ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、アンドエスティHDは10月23日、業務サーバーが外部からの不正アクセスを受け、顧客約250万件と取引先約1万件の個人情報が外部に流出した可能性があると発表しました。決済情報やパスワードの漏えいは含まれていないものの、店舗やWEBストアでは会員ポイントの利用が停止されています。
ビジネス＋IT（Yahoo!ニュース）：アンドエスティHD、不正アクセスで顧客約250万件の個人情報が流出した可能性を発表
自社の業務サーバーやネットワークの侵入リスクが気になる場合は、実践的な診断をご検討ください。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人）アンドエスティの顧客情報約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）
- （企業）取引先情報約1万件（会社名、発注先・返品先住所、担当者氏名、電話番号、メールアドレス）
- （企業）アンドエスティHDの業務サーバーおよび停止措置がとられた社内業務システム
- （個人）店舗およびWEBストアにおける会員ポイントの利用機能
- （企業）影響範囲を確認中とされる従業員情報
今すぐ取るべき対応
- （個人）流出した連絡先（メールアドレスや電話番号）を悪用した不審な連絡やフィッシング詐欺に警戒する
- （企業）取引先担当者宛てのなりすましメールや不審な発注・連絡がないか社内で注意を喚起する
- （企業）業務サーバーへの外部ログイン経路を洗い出し、不正アクセス経路の遮断とアクセス制限を再点検する
この記事に出てくる専門用語
- 業務サーバー：企業の日常的な業務処理やデータ管理を行うサーバーです。今回の事案では、このサーバーに対して外部から侵入され、データが抽出されました。
- 個人情報保護委員会：個人情報の適正な取り扱いを確保するために設置されている国の行政機関です。個人データの漏えい事故が発生した際に報告が義務付けられています。
アンドエスティHDの業務サーバーで発生した不正アクセスの経緯
ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、2026年10月22日の午前7時30分頃、アンドエスティHDの複数のサーバーに対して外部から順次ログインの試行、侵入、データの抽出が行われました。同社は午前10時頃に不正な操作を検知し、該当サーバーを隔離する措置をとりました。
同日17時までに不正アクセスの経路は遮断され、社内業務システムも一時停止されました。同社は遮断後に該当経路からのアクセスができないことを確認したと説明しています。侵入の検知から遮断まで迅速に動いていますが、最初の試行から隔離までの約2時間半の間にデータ抽出まで進行していた点が警戒すべき部分です。
私たちペネトレーションテスターの視点では、外部からログインを成功させた直後に複数サーバーへ横展開されている動きから、認証情報の使い回しや特権昇格の経路が存在した可能性が疑われます。
顧客と取引先の個人情報における流出の対象範囲
同社の発表によると、流出の可能性がある顧客情報は約250万件に達します。対象となる項目には、氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDが含まれています。一方で、クレジットカードなどの決済情報や、顧客自身が設定したログインパスワードは流出対象に含まれていないと説明されています。
また、取引先に関する情報も約1万件が流出した恐れがあります。こちらには会社名、発注先や返品先の住所、担当者氏名、電話番号、メールアドレスが該当します。さらに、従業員の情報についても現在該当する範囲の確認が進められています。
パスワードやクレジットカード番号が漏れていない点は不幸中の幸いですが、氏名や電話番号、住所が揃っているため、標的型の詐欺などに転用される危険が残ります。
店舗とWEBストアにおけるポイント利用停止と現在の影響
同社によると、WEBストア「アンドエスティ」自体は今回の不正アクセスの影響を受けておらず、店舗とWEBストアの両方で買い物の利用自体は継続して可能です。ただし、安全措置の一環として、現在は店舗およびWEBストアの双方で会員ポイントの利用ができない状態になっています。
同社は10月23日に警察へ相談を行い、個人情報保護委員会への報告を完了しました。緊急対策の実施と不正アクセス手段の特定・対応はすでに完了したとされ、対象の顧客や取引先への個別連絡や専用窓口の設置が進められています。
サービス全体を止めずにポイント機能だけを切り離して制限している運用から、ポイント管理サーバーまたは連携インターフェースを重点的に保護している様子が読み取れます。
アンドエスティの利用者と取引先が今すぐ確認すべきこと
同社サービスを利用している顧客は、登録しているメールアドレスや電話番号宛てに、アンドエスティや配送業者などを装った不審なメッセージが届かないか注視してください。公式発表の通りパスワードは漏えいしていませんが、念のために推測されにくい文字列への更新を検討しておくとより安全です。
取引先の企業においては、担当者名や発注先住所を悪用したなりすましメールや、偽の請求・納品に関する問い合わせが届くリスクを想定し、関係部署への情報共有を徹底してください。
私たち診断側の視点では、漏えいした連絡先情報を使ったソーシャルエンジニアリング攻撃が後から発生するケースを多く確認しています。公式窓口からの正式な案内があるまで、不審なリンクや添付ファイルは開かずに削除してください。
参考文献・記事一覧
外部からのログイン試行やサーバー間の横展開を防ぐために、システムの侵入経路を網羅的に検証しましょう。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
