高島屋、IDCFクラウド障害で3サイトの会員情報「流出なし」と判断―メルマガ配信は停止継続|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月15日更新日時: 2026年10月15日

株式会社高島屋は2026年10月15日、業務委託先が利用する「IDCFクラウド」への不正アクセスに伴うシステム障害について、第2報を公表しました。株式会社IDCフロンティアと業務委託先の調査結果を踏まえ、高島屋オンラインストア、TBEAUT、タカシマヤファッションスクエアの会員情報について、外部への流出を示す事実は確認されず、顧客情報の流出はなかったとの報告を受けたと説明しています。

一方、メールマガジン配信システムの復旧作業は継続しており、10月15日時点で配信再開時期は決まっていません。今回の発表は、高島屋自身のシステムが新たに攻撃を受けたというものではなく、委託先が利用するクラウド基盤で発生した既存事案の調査結果に関する続報です。

高島屋のIDCFクラウド障害・第2報のサマリー

公表日：2026年10月15日（第2報）。初報は10月9日。
原因となった事案：メールマガジン配信業務の委託先が利用するIDCFクラウドへの第三者による不正アクセスと、これに伴うシステム障害。
対象サイト：高島屋オンラインストア、TBEAUT、タカシマヤファッションスクエア。
調査結果：IDCフロンティアおよび委託先の調査を踏まえ、対象会員情報の外部流出を示す事実は確認されず、流出はなかったとの報告を受領。
継続する影響：メールマガジン配信の停止。配信再開時期は未定。
通常利用：10月9日の初報では、各オンラインサイトでの注文と、メールマガジン以外の注文関連メールは通常どおり利用可能と案内。
今後の対応：配信再開時期が決まり次第、各オンラインサイトで告知する方針。

項目	内容
対象企業	株式会社高島屋、株式会社セレクトスクエアが運営する関連サイト
クラウド基盤	IDCFクラウド（運営：IDCフロンティア）
利用用途	メールマガジン配信業務の委託先システム
情報流出の判断	対象会員情報の流出はなかったとの調査報告を受領
停止中の機能	メールマガジン配信
復旧見通し	2026年10月15日時点で配信再開時期未定

10月9日の「流出未確認・調査中」から、15日に「流出なしとの報告」へ

高島屋が10月9日に公表した初報では、障害が発生したクラウド基盤上に会員情報が保存されていることを説明し、同日時点で流出は確認されていないものの、引き続き調査するとしていました。

今回の第2報では、IDCフロンティアと業務委託先の調査結果を受けて、対象情報の外部流出を示す事実は確認されなかったと明らかにしています。これは調査途中の「現時点で流出を確認していない」という状態から、関係事業者の調査に基づく判断が示された点で進展があります。

ただし、今回の「流出なし」は高島屋の対象オンラインサイトの会員情報に関する説明です。IDCFクラウドを利用するほかの企業・サービス全体に一律に当てはまる結論ではありません。

障害が発生したクラウドに保存されていた情報

10月9日の初報によると、委託先の利用するIDCFクラウド上に保存されていた情報の内訳は次のとおりです。

会員区分	保存されていた情報
高島屋オンライン会員	メールアドレス、氏名、生年月日、郵便番号、都道府県・市区郡までの住所
タカシマヤファッションスクエア会員	メールアドレス

両区分とも、クレジットカード番号、電話番号、ログインパスワード、市区郡より先の詳細な住所は含まれていないと説明されています。なお、TBEAUTは第2報で影響対象となるオンラインサイトとして挙げられていますが、初報の情報内訳では独立した会員区分として分類されていません。そのため、TBEAUT単独の保存情報の種類を上表から推定することはできません。

メールマガジンの配信停止は続く、再開時期は未定

会員情報に関する調査が進展した一方、メールマガジン配信業務に利用する委託先システムは復旧作業中です。高島屋は10月15日時点で配信再開の時期を示しておらず、決まり次第、3つのサイトで知らせるとしています。

初報では各サイトでの注文および注文に関するメール配信は継続すると案内されていました。したがって、今回のサービス影響は主としてメールマガジン配信であり、オンラインサイト全体が利用不能になったとの発表ではありません。

IDCFクラウドのランサムウェア被害によって生じた各社のシステム停止や復旧状況は、セキュリティ対策LabのIDCFクラウドの影響企業・サービスまとめで整理しています。

利用者と委託先管理担当者が確認したい点

高島屋は初報で、同社を装った不審なメールに注意し、メッセージ内のURLや添付ファイルを開かないよう呼びかけています。会員は「メルマガ再開」「アカウント確認」などを口実とした連絡を受けても、メール内のリンクからではなく公式サイトへ直接アクセスして内容を確認するのが安全です。今回の公表を理由に、決済カードの一律再発行やパスワードの一律変更が必要だと案内されたわけではありません。

企業の情報システム・運用担当者にとっては、委託先の調査による情報保護上の結論と、業務システムの復旧状況を分けて管理する事例です。外部委託先に障害が起きた際には、保存データの種類、調査対象の範囲、停止中の機能、代替運用、再開判断の条件をそれぞれ確認する必要があります。

高島屋はオンラインカスタマーセンター（0120-540-980、午前10時～午後8時）で問い合わせを受け付けています。