カインドオル、サイバー攻撃で最大13万6,464名の個人情報漏洩の恐れ-フィッシングメール起点で侵入される

ブランド古着買取・販売の株式会社カインドオルは2026年8月28日、同社が運営するECサイト「カインドオルオンライン」で利用しているECプラットフォームのスタッフアカウントが第三者から不正アクセスを受け、顧客情報が外部へ漏えいしたと公表しました。

調査では、2026年8月23日に顧客情報の一括エクスポートが2回行われていたことを確認しています。漏えいした可能性がある顧客は最大136,464名で、氏名、住所、電話番号、生年月日、メールアドレス、購入回数・購入金額、ポイント履歴などが対象に含まれます。

原因は、従業員に送信されたECプラットフォーム運営会社を装うフィッシングメールでした。従業員がリンク先の偽サイトへスタッフアカウントの認証情報を入力し、その直後に最初の不正アクセスが発生していました。また、対象アカウントには二段階認証が設定されておらず、パスワードの強度も十分ではなかったとしています。

カインドオルの顧客情報漏えいのサマリー

• 確認済み：ECプラットフォームのスタッフアカウントへ第三者による不正アクセスがありました。
• 確認済み：2026年8月23日、顧客情報の一括エクスポートが2回行われました。
• 確認済み：8月24日、通常業務で注文情報を出力した際、スタッフアカウントのメールアドレスが同社で使用していないものへ変更されていることを確認しました。
• 確認済み：漏えいした可能性がある顧客は現時点で136,464名です。
• 確認済み：対象情報には氏名、住所、電話番号、生年月日、メールアドレス、注文回数、購入金額、ポイント履歴などが含まれます。
• 確認済み：クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは対象データに含まれていません。
• 確認済み：原因は、ECプラットフォーム運営会社を装ったフィッシングメールを通じてスタッフアカウントの認証情報が取得されたことだと判断されています。
• 確認済み：不正アクセスを受けたスタッフアカウントには二段階認証が設定されておらず、パスワード強度も十分ではありませんでした。
• 確認済み：全スタッフアカウントで二段階認証を必須化しました。
• 確認済み：個人情報保護委員会へ報告し、対象顧客へ個別案内を行っています。
• 確認済み：8月28日時点で、本件に起因する個人情報の不正利用など具体的な二次被害は確認されていません。
• 調査中：不正な一括エクスポート後、当該アカウントからその他の操作が行われていないか追加調査を依頼しています。

項目	内容
公表日	2026年8月28日
不正エクスポート確認日	2026年8月23日
事案発覚日	2026年8月24日
対象組織	株式会社カインドオル
対象サービス	カインドオルオンライン
インシデント	ECプラットフォームのスタッフアカウントへの不正アクセス、顧客情報の一括エクスポート
侵入経路	フィッシングメールを通じたスタッフアカウント認証情報の取得
漏えいした可能性がある人数	最大136,464名
対象情報	氏名、住所、電話番号、生年月日、メールアドレス、注文回数・購入金額、顧客タグ、ポイント履歴など
クレジットカード情報	対象データに含まれず
ECサイトのログインパスワード	対象データに含まれず
二次被害	現時点で確認されていません
個人情報保護委員会への報告	報告済み

8月23日に顧客情報を2回一括エクスポート

カインドオルによると、不正アクセスが判明したきっかけは2026年8月24日の通常業務でした。

同社が注文情報を出力しようとしたところ、ECプラットフォームのスタッフアカウントに登録されているメールアドレスが、カインドオルでは使用していないアドレスへ変更されていることを確認しました。

ECプラットフォームの運営会社へ調査を依頼した結果、第三者が対象のスタッフアカウントへ不正アクセスし、前日の8月23日に顧客情報の一括エクスポートを2回行っていたことが判明しました。

本件では単に「個人情報へアクセスできた可能性がある」のではなく、顧客情報を一括エクスポートする操作そのものが確認されています。一方、136,464名全員についてすべての項目が漏えいしたわけではなく、各顧客の登録状況などによって対象となる情報は異なります。

最大136,464名、住所や生年月日・購入履歴などが対象

カインドオルが公表した、漏えいした可能性がある顧客は現時点で136,464名です。

対象となる可能性がある情報は次の通りです。

情報	対象
カスタマーID	対象
氏名	対象
住所	対象
電話番号	対象
生年月日	対象
メールアドレス	対象
メールマガジンの購読状況	対象
合計注文回数	対象
合計購入金額	対象
ECプラットフォーム上の顧客タグ情報	対象
ポイント情報履歴（保有・失効・累計）	対象
クレジットカード番号	含まれず
セキュリティコード	含まれず
ECサイトのログインパスワード	含まれず

氏名や連絡先だけでなく、住所、生年月日、購入回数、購入金額、ポイント履歴なども対象に含まれるため、漏えい情報を組み合わせたフィッシングやなりすましには注意が必要です。

