アンドエスティHDにサイバー攻撃、顧客約250万件の個人情報漏えいの恐れーアンドエスティは営業継続

株式会社アンドエスティHD（東証プライム、証券コード2685）は2026年10月23日、業務サーバーに対する第三者の不正アクセスを受け、顧客約250万件、取引先約1万件の情報などが外部に流出した可能性があると発表しました。氏名、住所、電話番号、メールアドレス、生年月日、会員IDなどが対象で、従業員情報の影響範囲も調べています。

不正アクセスは10月22日朝に発生し、複数のサーバーに対してログイン試行、侵入、データ抽出が順次行われました。同社は不正操作を検知したサーバーを隔離し、当日中にアクセス経路を遮断しています。グループの店舗とWEBストア「アンドエスティ」は営業・利用を継続していますが、会員ポイントを利用できない状態です。

アンドエスティHD不正アクセスのサマリー

• 公表：2026年10月23日17時、アンドエスティHDが適時開示。
• 発生：10月22日午前7時30分頃から複数の業務サーバーに対するログイン試行、侵入、データ抽出が発生。
• 検知・遮断：同日午前10時頃に不正操作を検知し、対象サーバーを隔離。17時までに不正アクセス経路を遮断。
• 顧客情報：約250万件が流出した可能性。氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDが対象。
• 取引先情報：約1万件が流出した可能性。会社名、発注先・返品先住所、担当者氏名、電話番号、メールアドレスが対象。
• 従業員情報：対象範囲を確認中。
• 対象外の情報：会社発表ではクレジットカードなどの決済情報、顧客が自ら設定したパスワードは含まれていません。
• サービスへの影響：店舗・WEBストアは引き続き利用可能。ただし店舗・WEBストアで会員ポイントを利用できません。
• 当局への対応：10月23日に警察へ相談し、個人情報保護委員会へ報告。
• 今後：対象顧客・取引先への順次連絡、専用問い合わせ窓口の設置を予定。

※顧客約250万件と取引先約1万件は異なる区分の影響対象規模です。確定した流出件数や、重複を除いた被害人数として合算できません。

顧客約250万件、取引先約1万件の情報が流出した可能性

同社が対象として公表した情報は、顧客、取引先、従業員の3区分です。

顧客の会員IDは対象情報に含まれますが、会社は顧客自身が設定したパスワードを対象外としています。会員IDが知られることと、アカウントに不正ログインできることは同じではありません。

一方、氏名・生年月日・住所・電話番号・メールアドレスが組み合わさると、本人に関する情報を把握した第三者が、会員登録や配送、ポイントに関する問い合わせを装う可能性があります。取引先情報についても、実在する会社名と担当者名を利用した偽の業務連絡などが考えられます。これらは想定される二次被害であり、10月23日の開示が実際の悪用を確認したという意味ではありません。

10月22日午前7時30分頃に侵入、10時に不正操作を検知

発表された経緯は次のとおりです。

同社は、不正アクセスの手段を特定し、当該経路への対応を完了したと説明しています。ただし、データ抽出の操作が認められたことと、約250万件の顧客データすべての外部流出が確定したことは区別が必要です。今後の調査で対象範囲が変わる可能性があります。

WEBストア「アンドエスティ」は利用継続、会員ポイントに障害

アンドエスティHDによると、WEBストア「アンドエスティ」は不正アクセスの影響を受けておらず、グループの店舗も引き続き利用できます。ただし、店舗とWEBストアで会員ポイントを利用できない状態です。

また、アンドエスティの通販サイトに掲載された10月22日付のメンテナンス案内では、ポイント利用停止に加え、保有ポイントの表示が正しくない、一部商品の注文ができない、店舗受取・試着サービスが利用できない、dアカウントや楽天IDとの連携ができない場合がある、注文品の発送・配送が遅れる可能性があると案内しています。同案内では、保有ポイントがなくなるわけではないと説明しています。

