英ハロッズ、不正アクセスで最大43万件の個人情報漏洩の恐れ|セキュリティニュース-セキュリティ対策Lab

投稿日時: 2025年10月01日更新日時: 2025年10月01日

2025年9月、英高級百貨店ハロッズは、第三者プロバイダの不正アクセスを原因とするITインシデントで、約43万件の顧客レコードが流出したと通知しました。

窃取されたのは氏名や連絡先などの基本的な識別情報であり、パスワード、決済情報、注文履歴は含まれていないと説明しています。

漏洩の可能性のある情報

最大約430,000件（主にオンライン利用者の一部）の以下個人情報が漏洩した可能性があります。

侵入はサプライヤ側（第三者プロバイダ）のシステムから発生しました。報道各社の取材に対し、ハロッズは影響を受けたのは外部提供システムであり、自社コアシステムのインシデントとは別件である点を強調しています。

なお、市場では今夏以降、外部SaaSの認可情報（OAuthトークン）を足掛かりにCRM等へ横展開するサプライチェーン型攻撃が断続的に報告されており、今回の事案も第三者由来の侵害として位置づけられます（ハロッズは個別のベンダ名は非公表）。

ベンダリスク管理：SaaS・委託先の権限最小化、OAuthトークンの棚卸しと短寿命化、IP/地域制限、行動異常検知を標準化します。
データ分離・最小化：マーケティング/ロイヤルティ用のラベル・タグは識別性を落とす（不可逆化・粒度圧縮）ことで、漏えい時の実害を抑制します。
通知・封じ込めの即応：外部プロバイダ側の侵害でも自社名義で即時通知できる体制（テンプレ・FAQ・多言語）。