フラウ・インターナショナル、委託先メールサービスへのサイバー攻撃で3,560件の個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月04日更新日時: 2026年08月04日

株式会社フラウ・インターナショナルは2026年8月3日、同社がメールでの問い合わせ対応に利用している外部サービスの運営会社で発生した不正アクセスについて、調査結果を公表しました。第三者調査機関による調査の結果、同社が運営する各Webサイト宛に届いた問い合わせメール本文の一部が、外部メールサービスの正規のデータ出力機能を通じてダウンロードされ、メール本文に含まれていた顧客の個人情報3,560件が漏えいした可能性があるとしています。

第一報では、漏えいした可能性がある情報項目や対象範囲は調査中とされていました。今回の第二報では、氏名、メールアドレス、電話番号、住所、生年月日、会員番号、口座情報、取引情報、ログインパスワード、クレジットカード情報1件などが対象に含まれる可能性があることが明らかになっています。ログインパスワードおよびクレジットカード情報の対象者には、同社が個別に連絡済みとしています。

フラウ・インターナショナル不正アクセス第二報のサマリー

フラウ・インターナショナルは2026年8月3日、業務委託先の外部メールサービスに対する不正アクセス事案の第二報を公表しました。
第三者調査機関の調査により、メール本文に含まれていた顧客の個人情報3,560件が漏えいした可能性があると判明しました。
漏えいした可能性がある情報には、氏名、メールアドレス、電話番号、住所、生年月日、会員番号、口座情報、取引情報、ログインパスワード、クレジットカード情報1件が含まれます。
マイナンバー情報は含まれていないとされています。対象となる情報項目は、顧客ごとに異なります。
2025年10月にも、メール2通が検索・閲覧された可能性が高いことが追加で確認されました。この2通は3,560件には含まれていません。
現時点で、本件に起因する個人情報の不正利用、具体的な被害申告、外部サイト等への公開・掲載は確認されていません。
同社は2026年7月3日に個人情報保護委員会およびプライバシーマーク付与機関へ速報し、その後判明した調査結果について追加報告を行っています。
利用者は、不審なメール、添付ファイル、パスワード変更を装う連絡、イベントやファンクラブ関連の案内を装ったフィッシングに注意が必要です。

整理表

項目	内容
公表日	第一報：2026年7月7日、第二報：2026年8月3日
被害企業	株式会社フラウ・インターナショナル
発生元	同社がメールでの問い合わせ対応に利用している外部サービスの運営会社
侵害された可能性がある対象	外部メールサービスの管理画面
確認された手口	外部メールサービスの管理画面に対する多数のログイン試行、不正ログイン、正規のデータ出力機能を利用したメール本文のダウンロード
漏洩情報の内容	氏名、メールアドレス、電話番号、住所、勤務先を含む住所、生年月日、会員番号、口座情報、取引情報、お問い合わせ内容等、ログインパスワード、クレジットカード情報1件
漏えいした可能性がある件数	3,560件
追加で確認された過去事象	2025年10月にメール2通が検索・閲覧された可能性が高いと確認。この2通は3,560件に含まれない
マイナンバー情報	含まれていない
クレジットカード情報	1件。対象者には個別連絡済み
ログインパスワード	対象者には個別連絡済み
不正利用・二次被害	本稿執筆時点で、本件に起因する不正利用、具体的な被害申告、外部サイト等への公開・掲載は確認されていない
個人情報保護委員会への報告状況	2026年7月3日に個人情報保護委員会およびプライバシーマーク付与機関へ速報済み。その後判明した調査結果について追加報告済み
対応状況	対象者へ2026年8月3日から電子メールで個別連絡。連絡がかなわない対象者および2025年10月事象の対象者については公表をもって連絡に代える
再発防止策	委託先のPマーク・ISMS認証取得状況の確認に加え、個人データの性質・量・リスクに応じた安全管理措置と取扱状況をより詳細に確認。外部サービス上の全アカウント棚卸し、アクセス権限見直し、パスワード管理強化、接続元制限の活用を実施

何が起きたか

フラウ・インターナショナルは2026年6月30日、メールでの問い合わせ対応に利用している外部サービスの運営会社から、同社が管理する外部メールサービスの管理画面に対する不正アクセスにより、フラウ・インターナショナルのメール情報が取得されたとの第一報を受けました。同社は事実確認と対応を開始し、2026年7月7日に第一報を公表しています。

その後、委託先で第三者機関による調査が2026年7月9日から実施され、同年7月23日に調査結果の説明を受けました。さらに、7月24日付で、2025年にフラウ・インターナショナルの管理アカウントが不正利用されていたことに関する追加報告も受領しています。

第二報で重要なのは、単に委託先サーバーで不正アクセスがあったという段階から、外部メールサービスの管理画面への不正ログインが確認され、正規のデータ出力機能によって一定期間のメール本文がダウンロードされた可能性が示された点です。メール本文には、問い合わせ内容として顧客が任意に記載した個人情報や取引に関する情報が含まれることがあります。問い合わせ管理システムでは、顧客マスタとは別の場所に、過去のやり取りの文脈を含む情報が残るため、影響範囲の特定が難しくなりがちです。

