ファンケル・アテニアのECサイトに不正アクセスによるサイバー攻撃、83万4,947件の個人情報漏洩の恐れ

キリンホールディングス株式会社（東証プライム、証券コード2503）は2026年10月16日、子会社の株式会社ファンケルと、その連結子会社である株式会社アテニアが運営するECサイトに第三者による不正アクセスがあり、両社の会員情報の一部が外部に漏えいしたと発表しました。

漏えいが確認された情報は、ファンケルで39万3,785件（36万8,184人）、アテニアで44万1,162件（41万7,312人）。両社の情報件数を合計すると83万4,947件です。氏名や住所、電話番号、生年月日などのほか、一部の会員が設定したハッシュ化済みの二次パスワードも含まれます。メインのパスワードやクレジットカードなどの決済情報は対象外と説明しています。

ファンケル・アテニア不正アクセスのサマリー

• 公表日：2026年10月16日（キリンホールディングスの適時開示）
• 対象：ファンケルとアテニアのECサイト
• 不正アクセスの期間：2026年10月3日～10日
• 発覚：10月15日の内部調査
• 漏えいを確認した会員情報：ファンケル39万3,785件・36万8,184人、アテニア44万1,162件・41万7,312人
• 合計：83万4,947件。対象人数の単純合計は78万5,496人（両社間の重複を考慮した実人数ではありません）
• 対象情報：氏名、連絡先、生年月日、性別、お客様番号、ポイント・会員ステージ情報など。サブメールアドレスと一部会員のハッシュ化された二次パスワードも含まれます
• 対象外：メインのパスワード、クレジットカードなどの決済情報、本人認証質問の回答
• 初動対応：緊急対策本部を設置し、不正アクセスを受けた機能を特定して停止
• 10月16日時点：本件に起因すると考えられる不正利用・二次被害は確認されず。個人情報保護委員会への報告と警察への相談を進めています

10月3日から10日に不正アクセス、15日の内部調査で発覚

キリンホールディングスの発表によると、ファンケルが10月15日に実施した内部調査で、ファンケルとアテニアのECサイトが同月3日から10日まで第三者による不正アクセスを受けていたことが判明しました。その後の調査で、両社が保有する会員情報の一部が外部に漏えいしたことを確認しています。

両社は事案が判明した当日に緊急対策本部を設置。不正アクセスを受けた機能を特定して停止し、被害拡大防止を図りました。発表時点では、関連する別の不正アクセスやマルウェア感染は確認されておらず、両社の事業活動・サービスに重大な影響は確認されていないとしています。

氏名・住所・生年月日・会員情報などが漏えい

漏えい対象となった情報の項目は両社で共通しており、メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレス、本人認証質問の項目などが含まれます。

また、ポイント情報、会員ステージ、メールマガジンの配信希望、店舗での購入の有無など、会員登録・利用状況に関係する情報も対象です。公表された対象項目のすべてが、すべての会員について漏えいしたことを意味するものではありません。

対象人数はファンケル36万8,184人、アテニア41万7,312人です。両社の人数を合計すると78万5,496人になりますが、両方のサービスを利用する会員の重複については開示されていないため、重複を除いた人数としては扱えません。一方、漏えいした会員情報の「件数」は計83万4,947件です。人数と件数は異なる指標です。

ハッシュ化された二次パスワードも対象、メインパスワードと決済情報は含まず

今回の漏えい対象には、サブメールアドレスと、その一部の利用者が設定したハッシュ化された二次パスワードが含まれます。同社はハッシュ化された情報について、そのままでは読み取れないと説明しています。通常のログインに利用するメインのパスワードは対象外で、本人認証質問についても回答そのものは漏えい対象に含まれません。

ハッシュ化はパスワードを元の文字列のまま保存しないための処理ですが、方式や設定、パスワードの強度によっては解析されるリスクもあります。今回の開示ではハッシュ方式などの詳細は示されていません。同じ二次パスワードを他のサービスで使い回している場合は、念のため見直しを検討できます。

クレジットカードなどの決済情報は、今回の漏えい対象に含まれていないとしています。したがって、決済情報が流出したとする説明や、今回の漏えいだけを理由にカード番号の変更が必要だとする案内は適切ではありません。

利用者はファンケル・アテニアを装うメールや電話に注意

キリンホールディングスは10月16日時点で、本件に起因すると考えられる会員情報の不正利用や二次被害を確認していないとしています。ただし、氏名、メールアドレス、住所、電話番号、会員情報などが漏えい対象となっているため、これらを組み合わせたフィッシングメールや不審な電話には注意が必要です。

例えば、注文の確認、会員情報の更新、ポイントの失効防止、配送先の確認などを口実に、偽のログインページへ誘導する手口が考えられます。こうした事例が今回の情報を使って実際に発生したと確認されているわけではありません。

ファンケル・アテニアの利用者は、メールやSMS内のリンクから認証情報を入力せず、公式サイトや正規アプリを自分で開いて案内内容を確認してください。不審な連絡でパスワードやワンタイムコード、クレジットカード情報を求められた場合は入力を避け、公式窓口に確認する方法が安全です。

ファンケル・アテニアは調査を継続、個人情報保護委員会へ報告

両社は不正アクセスを受けた機能を停止した上で、引き続き詳細調査を進めています。個人情報保護委員会への報告と警察への相談も行っていると説明しました。

キリンホールディングスは、同社の連結業績に与える影響を精査しており、重大な影響が認められる場合は開示するとしています。新たな調査結果が判明した場合も改めて公表する方針です。

ECサイトの運用担当者が確認したい点

今回の事案では、ECサイトで不正アクセスが発生した後、会員情報の持ち出しが確認されています。ただし、具体的な侵入方法は公表されていないため、特定の脆弱性やAPIの不備が原因だったと断定することはできません。

ECサイトの管理者は、公開機能や管理画面のアクセス制御、不要な機能の公開状況、不審な検索・大量取得のログ、会員情報へのアクセス権限などを点検対象として整理できます。独立行政法人情報処理推進機構（IPA）が10月9日に示した緊急点検事項については、Web・SaaS・API・個人情報管理で確認すべき12項目でも紹介しています。

出典

• 当社子会社（株式会社ファンケル）における不正アクセスによる個人情報漏えいに関するお知らせ（2026年10月16日）―キリンホールディングス（適時開示）