ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、アイリスオーヤマは2026年11月5日、傘下のアイリスプラザが運営する公式通販サイトへの不正アクセスにより、最大約770万人分の個人情報が漏えいした可能性があると発表しました。対象には会員だけでなく非会員の情報も含まれており、生年月日や暗号化されたパスワードが対象となっています。登録していた利用者は、関連するアカウントでのパスワード使い回しへの対処や、不審な連絡への警戒が求められます。
ビジネス＋IT（Yahoo!ニュース）：アイリスプラザ、最大770万人分の個人情報が流出の恐れ 生年月日やパスワードも対象
自社の外部クラウド環境に不審なファイルや設定の隙がないか不安な場合は、専門家による網羅的な診断をおすすめします。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人）アイリスプラザの会員データ（退会済みを含む）最大約580万人分：氏名、住所、電話番号、メールアドレス、性別、暗号化パスワード、生年月日など（退会者のパスワードは含まれず）
- （個人）会員登録なしで購入やキャンペーン応募を行った非会員データ最大約190万人分：氏名、住所、電話番号、メールアドレス
- （企業）アイリスプラザおよび関連システム、SIMPLE STYLE、家電サブスクリプションサービス、家具家電配送設置サービスなどのWeb受付窓口
今すぐ取るべき対応
- （個人）アイリスプラザに登録していたメールアドレスと同一のパスワードを他のWebサイトやサービスで使い回している場合、該当する他サービスのパスワードを速やかに別の文字列へ変更する
- （個人）漏えいした可能性のある氏名・電話番号・メールアドレスを悪用したフィッシング詐欺や不審な電話、SMSに警戒する
- （企業）利用中の外部クラウド環境において不審なファイルの生成や不審な通信ログがないか点検し、アクセス制御ポリシーを再確認する
この記事に出てくる専門用語
- アイリスプラザ：アイリスオーヤマの傘下企業が運営する公式通信販売サイト。今回、外部クラウドサービスへの不正アクセスによりデータ流出の恐れが公表されました。
- 暗号化パスワード：平文ではなく文字列を復元しにくい形式に変換して保存されたパスワード。流出しても即座に悪用されるわけではありませんが、単純な文字列だと解析されるリスクが残ります。
アイリスプラザで最大約770万人分の情報が漏えいした可能性がある経緯
ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、アイリスオーヤマは傘下のアイリスプラザが運営する公式通販サイト「アイリスプラザ」で、最大約770万人分の個人情報が外部へ漏えいした可能性があることを公表しました。事案の発端は2026年10月28日で、利用していた外部クラウドサービス内に不審なファイルが見つかったことに始まります。
同社は不審なファイルを確認した直後にアイリスプラザおよび関連システムの稼働を停止させ、調査を開始しました。調査の結果として第三者による不正アクセスが判明し、翌日の10月29日には警察および個人情報保護委員会へ報告を行っています。その後、2026年11月5日の第2報において、外部クラウド上に保管していたデータが外部へ流出した可能性があることが公表されました。
私たちのような侵入テストの技術者の視点では、外部クラウドサービス上に不審なファイルが置かれていたという点は、すでに攻撃者による書き込みや侵入が行われていた重大な兆候と捉えます。初期侵入の経路や侵害された具体的な設定については、公表情報では明かされておらず調査中とされています。
会員と非会員で異なる漏えい対象データの内訳
発表された情報によると、対象となり得るデータは約770万人分にのぼり、その内訳は会員データ約580万人分と非会員データ約190万人分に分かれています。会員データには現在利用中の会員だけでなく、過去に退会した利用者の情報も含まれています。
流出した可能性がある具体的な項目は、利用者の登録形態によって異なります。
- 会員データ：氏名、住所、電話番号、メールアドレス、性別、パスワード、生年月日など（退会者のパスワードは含まず）
- 非会員データ：氏名、住所、電話番号、メールアドレス（商品購入者やキャンペーン応募者）
パスワードなどの一部項目は暗号化されていたと説明されています。一方で、クレジットカード情報は当該のクラウドサービスに保管されていなかったため影響を受けておらず、現時点で本件に関係する金銭被害や不正利用の報告は確認されていません。
関連サービスの停止状況とグループ内への影響範囲
今回のインシデントに伴い、アイリスプラザ以外の関連サービスも2026年10月28日から稼働を停止しています。ホームファッション専門店の「SIMPLE STYLE」をはじめ、家電サブスクリプションサービスや家具家電の配送設置サービスなども新規申し込みの受付を止めています。
停止しているこれらの関連サービスにおいては、不正アクセスや情報漏えいは確認されていないと発表されています。また、アイリスプラザ以外に出店している外部ECモール内の店舗でも、不正アクセスや情報漏えいの被害は発生していません。
攻撃を受けた疑いがある段階で周辺の連携サービスまで速やかに遮断したのは、二次被害を防ぐための判断といえます。通販サイトの再開については、根本的な原因の特定と再発防止策を講じた後に告知される予定であり、現時点では未定となっています。
アイリスプラザの利用者がまず確認すべきこと
アイリスプラザを利用したことがある方は、他サービスで同じパスワードを使い回していないかを直ちに確認してください。暗号化されたパスワードであっても、パスワードの文字列が単純な場合は解析される恐れがあります。もし他のネット通販や主要サービスで同一のパスワードを設定している場合は、別の強固なパスワードに変更してください。
また、氏名、電話番号、メールアドレスといった連絡先情報が外部に漏れている可能性があります。アイリスプラザや公的機関、配送業者などを装った不審なメールやSMS、電話が増加するリスクを念頭に置き、記載されたリンクを安易に開かない警戒体制を取ってください。
参考文献・記事一覧
クラウド環境の権限設定や設定不備は外部からの侵入経路になりやすいため、定期的なクラウドペネトレーションテストによる検証が有効です。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