したがって、「WEBストア全体が停止した」「ポイントが盗まれた・消失した」とは扱わず、利用可能な機能と制限中の機能を区別する必要があります。復旧状況は、アンドエスティ公式通販サイトのメンテナンス案内で確認できます。

個人向けの二次被害リスクと対策

ポイント復旧・本人確認を装うメールやSMSに注意

今回のようにポイント利用停止が公表されている状況では、「ポイントが失効する」「ポイント再設定が必要」「会員情報の安全確認を行う」といった偽メールやSMSに注意する必要があります。犯人が実際にこうしたメールを送信したと確認されたわけではありませんが、発表内容を悪用したフィッシングは想定されます。

メッセージ内のURLではなく、自分で開いた公式アプリや公式サイトから障害状況・アカウント情報を確認してください。差出人の名前やメール本文に自分の氏名が記載されていても、それだけで正規の連絡とは判断できません。

パスワード・カード番号は対象外でも、追加情報の入力要求には応じない

会社発表では顧客が設定したパスワードとクレジットカードなどの決済情報は、今回の流出可能性のある情報に含まれていません。そのため、事故対応を理由にカード番号やパスワードを要求するメール・電話は慎重に確認してください。

パスワードの漏えいが公表されたわけではないため、本件だけを理由にすべてのパスワード変更が必須と判断する必要はありません。ただし、使い回しがある、不審なログイン通知を受けた、偽サイトに認証情報を入力した場合は、正規サイトから変更し、利用可能であれば多要素認証を設定します。

氏名・住所・生年月日を知っている電話でも信用しない

漏えいの可能性がある情報には住所や生年月日も含まれます。これらは、配送関連の問い合わせや本人確認を装う際に悪用され得る情報です。「登録住所を知っている」「生年月日を言える」という理由で相手を信用せず、公式サイトで確認した窓口へ自分から連絡します。

偽サイトにカード情報を入力した場合はカード会社へ速やかに相談し、メールアカウントのパスワードまで入力した場合はメール事業者の正規画面から変更します。情報項目ごとの具体的な対応は、個人情報が漏えいした場合の対策ガイドでも整理しています。

取引先企業は発注先・返品先情報を使った詐欺に警戒

取引先に関しては約1万件の情報が対象で、会社名、発注先・返品先住所、担当者氏名、電話番号、メールアドレスが含まれます。これらが第三者の手に渡った場合、実在する取引関係者を装った納品先の変更、返品先の変更、請求先変更、支払口座変更などの虚偽連絡に利用されるおそれがあります。

企業の購買・物流・経理部門では、住所や担当者名が一致していても、取引条件や振込先の変更をメールだけで確定しない運用が有効です。登録済みの連絡先への折り返し確認と、基幹システム側の変更履歴の照合を行ってください。

取引先が自社の顧客・担当者情報を預ける場合は、通知対象の範囲、対象データの項目、受領した説明文書、本人通知の必要性を整理します。企業の情報漏えい発生時の対応と再発防止策も参考になります。

2023年にもサーバーへの不正アクセスを公表、今回とは別の事案

アンドエスティHDは、旧社名のアダストリア時代にも2023年1月、サーバーへの不正アクセスを公表しています。当時の第2報では顧客情報104万4,175件に流出の可能性があるとし、同年3月31日の第三報で調査結果を公表しました。

今回の2026年10月22日の不正アクセスは、発生時期も調査対象も異なる別の事案です。2023年の対象件数を今回の約250万件に加算したり、同じ攻撃者・原因であると推測したりすることはできません。

出典

• 当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ（2026年10月23日、17時開示）― アンドエスティHD／TDnet（日経会社情報DIGITAL）
• 【重要】サイトメンテナンスによる影響のお知らせ（2026年10月22日）― アンドエスティ公式通販
• 当社サーバーへの不正アクセス発生について（第二報、2023年1月24日）― アンドエスティHD
• 不正アクセスに関する調査結果のご報告（第三報、2023年3月31日）― アンドエスティHD