アパレルのアバハウスインターナショナル、会員・EC受注データベースに不正アクセス — 全顧客に影響の可能性、実際の注文内容と一致する「返金」詐欺メールも確認
| 項目 | 内容 |
|---|---|
| 発生日 | 不正アクセス: 2026年9月27日深夜〜9月28日（推定）／端緒となった顧客からの問い合わせ: 2026年9月28日 |
| 公表日 | 2026年10月3日（10月2日に対象顧客へ個別のメール連絡を実施） |
| 対象組織・業界 | 株式会社アバハウスインターナショナル（東京都渋谷区東／メンズ・レディスウェアや服飾雑貨の企画・製造・卸・小売）。侵害されたのは会員情報とEC受注情報を保管するデータベース |
| 影響件数 | 公表されていません。不正アクセスを受けたデータの範囲を完全には特定できていないとしており、同社は漏えいの可能性があると判断した顧客へ個別にメールで連絡しています。すでに退会した顧客も対象に含まれます。漏えいした可能性がある情報は会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文情報（注文日時・商品名・金額・届け先 等）。クレジットカード番号とセキュリティコードは決済代行会社のシステムで管理されており同社のシステムには保存されておらず、現時点でこれらの情報の漏えいは確認されていません |
| 攻撃手法 | 第三者が社内システムに不正にログイン → システムの不備を悪用して不正なプログラムを設置・実行 → 会員情報とEC受注情報を保管するデータベースにアクセス。持ち出された注文情報を使い、同社を装う「返金」「欠品」などを名目とした詐欺メールが顧客へ送信された |
| 情報源 | 株式会社アバハウスインターナショナル「不正アクセスによる個人情報漏えいに関するお詫びとご報告」（2026年10月3日・公式発表）、ITmedia NEWS（2026年10月3日）、日本経済新聞（2026年10月3日）、Fashionsnap（2026年10月3日）、WWDJAPAN（2026年10月3日） |
株式会社アバハウスインターナショナル（東京都渋谷区東／メンズ・レディスウェアや服飾雑貨の企画・製造・卸・小売）は2026年10月3日、同社の社内システムが第三者による不正アクセスを受け、顧客の個人情報が漏えいした可能性があると公表しました。
漏えいした可能性があるのは、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別のほか、注文日時、商品名、金額、届け先などの注文情報です。クレジットカード番号とセキュリティコードは決済代行会社のシステムで管理されており、同社のシステムには保存されていません。現時点で、これらの情報の漏えいは確認されていないとしています。
不正アクセスを受けたデータの範囲は完全には特定できておらず、同社は漏えいの可能性があると判断した顧客へ個別にメールで連絡しています。すでに退会した顧客も対象に含まれます。同社では退会から1か月後に会員情報を削除していますが、法令対応や会計処理のため過去の注文に関する取引記録は一定期間保存しており、これらが不正アクセスの対象になった可能性があるとしています。
今回の事案は、社内の監視ではなく顧客からの問い合わせをきっかけに発覚しました。9月28日、複数の顧客から「注文情報と一致する不審な返金案内メールが届いた」と連絡があり、調査の結果、不正アクセスの痕跡が確認されています。同社を装った「返金」「欠品」などを名目とする不審なメールも確認されており、実際の注文内容と一致する情報が記載されているケースがあります。
- 2026年9月27日深夜〜28日: 第三者による不正アクセスが発生したと推定される期間。社内システムへの不正なログインを起点に、システムの不備を悪用して不正なプログラムが設置・実行され、会員情報・EC受注情報を保管するデータベースへアクセスされたとみられる
- 2026年9月28日: 複数の顧客から「注文情報と一致する不審な返金案内メールを受信した」との問い合わせが寄せられる。同社が調査を開始し、会員情報・受注情報への不正アクセスの痕跡を確認
- 2026年10月2日: 漏えいの可能性があると判断した顧客へ、登録メールアドレス宛てに個別の注意喚起を実施。退会済みの顧客も対象
- 2026年10月3日: 同社がWebサイトで事案を公表
社内システムへの不正なログインを起点として、システムの不備を悪用した不正プログラムが設置・実行され、会員情報とEC受注情報を保管するデータベースへアクセスされたとみられる、というのが同社の説明です。
