トレジャー・ファクトリーの連結子会社（株式会社トレジャー・ファクトリー）不正アクセスで、個人情報136,464名分が漏えい

要点

何があったの？

2026年10月13日の第三報で、連結子会社への不正アクセスについて、調査の完了と漏えい対象者数の確定を公表しました。^[1]

どこまで影響があるの？

トレジャー・ファクトリーの連結子会社で扱う個人情報が対象です。^[1]

なぜ起きたの？

フィッシングメールを通じてスタッフアカウントの認証情報が盗まれました。二段階認証が設定されていなかったほか、アカウント保護や顧客情報の一括エクスポート権限の設計、監視体制にも課題があったとしています。^[1]

何件・何人？

漏えいした個人情報の対象者は136,464名で、そのうち住所情報を含むものは109,311名と確定しました。^[1]

何がもれたの？

個人情報が漏えいしました。住所情報を含むものは109,311名分です。^[1]

もれていないものは？

クレジットカード情報とECサイトのログインパスワードは含まれていません。^[1]

どう対応しているの？

当該子会社は2026年10月6日付で個人情報保護委員会へ確報を提出し、警察に相談して、被害届の提出に向けた手続きを進めています。全スタッフアカウントにパスキー方式の二段階認証を導入し、アカウントの棚卸しや一括エクスポート権限の限定などを実施しました。グループでは情報セキュリティ対策ガイドラインの整備、CSIRT運営方針の改正、情報セキュリティ連絡協議会の設置、外部ツールの棚卸しなどを進めています。現時点で、本件に起因する個人情報の不正利用など具体的な二次被害は確認されていません。連結業績への影響は軽微で、2027年2月期の連結業績予想に変更はないとしています。専用窓口は株式会社カインドオル（0120-721-616、平日9時～18時）です。^[1]

流出した情報

• 個人情報流出を確認
• 住所情報（109,311名分に含まれる）流出を確認
• クレジットカード情報含まれないと発表
• ECサイトのログインパスワード含まれないと発表

わかっていないこと

• 漏えいした人の具体的な属性や対象となる条件は、資料に記載されていません。
• 不正アクセスが発生した日付は、資料に記載されていません。
• 漏えいした情報の具体的な項目の内訳は、今回の資料には記載されていません。2026年8月28日に公表した内容から変更はないとしています。

経緯

1. 8月28日

   今回の第三報では、漏えいした情報の項目はこの日に公表した内容から変更はないとしています。^[1]

2. 10月6日

   当該子会社が個人情報保護委員会へ確報を提出しました。^[1]

3. 10月13日最新

   第三報で調査の完了と漏えい対象者数の確定を公表しました。^[1]

報道・外部の情報

公式発表にない新しい情報は、まだ報じられていません。

10月13日に確認

出典

1. [1]
   トレファク「当社連結子会社における不正アクセスによる個人情報漏えいに関する 調査結果及び再発防止策について（第三報）」公式発表｜2026年10月13日｜参照 10月13日原文を開く
2. [2]
   トレジャー・ファクトリーの連結子会社「事業内容」組織の紹介（公式サイト）｜参照 10月13日原文を開く

更新履歴

1. 10月13日公開