フラウ・インターナショナル、業務委託先への不正アクセスで顧客情報3,560件が漏えいした可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

株式会社フラウ・インターナショナルは2026年8月3日、同社がメールでの問い合わせ対応に利用している外部サービスの運営会社において第三者による不正アクセスが発生し、同社の顧客情報3,560件が漏えいした可能性があると公表しました。

今回の事案では、外部メールサービスの管理画面に対する不正ログインが確認され、正規のデータ出力機能を使ってメール本文がダウンロードされたとされています。委託先や外部SaaSの管理画面が侵害された場合、利用企業側のシステムに直接侵入されていなくても、問い合わせ本文に含まれる個人情報やパスワード、決済関連情報が漏えいリスクにさらされる点に注意が必要です。

サマリー

フラウ・インターナショナルが、業務委託先の外部メールサービスに対する不正アクセスによる顧客情報漏えいの可能性を公表しました。
漏えいした可能性がある個人情報は3,560件で、氏名、メールアドレス、電話番号、住所、生年月日、会員番号、口座情報、取引情報、ログインパスワード、クレジットカード情報1件などが対象に含まれます。
2025年10月にも同社管理アカウントが不正利用され、メール2通が検索・閲覧された可能性が高いことが追加で確認されています。
現時点で、本件に起因する個人情報の不正利用、具体的な被害申告、外部サイト等への公開・掲載は報告されていないとしています。
同社は2026年7月3日に個人情報保護委員会およびプライバシーマーク付与機関へ速報し、その後判明した調査結果について追加報告を行っています。

事案の整理

項目	内容
公表日	2026年8月3日
被害企業	株式会社フラウ・インターナショナル
発生元	同社がメールでの問い合わせ対応に利用している外部サービスの運営会社
発覚日	2026年6月30日に委託先から第一報を受領
第一報の公表日	2026年7月7日
漏えいした可能性のある件数	3,560件
漏えい情報の内容	氏名、メールアドレス、電話番号、住所、勤務先を含む住所、生年月日、会員番号、口座情報、取引情報、ログインパスワード、クレジットカード情報1件など
追加で確認された事象	2025年10月にメール2通が検索・閲覧された可能性が高いことを確認
原因	委託先管理システムの一部の脆弱性を突いた不正アクセスと、外部メールサービス管理画面への多数のログイン試行による管理用アカウントのID・パスワード不正利用
不正利用・外部公開の有無	現時点で本件に起因する個人情報の不正利用、具体的な被害申告、外部サイト等への公開・掲載は報告されていない
個人情報保護委員会への報告	2026年7月3日に速報し、調査結果について追加報告済み
対応状況	対象者への電子メールによる個別連絡、委託先監督の強化、外部サービス上の全アカウント棚卸し、アクセス権限見直し、パスワード管理強化、接続元制限の活用を実施

業務委託先の外部メールサービスで不正アクセスが発生

フラウ・インターナショナルによると、同社がメールでの問い合わせ対応に利用している外部サービスの運営会社で、第三者による不正アクセスが発生しました。第三者調査機関による調査の結果、同社サーバー上で管理されていたメールデータが外部出力され、メール本文に含まれていた顧客の個人情報3,560件が漏えいした可能性があるとしています。

同社は2026年6月30日、委託先から、外部メールサービスの管理画面に対する不正アクセスにより同社のメール情報が取得された旨の第一報を受けました。その後、2026年7月7日に第一報を公表し、委託先では第三者機関による調査が行われました。調査は7月9日から実施され、7月23日に結果説明を受け、さらに7月24日付で2025年に同社管理アカウントが不正利用されていたことに関する追加報告を受領したとしています。

今回の説明で重要なのは、外部メールサービスの管理画面への不正ログインが確認されている一方で、調査対象サーバーのOSへの不正ログイン、マルウェア感染、不審な自動起動設定、明確に不審なコマンド実行の痕跡は検出されていない点です。つまり、サーバー全体の侵害というよりも、管理画面への認証突破と正規機能の悪用によってメール本文が外部出力された事案と見られます。

この構図は、メール配信システムめる配くん、不正アクセスで情報漏洩の恐れでも見られた、外部サービスの侵害が複数の利用企業へ波及するタイプのサプライチェーンリスクに近いものです。自社システムに直接侵入された形跡がなくても、委託先やSaaS上に業務データが蓄積されていれば、そこが実質的な情報漏えいの起点になります。

漏えいした可能性がある個人情報

漏えいした可能性があるのは、フラウ・インターナショナルが運営する各Webサイト宛に問い合わせられたメール情報です。対象は2026年6月29日以前の一定期間のメール本文で、件数は3,560件とされています。

対象項目には、氏名、メールアドレス、電話番号、住所、勤務先を含む住所、生年月日、会員番号、口座情報、取引情報、問い合わせ内容等、ログインパスワード、クレジットカード情報1件が含まれます。ただし、漏えいした可能性がある項目は対象者ごとに異なり、マイナンバー情報は含まれていないとしています。ログインパスワードおよびクレジットカード情報の対象者には、個別に連絡済みとされています。

メール本文に含まれる情報は、構造化された会員データベースよりも把握が難しいことがあります。問い合わせフォームやメール窓口では、利用者が任意に住所、会員番号、決済情報、ログイン情報、注文内容、本人確認に関する情報を書き込むケースがあります。今回のようにメール本文そのものが外部出力された可能性がある場合、企業側は単純な項目一覧だけでなく、本文内の自由記述情報まで確認する必要があります。

2025年10月の不正アクセスも追加で判明

今回の第二報では、2025年10月に同社管理アカウントが不正利用され、メール2通が検索・閲覧された可能性が高いことも明らかになりました。これら2通は、3,560件には含まれていません。