一方、クレジットカード番号やセキュリティコード、ECサイトのログインパスワードは今回漏えいしたデータに含まれていないことを同社が確認しています。

原因はECプラットフォーム運営会社を装ったフィッシングメール

カインドオルは社内調査の結果、不正アクセスを受けたスタッフアカウントを使用していた従業員に対して、利用中のECプラットフォーム運営会社を装ったフィッシングメールが送られていたことを確認しました。

従業員はメール内のリンクから偽サイトへアクセスし、スタッフアカウントの認証情報を入力していました。

対象PCのログなどを確認したところ、認証情報を入力した直後に、今回確認されている最初の不正アクセスが発生していました。このためカインドオルは、フィッシングメールを通じてスタッフアカウントの認証情報が第三者に取得されたことが本件の原因だと判断しています。

さらに、対象のスタッフアカウントには二段階認証が設定されておらず、メールアドレスとパスワードだけでログインできる状態でした。設定されていたパスワードについても、同社は「十分な強度ではなかった」と説明しています。

つまり本件では、フィッシングによる認証情報窃取に加え、二段階認証の未設定とパスワード管理が、不正アクセスを防げなかった要因として確認されています。

生成AIでフィッシングメールは見分けにくくなる

今回カインドオルが確認したフィッシングメールについて、生成AIが使われていたとの発表はありません。そのため、本件を「AIを悪用したフィッシング」と断定することはできません。

一方、企業が今後フィッシング対策を見直す際には、生成AIによって攻撃メールの作成コストや文面の精度が変わっていることを考慮する必要があります。

従来、フィッシングメールを見抜く手掛かりとして「不自然な日本語」「不自然な敬語」「誤字脱字」などが挙げられることがありました。しかし、生成AIを使えば自然な日本語を短時間で作成できるだけでなく、企業サイトやSNSなどの公開情報を基に、標的の会社、部署、役職、業務内容に合わせて文面を調整することも容易になります。

Fred Heiding氏らが2024年に公表した研究では、101人を対象とした実験で、完全にAIで自動生成したスピアフィッシングメールのクリック率は54％となり、人間の専門家が作成したメールの54％と同水準でした。AIが作成したメールを人間が調整した場合は56％で、一般的なフィッシングメールを用いた対照群は12％でした。

この研究は特定企業への実攻撃を示したものではなく、実験環境でAIによるフィッシング作成能力を評価したものです。ただし、攻撃者が公開情報の収集から標的別の文面作成までをAIで効率化できる可能性を示しています。

カインドオルの事案のように、従業員が日常的に利用しているECプラットフォームやクラウドサービスの運営会社を装う場合、メール本文だけを見て正規メールかどうかを判断することは一層難しくなります。

セキュリティ対策Labでは、生成AIによってフィッシングやBECがどのように変化しているのかを「AIでフィッシングメールはどう変わったか―多発するニセ社長詐欺（BEC詐欺）の事例を交えて解説」で整理しています。

また、AI生成メールと人間が作成したフィッシングメールの比較研究については「AIが作成したフィッシングメールのクリック率が50%を超える」で詳しく紹介しています。

標的型攻撃メール訓練は「クリックさせない」だけで評価しない

フィッシング対策として、標的型攻撃メール訓練を実施している企業も多くあります。ただし、今回のような認証情報窃取を防ぐには、年1回程度、定型的な疑似メールを送ってクリック率だけを確認する運用では十分とはいえません。

生成AIによって自然な日本語や標的ごとに異なる文面を作りやすくなっているため、訓練シナリオも実際の脅威に合わせて更新する必要があります。宅配便、不在通知、パスワード期限切れといった定番テンプレートだけでなく、自社で実際に利用しているSaaS、ECプラットフォーム、クラウドサービス、取引先などを想定した訓練も検討対象になります。

ただし、本物に近づけること自体が目的ではありません。訓練で確認すべきなのは、「誰がクリックしたか」だけではなく、不審なメールを組織へ報告できたか、報告までにどの程度の時間がかかったか、SOCやCSIRT、情報システム部門が報告を受けて適切に初動対応できたかという一連の行動です。

セキュリティ対策Labの「標的型攻撃メール訓練とは？実施方法・効果測定・サービスの選び方」では、クリック率だけでなく報告率、報告速度、組織の初動対応まで含めた評価方法を整理しています。

訓練サービスを比較する場合も、疑似メールを配信できるかだけで判断するのではなく、最新の攻撃傾向に合わせたシナリオ更新、従業員情報との連携、報告機能、追加教育、効果測定、SOC・CSIRTとの連携などを確認する必要があります。

セキュリティ対策Labでは「【2026年版】標的型攻撃メール訓練サービス比較6選｜選び方・料金・必須機能を解説」で、主要サービスを比較し、生成AI時代に確認すべき選定項目を整理しています。

本件のように正規サービスを装うフィッシングで認証情報が窃取された場合、訓練だけで被害を完全に防ぐことはできません。従業員教育とあわせて、MFA、フィッシング耐性の高い認証方式、最小権限、大量エクスポートの監視、重要なアカウント情報変更の検知など、認証情報が奪われた後も被害を抑える技術的な対策を組み合わせる必要があります。

