アエナ公式通販アプリ ― 機械的な連続アクセスで会員情報が閲覧された

要点

発表された事実

株式会社アエナは2026年10月14日、運営する「ECアプリ」に第三者による不正アクセスが発生し、アプリ会員のマイページ情報が不正に閲覧されたことが判明したと公表した（アエナの発表）。
システムログの解析で、会員マイページが不正に閲覧されていたことが10月13日5時58分に判明した。閲覧された可能性のある会員は最大81万7215人で、対象はアプリに個人情報を登録している会員。LINE会員や、Amazon・楽天などで購入した客は対象外（同）。
閲覧された可能性があるのは、マイページに表示される氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、登録されたお届け先の住所・氏名・電話番号（第三者宛を含む）、お気に入り店舗、メール配信設定、登録済みクレジットカードの下4桁・有効期限・カード名義（同）。
発生原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」で、詳しいことは調査中としている（同）。
カード番号の全桁とセキュリティコードは同社のデータベース・サーバー内に保持しておらず流出はない。ログインパスワードの閲覧・流出もない。会員情報の変更、退会手続き、購入の確定操作（決済）は行われていないことを確認したとしている（同）。
ECサイトのアクセスを遮断し、再発防止策を構築中。対象となる可能性のある会員には順次個別にメールで案内している（同）。
【2026-10-16追記】アエナは10月16日、ECアプリ停止に伴いアプリ上で退会できないため、「ECアプリ会員退会専用ページ」を開設したと発表した（アエナのお知らせ）。
【2026-10-17追記】アエナは10月16日、停止中のECアプリについてシステムのセキュリティ強化と改修作業を進めており、最終的な安全性の確認を経て10月19日（月）午後に再開する予定と発表した。進捗によって再開時間は前後する場合がある（アエナのお知らせ）。
【2026-10-19追記】アエナは10月19日、停止期間中にセキュリティ強化と改修作業を進め、すべての安全確認が完了したとして、ECアプリのサービスを同日正午に再開したと発表した。再開後の初回起動時にはパスワードの変更（再設定）画面が自動で表示され、利用者自身で新しいパスワードに変えるよう求めている。情報セキュリティ体制の強化と監視システムの見直しを図るとしたが、改修の具体的な中身は公表していない（アエナのお知らせ）。

わかったこと

【2026-10-16】ECアプリは停止が続いており、退会は専用ページで受け付ける（アエナ）。
【2026-10-17】ECアプリは10月19日（月）午後に再開予定（アエナのお知らせ）。
【2026-10-19】ECアプリは10月19日正午に再開した。初回起動時にパスワードの再設定を求める（アエナのお知らせ）。

わかっていないこと

「機械的な連続アクセス」が、どの機能・APIに対して、どんな不備を突いて行われたか
不正なアクセスがいつ始まり、いつまで続いていたか（判明した日時しか公表されていない）
最大81万7215人のうち、実際に閲覧された人数
攻撃者がログインした状態だったのか（第三者のアカウントを使ったのか、認証なしで他人のマイページに届いたのか）
ECアプリとECサイトの再開時期と、再発防止策の中身（【2026-10-16追記】退会専用ページは開設されたが、サービス再開時期は未公表）（【2026-10-17追記】ECアプリは10月19日午後に再開予定と発表。改修の中身は未公表）（【2026-10-19追記】ECアプリは10月19日正午に再開。改修の中身は引き続き未公表）

関係しそうな既知の手口

（考察）NICTは10月13日、公開されているアプリを解析してサーバーの仕様を調べ、APIの認可不備（IDOR/BOLA）などを突く「A2B攻撃」を国内の情報漏えい事案の原因の一つとして特定したと注意喚起した（NICT）。本件は「アプリ」の「マイページに表示される情報」が「機械的な連続アクセス」で閲覧されたという説明で、この型と矛盾しない。ただし、アエナは手口を公表しておらず、A2B攻撃かどうかはわからない。

概要

化粧品アウトレットのアエナの公式通販アプリで、会員マイページの情報が機械的な連続アクセスで閲覧され、最大81万7215人分に流出の可能性がある。
対象は住所・電話番号・生年月日に加え、第三者宛を含むお届け先、カードの下4桁と有効期限・名義まで、マイページに出ている情報のほぼすべて。
パスワードと決済は無事とされる一方、どこからどう連続アクセスされたのか、いつから続いていたのかはまだ発表されていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
不明	ECアプリで、第三者による不正アクセスを通じた機械的な連続アクセス（アエナの発表。開始時期は未公表）
2026-10-13（火）5:58	システムログの解析で、会員マイページが不正に閲覧されていたことが判明（同）
2026-10-14（水）	公表。ECサイトのアクセスを遮断し再発防止策を構築中とし、対象となる可能性のある会員に個別メールで順次案内（同）
2026-10-16（金）	ECアプリ会員向けの退会専用ページを開設（アエナ）
2026-10-16（金）	ECアプリを10月19日（月）午後に再開する予定と発表。セキュリティ強化と改修作業を実施中（アエナのお知らせ）
2026-10-19（月）正午	ECアプリのサービスを再開。初回起動時にパスワードの変更（再設定）画面を表示（アエナのお知らせ）

