トレジャー・ファクトリー、不正アクセスで顧客74万6,277件のメールアドレスを不正取得　DBの脆弱性が原因か、8月の子会社被害とは別件

株式会社トレジャー・ファクトリー（東証プライム、証券コード3093）は2026年10月23日、「出張買取」と「トレファク引越」で使用する案件管理システムが第三者から不正アクセスを受け、顧客情報74万6,277件などが外部に不正取得されたと公表しました。顧客情報の大半はメールアドレスで、そのうち11件には氏名と住所も含まれています。取引先業者・従業員などの情報750件と、業務用端末に関する情報1,000件も不正取得を確認しています。

同社は10月20日に攻撃を把握し、案件管理システムへの外部アクセスと関連する申込フォームを停止しました。データベースへのアクセスに関する脆弱性を悪用されたとみており、10月28日を目途に安全確認を行ってサービスを再開する予定です。2026年8月には連結子会社カインドオルでも個人情報漏えいが発生しましたが、同社は両事案の原因と侵入経路が異なると説明しています。

トレジャー・ファクトリー不正アクセスのサマリー

• 2026年10月23日15時30分、同社は案件管理システムから顧客情報などが第三者に不正取得されたと公表しました。
• 10月20日未明から朝にかけて不正アクセスが発生し、同日のアクセスログ調査で発覚しました。
• 顧客情報は746,277件で、対象はメールアドレス。うち11件に氏名・住所も含まれます。
• 取引先業者・従業員などの氏名・メールアドレス750件、氏名・端末識別情報1,000件も取得されました。
• 当該顧客情報にクレジットカード番号、セキュリティコードなどの決済情報は含まれていません。
• 店舗で預かる顧客情報とアプリで管理する顧客情報は別システムにあり、今回の不正取得対象ではないと説明しています。
• 原因はデータベースへのアクセスに関する脆弱性の悪用とみられ、直近公表のPHPの脆弱性との関連は否定しています。
• 10月20日10時30分に案件管理システムへの外部アクセスを停止し、11時05分には出張買取・引越などの申込フォームの受付を停止しました。
• 10月28日を目途に安全確認後の再開を予定していますが、10月23日公表時点で復旧完了したという発表ではありません。
• 8月に発生したカインドオルのフィッシング起点の情報漏えいとは別の侵入経路です。

顧客情報74万6,277件、従業員・取引先情報と端末情報も取得

10月23日の適時開示では、同社が外部への不正取得を確認した情報を3区分で示しています。

3区分を算術的に足すと748,027件ですが、顧客情報、関係者情報、端末に関する情報という異なる管理単位を含むため、74万8,027人の情報が漏えいしたという意味ではありません。また、顧客情報のうち氏名と住所を含む11件は746,277件の内数であり、別途加算するものではありません。

今回不正取得された顧客データに決済情報は含まれていないとしています。一方、顧客のメールアドレスが実際に第三者の手に渡ったため、サービス提供元や買取担当者を装う連絡などに利用されるおそれがあります。氏名・住所を含む11件については、配送・引越しの手続きに関する連絡を装う可能性も考えられますが、10月23日の発表時点で具体的な二次被害は確認されていません。

同社は、店頭で受け付けた顧客の情報や自社アプリで管理している情報は、攻撃を受けた案件管理システムとは別に保管されており、本件による不正取得の対象には含まれないと説明しています。「トレファクのすべての店舗・アプリ利用者の情報が漏えいした」とする扱いは正確ではありません。

10月20日未明に脆弱性を悪用、午前中に外部アクセスと申込受付を停止

トレジャー・ファクトリーが10月20日に案件管理システムのアクセスログを調査したところ、同日未明から朝にかけて第三者による不正アクセスが行われていたことが判明しました。同社は、その際に顧客情報などが不正取得されたと確認しています。

確認後の同日10時30分に案件管理システムへの外部アクセスを遮断し、11時05分には「出張買取」「トレファク引越」などの申込フォームの受付を停止しました。関連アカウントのパスワード変更を実施し、悪用された脆弱性への対策、ログイン機能のセキュリティ強化、不審アクセスの監視強化に着手しています。

外部のセキュリティ専門機関とも連携して原因と影響範囲を調べています。申込受付などの再開は10月28日を目途としていますが、必要な安全対策と確認を終えることが前提です。再開時刻や対象機能については同社の公式案内で確認する必要があります。

原因はデータベースへのアクセスに関する脆弱性と推定　「php2shell」との関連を否定

同社は、今回の不正アクセスの原因を「データベースへのアクセスに関する脆弱性」が第三者に悪用されたためとみています。ただし、脆弱性が存在した具体的なプログラム、CVE番号、入力処理の欠陥、攻撃リクエストの構造などは示していません。

現時点で「SQLインジェクションによる攻撃だった」と断定する根拠はなく、脆弱性の種類を決めつけることはできません。データベースへのアクセス経路を悪用されたという企業の説明と、個別の攻撃技術の特定は分けて扱う必要があります。