一方、最初の不正ログインに使われた認証情報がどのように取得されたのか、悪用された「システムの不備」の具体的な内容については公表されていません。現在確認されている不正アクセスの経路はすでに遮断され、同社はこれ以上の影響拡大は確認されていないとしています。
1. ログイン後の不審な操作を監視する
Section titled “1. ログイン後の不審な操作を監視する”正しいIDやパスワードを使われると、ログインそのものは正常な操作に見えます。認証ログの上では通常の利用と区別がつかないため、ログインの成否だけを見ていても異常は浮かび上がりません。
監視の対象をログイン後の行動まで広げます。具体的には、普段は実行されないプログラムの設置と実行、通常とは異なるデータベースへのアクセス、大量のデータ取得といった操作です。これらを記録して平常時の操作と突き合わせておけば、ログインを止められなくても、データが運び出される前の段階で手を打てる可能性が高まります。
2. 顧客が正規の連絡かどうかを確認できる仕組みを用意する
Section titled “2. 顧客が正規の連絡かどうかを確認できる仕組みを用意する”今回確認された不審メールには、実際の注文内容と一致する情報が記載されていました。注文日時や商品名が実際の履歴と合っているため、メールの内容だけで真偽を判断することは難しくなります。
企業側は、返金や欠品といった重要な連絡をどの方法で行うのかをあらかじめ明確にし、顧客がマイページや公式窓口から確認できるようにしておきます。この導線を事案が起きてから初めて伝えたのでは間に合いません。平常時から購入完了メールや会員規約に書いておけば、顧客は不審なメールを受け取った時点で照合する先を持っていることになり、文面の巧拙に関わらず被害を避けられます。
3. 保存する個人情報を必要最小限にする
Section titled “3. 保存する個人情報を必要最小限にする”個人情報や注文履歴を長期間保存するほど、不正アクセスを受けたときの影響範囲も広くなりがちです。今回も、退会から1か月後に会員情報を削除する運用がありながら、法令対応や会計処理のために残していた取引記録が対象になった可能性があるとされています。
保存期間を定め、業務や法令上必要のない情報を削除します。あわせて、どのデータをどこに、どれだけ保存しているかを把握しておけば、調査の初期段階で影響範囲を見積もれるため、件数の公表までの時間も短くなるはずです。
ヤグラの視点 — 「ログインされた後」をどれだけ早く捉えられるか
Section titled “ヤグラの視点 — 「ログインされた後」をどれだけ早く捉えられるか”今回注目したいのは、侵入された後の動きをどれだけ早く捉えられるかという点です。社内システムへの不正ログインを起点に、不正プログラムの設置・実行やデータベースへのアクセスが行われたとみられていますが、異常が明らかになったきっかけは顧客からの問い合わせでした。侵入を知らせたのは社内の監視ではなく、詐欺メールを受け取った顧客だったことになります。
認証情報を盗まれて正規の利用者になりすまされた場合、ログインの成否だけでは異常を見抜けません。正規の認証情報で入られた侵入は失敗ログを残さないため、普段は実行しないプログラムの起動、通常とは異なるデータベースへの接続、大量のデータ取得といった、ログイン後の挙動を複数のログにまたがって見る必要があります。サーバーのプロセス実行履歴、データベースの監査ログ、アプリケーションの操作ログ、ネットワークの通信ログを1か所に集め、「このアカウントがこの時間にこのデータベースへ接続して一括で読み出すのは普段どおりか」を突き合わせる形です。
大量のログを人手だけで確認するのは現実的ではありません。AIで不審な挙動を絞り込み、担当者が早い段階で確認して対応できる状態にしておけば、検知から初動までを数時間〜数日の単位から数分の単位へ縮められます。侵入そのものを完全に防げなくても、データが運び出される前、あるいは顧客へ詐欺メールが届く前に遮断できれば、被害の形は大きく変わります（→ ヤグラ AI SOC）。
今後は、次の点が明らかになるか注目されます。
- 漏えいした可能性がある個人情報の件数と、具体的な対象範囲
- 最初の不正ログインに使われた認証情報の入手経路
- 悪用された「システムの不備」の具体的な内容
- 同社を装う不審な返金メールによる金銭被害の有無
- 詳細な原因調査の結果と再発防止策
同社はすでに個人情報保護委員会へ報告しており、原因と影響範囲の全容が判明次第、再発防止策とあわせて公表する方針です。調査の進展があり次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-04 | 第一報を公開 |