発表内容の整理

事実（アエナの発表）

項目	内容
対象サービス	アエナが運営する「ECアプリ」（ITmedia NEWSは「公式通販アプリ」と報じている）
対象者	アプリに個人情報を登録しているアプリ会員、最大817,215人。LINE会員、Amazon・楽天などでの購入者は対象外
閲覧された可能性のある情報	基本情報（氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業）、お届け先情報（登録されているお届け先の住所・氏名・電話番号、第三者宛を含む）、設定情報（お気に入り店舗、メール配信設定）、クレジットカードに関する情報の一部（下4桁、有効期限、カード名義）
閲覧・流出していない情報	カード番号の全桁とセキュリティコード（保持していない）、ログインパスワード
行われていない操作	会員情報の変更、退会手続き、購入の確定操作（決済）
原因	不正アクセスを通じた機械的な連続アクセス。詳細は調査中
対応	ECサイトのアクセスを遮断、再発防止策を構築中、監視を継続
悪用・二次被害	現時点で確認されていない
問い合わせ	お客様専用フリーダイヤル 0120-532-565（9:00〜21:00、土日祝含む）、ec-notice-2026@aena.co.jp

【2026-10-19追記】再開したECアプリを初めて起動すると、パスワードの変更（再設定）画面が出る。画面の案内に沿って新しいパスワードに変える。パスワードは「会員証」＞「会員情報の確認・変更」＞「会員情報の変更」からも変えられる（アエナのお知らせ）。

考察

発表の言葉を順に読むと、取られたのは「マイページに表示される情報」で、手段は「機械的な連続アクセス」、一方で会員情報の変更や決済は「行われていない」。データベースを丸ごと抜かれたというより、会員ごとのマイページの中身を返す仕組みに、大量の問い合わせをかけて1件ずつ集めた形に近く読める（考察）。パスワードが流出していないのに81万人規模が対象になっている点も、ログイン情報を盗んで一人ずつログインしたというより、ほかの会員の情報まで返してしまう経路があった可能性を示唆する。ただし、アエナは手口を公表しておらず、ここは推測にとどまる。

「最大」81万7215人という数字は、閲覧された人数ではなく、アプリに個人情報を登録している会員全体を指していると読める（考察）。ログから実際に閲覧された範囲を絞り込めたかどうかは、続報を待つ必要がある。

もう一つ見落としやすいのが、お届け先情報だ。会員本人ではない、ギフトの送り先などの第三者の住所・氏名・電話番号も含まれる。この人たちはアエナの会員ではないので、個別メールの案内も届かない可能性がある（考察）。

関係しそうな既知の手口

事実（既知の知見）

NICTの脅威情報分析チームは10月13日、公開アプリを解析してAPIの接続先や仕様を調べ、バックエンドサーバーに合わせた攻撃を行う「A2B攻撃（App-to-Backend Attack）」を、国内の情報漏えい事案の原因の一つとして特定したと発表し、APIの認可不備（IDOR/BOLA）などの点検を求めた（NICT CYNEX）。
JPCERT/CCは10月8日の注意喚起で、公開しているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定する手口や、画面操作では実行できない内部APIへの攻撃を「API経由での不正な操作」として示した（JPCERT/CC、注意喚起の整理記事）。
会員アプリの裏側の仕組みが突かれた国内事例として、ローソンIDではアプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えいし（ローソンIDの記事）、DCMの「マイボ」では会員情報管理システムへの多数のアクセスで419人分が漏えいした（マイボの記事）。

考察

「表示する仕組み」は、取り出す仕組みにもなる：マイページは本人に本人の情報を見せるための画面だが、裏側では「この会員の情報をください」という問い合わせにサーバーが答えている。その問い合わせに対して、相手が本人かどうかをサーバー側で確かめていなければ、会員番号を変えながら機械的に聞き続けるだけで全員分が集まる。ローソンID、マイボ、本件と、説明の言葉が似た事案が同じ週に並んでいる。
カードの下4桁と有効期限は、詐欺の「本物らしさ」になる：全桁がなくても、「末尾1234のカード（有効期限○/○）の決済に問題があります」と書けば、受け取った人には本物の連絡に見える。住所・電話番号・生年月日もそろっているので、メールだけでなく電話やSMSでの詐欺にも使える。

利用者・運用者がいまできること

事実（発表に基づく）

アエナや公的機関、金融機関を名乗る不審なメール、電話、SMSに注意し、身に覚えのない送信元からのメール本文中のURLはクリックしない。
アエナからメール、SMS、電話でパスワードやクレジットカード情報を尋ねることはない。
不安な点は、お客様専用フリーダイヤル（0120-532-565）か ec-notice-2026@aena.co.jp に問い合わせる。

考察（利用者向け）

カードの下4桁や有効期限を示して「確認」を求める連絡は、まず疑う。カード会社への確認は、カード裏面の番号に自分でかける。
アプリにギフトの送り先などを登録していた場合は、その相手にも、本件で住所や電話番号が閲覧された可能性があることを伝えておく。
パスワードは流出していないとされているが、メールアドレス・電話番号・生年月日がそろうと、ほかのサービスで本人確認を装う手口に使われる余地がある。主要なアカウントでは多要素認証を有効にしておく。

考察（運用者向け）

会員アプリのマイページや会員情報を返すAPIで、他人の会員番号やIDを指定して情報が返らないか（認可の確認がサーバー側にあるか）を点検する。
1つの送信元やトークンから多数の会員の情報を引くアクセスに、件数の上限とアラートを設ける。JPCERT/CCも単位時間あたりのリクエスト件数の制限を挙げている。
マイページに表示する必要のない情報（カードの有効期限や名義など）を、APIの応答に含めていないか見直す。画面に出していない項目でも、応答に含まれていれば取られる。

参考リンク

原文をGitHubで読む ↗