また、同社は「直近で公表されているPHPに関する脆弱性」を悪用したものではなく、当該脆弱性との関連がないことを確認したと明言しています。10月21日に修正版が公開されたPHPの重大脆弱性「php2shell」（CVE-2026-109618／CVE-2026-109619）については、セキュリティ対策LabのPHP重大脆弱性の解説記事で整理していますが、本件の原因として結び付けるべきではありません。

8月の子会社カインドオルの漏えい13万6,464名とは別件

トレジャー・ファクトリーグループでは2026年8月にも、連結子会社カインドオルのECサイトで不正アクセスが発生しました。この事案については10月13日の第三報で、顧客13万6,464名の情報漏えいが確定したと公表しています。このうち10万9,311名の情報に住所が含まれていました。

同事案では、ECプラットフォーム運営会社を装うフィッシングメールが従業員に送られ、誘導先の偽サイトでスタッフアカウントの認証情報が入力されました。攻撃者はその情報で管理画面にアクセスし、顧客情報を一括エクスポート。二段階認証が未設定だったことや、重要な操作を検知する監視・権限設計も再発防止の対象になりました。調査結果はカインドオルの個人情報漏えい13万6,464名に関する既報にまとめています。

両事案の違いは次のとおりです。

今回の74万6,277件は、8月の13万6,464名の確定漏えい人数を更新した数値ではありません。異なるシステムと侵入経路で発生した別の事件であり、両者を合算して同一の漏えい被害人数として扱うことはできません。

同社は8月の事案を受け、グループ全体で二段階認証の設定状況、アカウント・アクセス権限、データ出力権限、監視体制を点検してきたと説明しています。今回、別の攻撃経路から再び顧客情報が不正取得されたことを踏まえ、外部公開システムの脆弱性、WAF、アプリケーションとデータベースの保護へと点検範囲を拡大する方針です。

対象者への個別案内を準備、個人情報保護委員会・警察にも報告

トレジャー・ファクトリーは個人情報保護委員会への報告と警察等の関係機関への相談・報告を進めています。対象となる顧客・関係者には必要な情報を個別に案内し、専用のお問い合わせ窓口を設ける準備も進めています。窓口開設後は同社ホームページで案内する方針です。

顧客向けには、出張買取や引越しの見積もり、予約の確認、本人確認を装ったメール・SMSなどに注意してください。心当たりのある依頼でも、メッセージ中のリンク先でカード番号、パスワード、本人確認書類などを入力する前に、公式サイトの案内や従来の連絡先で真偽を確認できます。今回、不審な連絡が実際に発生したと公表されたものではなく、漏えいした情報の種類を踏まえた一般的な注意点です。

取引先業者や従業員の情報には氏名・メールアドレス、端末識別情報が含まれます。業務担当者を狙ったなりすまし連絡や、社内の端末管理に関係する不審な照会に備え、組織内の連絡ルートを共有しておく必要があります。端末識別情報が取得されたことをもって、1,000台の端末が直接侵害されたと判断することはできません。

情報システム部門が点検したい外部公開アプリとDBアクセス

今回のように、認証情報窃取への対策を進めていた組織が別の経路から情報を取得された場合、ID・パスワード管理とアプリケーションの脆弱性管理を別々にせず、業務システムのデータ取得経路まで含めて確認する必要があります。

• インターネットからアクセスできる申込フォーム、管理画面、APIと、それぞれが参照するデータベースの権限を洗い出す。
• 外部公開部分に関する脆弱性診断の対象、修正履歴、診断後の構成変更を確認し、影響の大きい問題を継続管理する。
• WebアプリケーションからDBへアクセスする際の実行権限と、必要以上の一括取得や大量出力が可能な機能を点検する。
• Web、アプリケーション、DBのアクセスログを関連付け、不審な大量照会・外部送信を調査できる状態にする。
• WAF等の遮断策を導入している場合も、実際の攻撃に対する検知範囲と、脆弱性そのものの修正状況を別々に確認する。
• サービス停止を要する場合に備え、顧客への案内、代替の申込手段、復旧判断、外部専門機関との連携を手順化する。

こうした対策の進め方は、セキュリティ対策Labの脆弱性管理の運用プロセスでも整理しています。トレジャー・ファクトリーが公表した対策と、上記の一般的な点検項目は区別して確認してください。

出典

• 当社システムへの不正アクセスによる個人情報漏えいに関するお知らせ（2026年10月23日15時30分）― 株式会社トレジャー・ファクトリー／適時開示（日経会社情報DIGITAL）
• トレジャー・ファクトリー連結子会社・カインドオルの不正アクセスに関する公式発表（2026年8月28日、9月2日追記）
• カインドオルの顧客情報漏えいに関する専用お問い合わせ窓口開設のお知らせ（2026年9月2日）