適時開示で「当社システムへの不正アクセスによる個人情報漏えいに関するお知らせ」を出しました。

対象の人には、必要な情報を個別に知らせるとしています。専用の問い合わせの窓口は準備中で、整い次第、同社のホームページで知らせます。

原因はデータベースへのアクセスの脆弱性、PHPとは関係ない

同社は、データベースへのアクセスに関する脆弱性が第三者に悪用されたことが原因とみています。詳しい原因と影響の範囲は、外部のセキュリティの専門機関と一緒に調べ続けるとしています。

この週は、PHPの重大な脆弱性「php2shell」の修正版が10月21日に出て、国内でも多くのサービスが止まりました。同社は、今回の不正アクセスはそのPHPの脆弱性を悪用したものではなく、関係はないことを確かめたとしています。php2shellについては、PHPの重大な脆弱性「php2shell」 各国が警戒、攻撃も観測 すぐ更新をにまとめています。

これまでの対応として、外部からのアクセスの停止と、関係するアカウントのパスワードの変更をしました。悪用された脆弱性への対策、ログインの機能の強化、不審なアクセスの監視の強化も進めています。

8月のカインドオルに続き、グループで2件目

同社のグループでは、2026年8月に、子会社のカインドオルでも不正アクセスによる個人情報の漏えいが起きています(カインドオルの顧客情報13万6,464名が漏えい ECのスタッフ用アカウントが発端)。

同社は、2つの事案は原因も入り口も違うとしています。そのうえで、8月の件のあとに進めてきた二段階認証やアクセス権限の管理、監視の強化に加え、外部に公開しているシステムの脆弱性の管理、脆弱性診断、WAF(Webの攻撃を止める仕組み)による防御、アプリとデータベースの対策も改めて点検するとしています。

公表に書かれていないこと

• 悪用された脆弱性の種類と、案件管理システムのどの部分か。
• 案件管理システムが自社で作ったものか、外部のサービスか。
• 不正アクセスが、20日の未明より前から続いていなかったか。
• 746,277件のうち、出張買取と引越のそれぞれの件数。
• メールアドレスのほかに、申し込みの内容(品物や住所の一部など)が見られた可能性。
• 端末の識別の情報が、どんな種類の情報か。
• 専用の問い合わせの窓口が開く日。

影響する人・会社、しない人・会社

• 影響する: 「出張買取」や「トレファク引越」を申し込んだことがある人です。メールアドレスが取られている可能性があり、11件は氏名と住所も含みます。
• 影響する: 会社の引越や不用品の買取を、社用のメールアドレスで申し込んだことがある会社です(当社の見立て)。担当者のアドレスに、同社を名乗る偽のメールが届くことがありえます。
• 影響する: 同社の取引先の業者や従業員などです。氏名とメールアドレスが750件、端末の情報が1,000件、取られています。
• 影響する: 10月28日ごろまでに、出張買取や引越を申し込もうとしていた人です。申込フォームは止まっています。
• 影響しない: 店舗に預けた情報と、アプリの情報です。別のシステムで管理していて、対象に含まれないとしています。
• 影響しない: クレジットカード番号などの決済の情報です。

会社・情シスが今日やること

1. 社用のアドレスで申し込んでいないかを確かめます。 総務や引越の担当に、トレファクの出張買取や引越を社用のメールアドレスで申し込んだことがないかを聞きます。
2. 偽のメールに気をつけるよう、社内に知らせます。 メールアドレスが漏れているので、同社を名乗るメールのURLや添付ファイルは開かず、同社の公式サイトで確かめるよう伝えます。
3. 外に公開している申し込みの仕組みを点検します。 自社のWebの申込フォームと、裏の管理システムやデータベースのつながり方を確かめます。脆弱性診断を最後にいつ受けたか、WAFを入れているかも見ます。
4. アクセスの記録を見る仕組みを確かめます。 同社は、アクセスの記録を調べて同じ日に不正アクセスに気づきました。自社でも、外に公開しているシステムの記録を、誰がどのくらいの間隔で見ているかを確かめます。
5. 取引先や外部の人のアカウントを見直します。 協力会社の人が使うアカウントや端末の登録が、管理システムに残っていないか。使っていないものは止めます(当社の見立て)。