セキュリティ対策Labでは、本件の第一報をフラウ・インターナショナル、委託先への不正アクセスで顧客の個人情報漏洩の恐れとして既報しています。今回の第二報では、漏えいした可能性がある件数と情報項目、原因、個人情報保護委員会への報告状況、利用者への注意喚起が更新されました。

原因

フラウ・インターナショナルは原因について、委託先管理システムの一部の脆弱性を突いた第三者からの不正アクセスが行われ、外部メールサービスの管理画面に対する多数のログイン試行により、管理用アカウントのID・パスワードが不正に使用されたことを起点とするものと説明しています。

調査では、外部メールサービスの管理画面への不正ログインは認められました。一方で、調査対象サーバーのOSへの不正ログイン、マルウェア感染、不審な自動起動設定、明確に不審なコマンド実行の痕跡は検出されていないとしています。

この説明から見ると、本件はマルウェア感染によってサーバー全体が侵害された事案というより、外部サービスの管理画面とアカウント管理が突破され、正規機能を悪用された事案として捉える必要があります。管理画面にログインされた後は、攻撃者がシステムの内部機能を使ってデータを出力できるため、従来型のウイルス対策やサーバーOS上の不審プロセス検知だけでは痕跡を捉えにくい場合があります。

不正アクセスとはの記事でも整理しているとおり、近年の不正アクセスでは、脆弱性の悪用だけでなく、認証情報の窃取、管理画面へのログイン、クラウドサービスやSaaSの正規機能の悪用が組み合わされるケースが目立ちます。外部サービスの管理画面は、社内システムの外側にあるように見えても、実際には顧客情報への入口そのものです。

漏えいした可能性がある個人情報

第二報によると、漏えいした可能性がある個人情報3,560件は、フラウ・インターナショナルが運営する各Webサイト宛に問い合わせたメール情報に含まれていたものです。具体的には、氏名、メールアドレス、電話番号、住所、勤務先を含む住所、生年月日、会員番号、口座情報、取引情報、お問い合わせ内容等が挙げられています。

さらに、ログインパスワードとクレジットカード情報1件も対象に含まれます。これらについては、対象者に個別連絡済みとされています。マイナンバー情報は含まれていません。なお、すべての対象者について全項目が漏えいした可能性があるわけではなく、対象となる情報項目は顧客ごとに異なります。

問い合わせメール本文に含まれる情報は、フォームの項目として設計された情報だけに限られません。顧客が状況説明のために、会員番号、申込内容、決済に関する相談、口座に関する情報、本人確認に使われ得る情報を本文へ記載している場合があります。今回、メール本文に含まれる個人情報が対象とされた点は、問い合わせ対応システムやメール管理サービスのリスクを考えるうえで重要です。

2025年10月の不正アクセスに関する追加報告

今回の第二報では、2026年6月29日以前の不正アクセスによる3,560件とは別に、2025年10月の不正アクセスによりメール2通が検索・閲覧された可能性が高いことも確認されています。この2通は、3,560件には含まれていません。

対象メールは、その後の通常業務により削除されており、送信者のメールアドレスおよび本文情報を復元できないため、含まれていた個人情報の有無や対象者は特定できないとされています。対象者に個別連絡できないものについては、本公表をもって連絡に代える形です。

この点は、インシデント対応で見落とされがちな過去ログや削除済みデータの問題を示しています。平時のログ保存期間、メールデータの保存・削除ルール、バックアップや監査証跡の保持方針によって、後日の調査で確認できる範囲は大きく変わります。個人情報保護の観点では不要データを削除することも重要ですが、インシデント時にどの程度までアクセス履歴や操作履歴を追えるかという設計もあわせて必要になります。

利用者が注意すべきこと

フラウ・インターナショナルは、現時点で本件に関する情報の不正利用等は確認されていないとしつつ、漏えいした情報を悪用したメール等が発信される可能性があるとして注意を呼びかけています。差出人や件名に心当たりのない不審なメールが届いた場合、添付ファイルは開封せず、メール自体を削除するよう案内しています。

今回の事案では、韓国エンタメ関連イベント、ファンクラブ、旅行、グッズ、問い合わせ対応など、顧客との接点に関する情報がメール本文に含まれていた可能性があります。攻撃者がこうした情報を入手した場合、イベント参加、チケット、会員更新、問い合わせ回答、決済確認、返金案内などを装ったフィッシングメールに悪用されるおそれがあります。

問い合わせメール本文に記載したパスワードと同一または類似のパスワードを現在も使用している場合は、他サービスを含めて異なるパスワードへ変更する必要があります。パスワードをメール本文に記載してしまった場合、そのサービス単体の問題にとどまらず、同じパスワードを使い回している別サービスへの不正ログインにつながる可能性があります。

クレジットカード情報の対象者は1件とされていますが、対象者以外でも、不審な決済案内や返金案内を装うメールには注意が必要です。正規の案内か判断できない場合は、メール本文のリンクや添付ファイルから手続きを進めるのではなく、公式サイトに掲載された窓口を確認して連絡することが安全です。