全スタッフアカウントで二段階認証を必須化

カインドオルは不正アクセス判明後、対象のスタッフアカウントを削除し、アクセスできない状態にしました。

あわせて、その他すべてのスタッフアカウントについて、不審なアクセスや操作が行われていないかを確認しています。

認証対策では、ECプラットフォームの全スタッフアカウントについて二段階認証を必須化しました。また、顧客情報へのアクセス権限や一括エクスポート権限、アカウント追加・変更・削除に関する管理手続きも見直すとしています。

ECプラットフォームの運営会社には、不正な顧客情報の一括エクスポート後に、対象アカウントから別の操作が行われていないか追加調査を依頼しています。

「大量エクスポート」を早期検知する監視体制も強化

カインドオルが示した再発防止策では、フィッシング対策や二段階認証だけでなく、重要な操作を早期に把握する監視体制も盛り込まれています。

今後、不審なログイン、重要なアカウント情報の変更、大量のデータ出力などを早期に把握するため、監視・エスカレーション体制を強化するとしています。

今回の事案では、スタッフアカウントの登録メールアドレスが変更され、顧客情報の一括エクスポートが2回実行されていました。こうした操作は通常業務でも発生し得ますが、管理者アカウントの属性変更や大量データ出力を高リスク操作として扱い、通常とは異なる条件で発生した場合に通知・確認できる仕組みが重要になります。

また、従業員への情報セキュリティ教育やフィッシング対策訓練も徹底するとしています。

個人情報保護委員会へ報告、対象顧客へ個別通知

カインドオルは本件について、個人情報保護法に基づき個人情報保護委員会へ報告しています。

漏えい対象となる顧客には、本件の内容と注意事項を順次個別に案内しています。専用の問い合わせ窓口についても設置準備を進め、体制が整い次第、公式サイトで案内する方針です。

8月28日時点で、本件に起因する個人情報の不正利用など具体的な二次被害は確認されていません。

ただし、カインドオルは、漏えいした情報を悪用して同社や配送事業者、金融機関などを装うメール、SMS、電話が行われる可能性があるとして注意を呼びかけています。

同社は、本件への対応を理由としてメールやSMSでパスワード、クレジットカード番号、セキュリティコードなどの入力や回答を求めることはないとしています。

情報システム部門への示唆

本件は、SaaSやECプラットフォームを利用する企業にとって、管理アカウントのセキュリティが顧客データ全体の保護に直結することを示す事案です。

第一に、顧客情報へアクセスできる管理・スタッフアカウントでは、パスワードだけの認証を避け、MFA・二段階認証を必須にする必要があります。特に大量エクスポートや権限変更が可能なアカウントでは、一般ユーザー以上に強い認証を適用することが重要です。

第二に、最小権限の考え方が必要です。日常業務で顧客情報の全件エクスポートが不要な担当者に、その権限を常時付与する必要があるかを見直します。大量データ出力を必要とする場合も、申請・承認、期間限定の権限付与、操作ログの確認などを組み合わせることで、不正利用時の影響を抑えられます。

第三に、「ログイン成功」だけでは安全性を判断できません。フィッシングで正規の認証情報を奪われた場合、攻撃者も通常ユーザーと同じようにログインできます。不審なIPアドレスや端末、新しい所在地からのログインに加え、登録メールアドレスの変更、大量エクスポート、権限変更などの操作を行動ベースで監視する必要があります。

また、フィッシング教育は従業員の注意力だけに依存させないことが重要です。標的型攻撃メール訓練を実施する場合も、クリック率だけではなく、報告率、報告速度、SOC・CSIRTの初動まで測定し、実際のインシデント対応につなげる必要があります。生成AIによって攻撃メールの文面や標的ごとの最適化が容易になることを前提に、訓練シナリオを継続的に更新することも重要です。

そのうえで、MFA、フィッシング耐性の高い認証、アクセス権限、監視、重要操作の承認を組み合わせ、認証情報が窃取されても直ちに大量の顧客情報へ到達できない構成にする必要があります。

出典

• Evaluating Large Language Models’ Capability to Launch Fully Automated Spear Phishing Campaigns: Validated on Human Subjects – arXiv
• AIでフィッシングメールはどう変わったか―多発するニセ社長詐欺（BEC詐欺）の事例を交えて解説 – セキュリティ対策Lab
• AIが作成したフィッシングメールのクリック率が50%を超える – セキュリティ対策Lab
• 標的型攻撃メール訓練とは？実施方法・効果測定・サービスの選び方 – セキュリティ対策Lab
• 【2026年版】標的型攻撃メール訓練サービス比較6選｜選び方・料金・必須機能を解説 – セキュリティ対策Lab
• 不正アクセスによるお客様情報漏えいに関するお詫びとお知らせ – カインドオルオンライン
• カインドオルについて – カインドオルオンライン