ペット用品通販のチャーム、本店1号店・2号店への不正アクセスで約23万件が漏えいのおそれ — 判明の翌日に休店

項目	内容
発生日	不正ログインが確認された期間は2026年7月1日〜8月12日。2026年8月11日に不正アクセスを検知
公表日	2026年8月13日
対象組織・業界	チャーム（ペット用品の専門通販「チャーム本店1号店」「チャーム本店2号店」を運営／小売・EC）
影響件数	合計 約23万件（2026年8月13日現在）。氏名、住所、電話番号／FAX番号、生年月日、性別、メールアドレス、所持ポイント数、顧客対応に関する社内記録、ハッシュ値化されたパスワード。クレジットカード情報は含まれない
攻撃手法	第三者による不正アクセス。原因および影響範囲は特定を進めている段階
情報源	チャーム「不正アクセスによるシステム障害発生に関するお知らせとお詫び」（2026年8月13日）、サイバーセキュリティ.com（2026年8月17日）

概要

ペット用品の専門通販を手がけるチャームは2026年8月13日、同社が運営する「チャーム本店1号店」および「チャーム本店2号店」が第三者による不正アクセスを受け、顧客情報の一部が外部に漏えいしたおそれがあると公表しました。

対象は合計 約23万件（2026年8月13日現在）です。漏えいのおそれがある情報は、氏名、住所、電話番号／FAX番号、生年月日、性別、メールアドレス、所持ポイント数、顧客対応に関する社内記録、ハッシュ値化されたパスワードです。クレジットカード情報は含まれていません。

不正ログインが確認された期間は2026年7月1日から8月12日までです。同社は8月11日に不正アクセスを検知し、翌12日午前10時にチャーム本店を休店して受注・出荷を停止しました。他支店についても主要ECモールでの受注・出荷を一時停止しています。

8月13日には個人情報保護委員会および一般財団法人日本情報経済社会推進協会（JIPDEC）への報告を完了しました。ログ解析の結果、不正に参照されたIDを使ったログインや注文は現時点では確認されていないとしています。

経緯

• 2026年7月1日〜8月12日: 不正ログインが確認された期間
• 2026年8月11日: 第三者による不正アクセスを検知
• 2026年8月12日午前10時: チャーム本店を休店し、受注・出荷を停止。他支店も主要ECモールでの受注・出荷を一時停止
• 2026年8月13日: 個人情報保護委員会およびJIPDECへ報告を完了。公表
• 以降: 原因および影響範囲の特定と、システムの安全性確保を継続

原因

判明している事実: 第三者による不正アクセスを受けたことです。原因および影響範囲は特定を進めている段階で、侵入経路は公表されていません。

考えられる原因（推測）

侵入経路は公表されていません。ただし同社は「不正ログインが確認された期間」という言い方をしており、認証を通ったアクセスが繰り返されていたことは読み取れます。他サービスから流出した認証情報を使い回すリスト型攻撃や、管理用アカウントの認証情報の窃取といった経路が候補になりますが、どれかは分かりません。

対象に「顧客対応に関する社内記録」が入っている点は気になります。これは顧客が自分のマイページで見る情報ではなく、社内の管理画面で扱う内容です。侵害されたのが顧客側の機能ではなく管理者側だった可能性があります。

もう一つ、不正ログインが確認された期間が7月1日から8月12日までの約1か月半に及んでいます。その間、異常として拾われることなく続いていたことになります。

対策

組織が学ぶべきこと

1. 顧客対応の社内記録が、漏えい時の対象範囲に入る

今回の対象には、氏名や住所といった登録情報に加えて「顧客対応に関する社内記録」が含まれています。問い合わせの内容やその対応履歴は、登録情報よりも踏み込んだ内容を含むことがあります。個人情報の棚卸しを「顧客が登録した項目」だけで行うと、この範囲が抜け落ちます。

2. ログイン試行の異常を、件数と期間で検知する

不正ログインは約1か月半にわたって確認されています。通常と異なる時刻・接続元からのログイン、短時間での大量試行、成功率の異常な低さ——いずれも記録の上には現れますが、見る仕組みがなければ通り過ぎます。ログイン試行の監視は、認証を強くすることとは別に必要な層です。

3. 事業を止める判断を、早い段階で取れるようにしておく

同社は検知の翌日午前10時に本店を休店し、受注・出荷を停止しています。通販事業者にとって、受注停止は売上の直接的な損失です。その判断を検知の翌日に下せたことは、被害の拡大を止めるうえで有効に働きます。誰がどの条件で事業停止を決められるかを、平常時に決めておく必要があります。

ヤグラの視点 — 影響範囲の特定：約23万件と「カード情報は含まない」を、公表の時点で言えている

この事案の公表内容には、規模の大きさに比して具体的な数字が揃っています。対象は約23万件、不正ログインが確認された期間は7月1日から8月12日、漏えいのおそれがある項目は9種類、そしてクレジットカード情報は含まれない。検知から2日後の公表で、ここまで示せています。

同種の事案では、初報の時点では「個人情報が流出した可能性がある」とだけ述べ、件数も項目も後日の続報に回すケースが少なくありません。区別できない理由は、記録が足りないことにあります。どのアカウントに、いつ、どこからログインされたかを示す記録がなければ、対象は「システム内の全件」まで広がります。本件で7月1日という起点と約23万件という数字が出せているのは、ログイン記録をたどれる状態にあったためと考えられます。

「クレジットカード情報は含まれていません」と明示できている点も、対象者にとっては意味が違います。カードを止めるべきかどうかという、いちばん切迫した判断に答えが出るからです。この一文があるかないかで、23万人が取る行動が変わります。

一方で、侵入経路と原因は特定中のままです。誰がどのアカウントの情報を見たかは記録から言えても、そもそもどうやって入られたかはまだ言えていない状態にあります。認証情報を使った侵入では、認証としては成功しているため失敗の記録も警告も残りません。異常を見分ける材料は、成功したアクセスの中身——接続元、時刻、その後の操作——にしかなく、複数の場所に分散して現れます（→ ヤグラ AI SOC）。約1か月半という期間の長さは、その層の課題を示していると考えられます。

今後の対応

• 侵入経路と原因の特定
• 対象者と対象情報の確定、および個別連絡の実施
• チャーム本店の営業再開時期
• 再発防止策の公表内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-18	2026年8月13日の公表内容および報道をもとに記事を公開