委託先管理として見えた問題

今回の事案は、フラウ・インターナショナル本体のサーバーではなく、メール問い合わせ対応に利用している外部サービスの運営会社側で発生した不正アクセスです。しかし、利用者から見れば、問い合わせ先はフラウ・インターナショナルであり、委託先で起きた事故であっても、顧客情報の保護責任や説明責任は委託元にも及びます。

同社は再発防止策として、委託先のPマーク・ISMS等の認証取得状況の確認に加え、個人データの性質、量、リスクに応じて、具体的な安全管理措置と個人データの取扱状況をより詳細に確認し、監督を強化するとしています。この表現は重要です。認証の有無だけを確認しても、実際の管理画面の多要素認証、接続元制限、管理者権限、ログ監視、データ出力機能の監査、異常ログインの検知が十分かどうかは分かりません。

委託先インシデントは、自社のセキュリティ対策だけでは完結しません。メール配信システムめる配くん、不正アクセスで情報漏洩の恐れのように、外部サービスの不正アクセスが複数の利用企業に影響する事例もあります。日本原子力研究開発機構、委託先の不正アクセスで個人情報漏洩の可能性を公表の事例も、委託先で発生したサイバー攻撃が委託元の情報漏えいリスクに直結することを示しています。

委託先のセキュリティ確認では、契約時のチェックシートだけでなく、どの外部サービスにどの個人情報が保存されるのか、管理画面の権限を誰が持つのか、データ出力や検索操作をどのように記録するのか、委託先で不正アクセスが発生した場合に何時間以内にどの情報が共有されるのかまで決めておく必要があります。

再発防止策と今後の対応

フラウ・インターナショナルは、2026年8月3日から対象となる顧客に電子メールで個別連絡するとしています。電子メールでの連絡がかなわなかった対象者と、2025年10月のメール2通の対象者については、今回の公表をもって連絡に代える形です。

再発防止策としては、委託先の認証取得状況の確認だけでなく、個人データの性質・量・リスクに応じた安全管理措置と取扱状況の確認を強化します。フラウ・インターナショナル側でも、外部サービス上の全アカウントの棚卸し、アクセス権限の見直し、パスワード管理の強化、接続元制限の活用を進めるとしています。

個人情報保護委員会およびプライバシーマーク付与機関へは、2026年7月3日に速報済みであり、その後判明した調査結果について追加報告を行っています。個人情報保護委員会は、個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい場合には、報告や本人通知が必要になると案内しています。今回のように、委託先サービス上のメール本文から個人情報が漏えいした可能性がある場合でも、委託元は報告・通知・再発防止の実務対応を避けられません。

情報システム部門への示唆

情報システム部門が今回の事案から確認すべきことは、問い合わせ管理やメール対応の外部サービスが、顧客情報の本丸になっている可能性です。会員データベースやECシステムだけを重要資産として管理していても、問い合わせ本文、対応履歴、添付ファイル、管理者メモ、データ出力機能に個人情報が残っていれば、そこが攻撃対象になります。

実務上は、外部サービスの全アカウント棚卸し、退職者・異動者アカウントの削除、管理者権限の最小化、多要素認証の必須化、接続元制限、ログイン失敗回数の監視、国外IPや通常と異なる時間帯からのログイン検知、データエクスポート操作の監査を優先して確認すべきです。特に、問い合わせ管理サービスやメール管理サービスでは、CSV出力、メール一括ダウンロード、検索結果出力といった正規機能が悪用されると、大量の個人情報が短時間で持ち出される可能性があります。

委託先管理では、PマークやISMSの有無だけで判断せず、管理画面の認証方式、アクセス制御、ログ保全期間、データ出力権限、インシデント時の通知期限、フォレンジック調査への協力範囲を確認する必要があります。委託先からの第一報で不正アクセスがあったとだけ伝えられても、自社側が対象者通知や個人情報保護委員会への報告を判断できる情報が揃わないことがあります。契約段階で、発生日、検知日、対象システム、閲覧・取得された可能性があるデータ項目、件数、ログ保全状況、原因、初期対応、再発防止策を共有するルールを決めておくことが重要です。

利用者向けの二次被害対策も、情報システム部門と広報・顧客対応部門が連携して準備しておくべき領域です。氏名、メールアドレス、電話番号、会員番号、取引内容、問い合わせ内容が組み合わされると、単なる迷惑メールよりも精巧なフィッシングやなりすましが可能になります。顧客へ注意喚起する際は、正規の連絡方法、問い合わせ窓口、パスワード変更の要否、添付ファイルを開かないこと、メール本文中のURLを不用意にクリックしないことを明確に示す必要があります。

今回の第二報は、外部サービスの管理画面が侵害された場合、マルウェア感染やサーバーOS侵害の痕跡がなくても、正規機能を通じてデータが外部出力され得ることを示しています。SaaSや外部委託先を利用する企業では、自社ネットワークの監視だけでなく、委託先サービス上のアカウント、権限、出力操作、ログ、契約上の通知義務まで含めて、顧客情報管理の一部として扱うべきです。