対象メールは、その後の通常業務により削除されており、送信者のメールアドレスおよび本文情報を復元できないため、含まれていた個人情報の有無や対象者は特定できないとされています。この点は、ログ保存やメール保存期間、調査時点でのデータ保全がインシデント調査の精度を左右することを示しています。

個人情報が漏えいした可能性がある対象者には、2026年8月3日から電子メールで個別連絡を行っています。一方で、連絡がかなわなかった対象者や、2025年10月の2通に関する対象者については、今回の公表をもって連絡に代えるとしています。

原因は管理システムの脆弱性と管理アカウントの不正利用

フラウ・インターナショナルは原因について、委託先管理システムの一部の脆弱性を突いた第三者からの不正アクセスが行われ、外部メールサービスの管理画面に対する多数のログイン試行により、管理用アカウントのID・パスワードが不正に使用されたことを起点とするものと説明しています。

ここで問題になるのは、脆弱性対策と認証管理の両方です。管理画面に対して多数のログイン試行が行われていたのであれば、試行回数制限、MFA、接続元制限、異常ログイン検知、アカウントロック、管理者通知などの仕組みがどの程度機能していたかが再発防止の焦点になります。

セキュリティ対策Labでは、不正アクセスとは何かを解説した記事でも、漏えいしたパスワードの使い回し、MFA未設定、管理画面の公開範囲、脆弱性の放置が不正アクセスの典型的な起点になることを整理しています。今回のような外部サービス起点の事案では、委託先の認証設定を利用企業側がどこまで確認できるかも重要です。

現時点で不正利用や外部公開は確認されず

同社によると、現時点で本件に起因する個人情報の不正利用、第三者からの具体的な被害申告、外部サイト等への公開・掲載は報告されていません。

ただし、漏えいした可能性がある情報の中には、氏名、メールアドレス、電話番号、住所、生年月日、会員番号、取引情報、ログインパスワード、クレジットカード情報1件が含まれます。実際の不正利用が確認されていなくても、フィッシングメール、なりすまし連絡、会員番号や取引内容を踏まえた標的型の詐欺、パスワード使い回しを狙った不正ログインには注意が必要です。

同社も、心当たりのない不審なメールについて、添付ファイルを開封せずメールを削除するよう呼びかけています。問い合わせメール本文に記載したパスワードと同一または類似のパスワードを現在も使用している場合は、他サービスを含めて異なるパスワードへ変更するよう案内しています。

個人情報保護委員会への報告と再発防止策

フラウ・インターナショナルは、2026年7月3日に個人情報保護委員会およびプライバシーマーク付与機関へ速報を行い、その後判明した調査結果について追加報告を行っているとしています。今後も必要な報告および関係機関への対応を行う方針です。

再発防止策としては、委託先のPマーク・ISMS等の認証取得状況の確認に加え、個人データの性質、量、リスクに応じて、具体的な安全管理措置や個人データの取扱状況をより詳細に確認し、監督を強化するとしています。さらに、外部サービス上の全アカウントの棚卸し、アクセス権限の見直し、パスワード管理の強化、接続元制限の活用も進めています。

委託先の認証取得状況を確認することは重要ですが、それだけでは十分ではありません。今回のような外部サービス管理画面の不正ログインでは、実際の管理者アカウント数、MFAの有無、接続元制限、ログ保存期間、データエクスポート権限、異常操作時の通知、退職者や不要アカウントの残存状況まで確認しなければ、同じ構造のリスクは残ります。

同じく委託先起点の個人情報リスクとしては、資生堂美容室、業務委託先サインドへの不正アクセスで個人情報を閲覧された可能性でも、外部サービスや業務委託先に置かれたデータの管理が課題になりました。サービス利用企業は、契約先のセキュリティ認証だけでなく、日々の運用管理が実効的かどうかを点検する必要があります。

情報システム部門への示唆

情報システム部門がまず確認すべきなのは、問い合わせ対応、メール配信、CRM、予約、会員管理、チケット管理などの外部サービスに、どのような個人情報や自由記述データが保存されているかです。問い合わせ本文には、利用者が想定以上に機微な情報を記載することがあります。フォーム設計の段階で、パスワード、クレジットカード番号、本人確認書類、口座情報などを入力しないよう明示し、必要以上の情報を受け取らない運用にすることが重要です。

外部サービスの管理画面については、MFAの必須化、接続元IP制限、管理者アカウントの最小化、共有アカウントの廃止、退職者・異動者アカウントの即時停止、データエクスポート権限の限定を確認すべきです。特にデータ出力機能は、正規機能でありながら侵害時には大量漏えいの経路になります。エクスポート実行時の承認、通知、ログ監視、ダウンロード可能範囲の制限を設けるべきです。

二次被害の観点では、漏えいした可能性があるメール本文や取引情報を悪用し、実在の問い合わせ内容を踏まえたフィッシングメールやなりすまし電話が行われるリスクがあります。顧客対応部門には、問い合わせ履歴、会員番号、過去の取引内容を知っている相手であっても正規の相手とは限らないことを周知し、決済情報やパスワード再設定を求める連絡には追加確認を行う体制が必要です。

委託先管理では、PマークやISMSの有無だけでなく、管理画面の認証強度、ログ保存期間、脆弱性対応のSLA、インシデント発生時の報告期限、フォレンジック協力、個人情報の保存場所、バックアップ、削除ルールを契約と運用の両面で確認することが求められます。今回の事案は、自社が直接運用していない外部サービスであっても、顧客から見れば利用企業の情報管理責任として受け止められることを示しています。