ファンケル・アテニア ― ECサイトに不正アクセス、会員情報流出

要点

発表された事実

株式会社ファンケルと株式会社アテニアは2026年10月16日、10月15日の内部調査で、10月3日（土）から10月10日（土）までの間に両社のECサイトが不正アクセスを受けていたことが判明し、会員情報の一部が外部に漏えいしたと公表した（お詫びとお知らせ）。
対象は、ファンケル会員393,785件・368,184人、アテニア会員441,162件・417,312人（同）。
漏えいした情報は、メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード（ハッシュ化。一部の人が設定する2次パスワード）、本人認証質問項目（回答は含まない）、ポイント情報・会員ステージなどの登録情報（同）。
メインのパスワードと、クレジットカードなどの決済情報は対象外。原因となった機能を特定して停止した。本件以外の不正アクセスやマルウェア感染は確認されていない（同）。
10月16日に個人情報保護委員会と警察に報告・相談した。被害拡大を防ぐため、攻撃の詳細は開示を控えるとしている（同）。

わかっていないこと

原因となった「機能」が何か、どのように悪用されたか
1週間の不正アクセスに、その間気づけなかった理由
2次パスワードのハッシュの方式
対象者への個別連絡の完了時期
二次被害の有無（公表時点では確認されていない）

関係しそうな既知の手口

（考察）「原因となった機能を特定し、その機能を停止した」という説明は、サーバーへの侵入というより、ECサイトの特定の機能が会員情報を返してしまう形で悪用された可能性をうかがわせる。10月の国内では、アプリやWebのAPI・表示機能の悪用による流出が相次いでいる（JPCERT/CC Eyes）が、本件の手口は公表されていない。

概要

化粧品のファンケルと、その子会社のアテニアのECサイトが、10月3日から10日まで1週間にわたって不正アクセスを受け、会員計約78万5千人分の情報が流出した。
連絡先や生年月日のほか、一部の人が設定する「2次パスワード」のハッシュも含まれる。メインのパスワードと決済情報は含まれない。
原因の機能は止めたが、攻撃の詳細は「被害拡大防止のため」開示していない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-03（土）〜10-10（土）	ファンケルとアテニアのECサイトが不正アクセスを受けていた（後の内部調査で判明）
2026-10-15（木）	内部調査で不正アクセスが判明。同日、緊急対策本部を設置。原因となった機能を特定して停止（ファンケル・アテニア）
2026-10-16（金）	個人情報保護委員会と警察に報告・相談。漏えいを公表（同）。親会社のキリンホールディングスも開示（Japan IR）
2026-10-17（土）	共通専用ダイヤル（0120-333-600）を9時に開設（同）

発表内容の整理

事実（ファンケル・アテニアの発表）

項目	内容
攻撃を受けたもの	ファンケルとアテニアのECサイト（両社が管理するシステムの一部）
期間	2026年10月3日〜10月10日
判明	10月15日の内部調査
ファンケル会員	393,785件、368,184人
アテニア会員	441,162件、417,312人
漏えいした情報	メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード（ハッシュ化、一部の人の2次パスワード）、本人認証質問項目（回答は含まない）、ポイント情報・会員ステージ・メールマガジン配信希望の有無・店舗での購入の有無
対象外	メインのパスワード、クレジットカードなどの決済情報
公開・不正利用	不特定多数への公開、不正利用、利用者からの申し出は確認されていない
対応	原因となった機能を特定して停止。事業活動・サービスへの影響なし
攻撃の詳細	被害拡大防止のため開示を控える

事実（報道）

朝日新聞は、対象会員数が両社で計78万5496人に上ると伝えた（朝日新聞）。

考察

件数と人数が分けて書かれているのは、同じ人が複数の会員登録を持っている場合があるからだろう。利用者の数で見れば両社で約78万5千人、レコードの数では約83万5千件になる（考察）。

流出した項目のうち、「本人認証質問項目（回答は含まない）」は、パスワードを忘れたときの「秘密の質問」の、質問の部分だけを指すと読める。回答が出ていなければ直接の悪用は難しいが、どの質問を選んだかがわかると、その人を狙った詐欺の材料にはなりうる（考察）。

関係しそうな既知の手口

事実（既知の知見・同種事例）

JPCERT/CCは10月15日、相次ぐ国内の不正アクセスに関連する攻撃元サーバーの調査で、攻撃者がAndroidアプリの配布ファイルを解析してAPIを特定し、悪用しようとしていた痕跡を確認したと公表した（JPCERT/CC Eyes）。
10月の国内では、会員向けの機能が悪用されて大量の会員情報が閲覧・取得された事案が続いている。たとえばアエナは「機械的な連続アクセス」で会員マイページが閲覧された（記事）、ソースネクストは会員情報取得APIが不正利用された（記事）と公表している。

考察

「機能」の停止で止まったなら、侵入より悪用に近い：サーバーを乗っ取られた場合、機能を1つ止めるだけでは足りないことが多い。両社は「本件以外の不正アクセスおよびマルウェア感染は確認されていない」とも書いている。会員情報を返すECサイトの機能が、本来の使い方とは違う形で大量に呼び出された、という可能性が考えられる。ただし手口は非公表で、確かなことは言えない。
1週間続いた点：10月3日から10日まで続き、判明は15日だった。会員情報の大量の読み出しが、通常のアクセスに紛れて目立たなかった可能性がある（考察）。

利用者・運用者がいまできること

事実（発表に基づく）

漏えいした情報が、なりすましメールやフィッシング詐欺に悪用されるおそれがある。不審なメール・SMS・電話に注意し、心当たりのないリンクや添付ファイルを開かない（お詫びとお知らせ）。
両社がパスワードやクレジットカード情報を尋ねることはない（同）。
定期的にパスワードを更新する（同）。対象者には登録メールアドレス宛に順次連絡がある（同）。
問い合わせは共通専用ダイヤル 0120-333-600（9時〜17時、土日祝日を含む）か center@fancl.co.jp（同）。

考察（利用者向け）

2次パスワードを設定していた人は、同じパスワードを他のサービスで使っていないか確かめ、使っていればそちらを変える。
ファンケル・アテニアを名乗る「ポイント失効」「会員ステージ」「お詫びのクーポン」などのメールに注意する。ポイントや会員ステージの情報も流出しているので、本物らしく見える文面が作られうる。

考察（運用者向け）

会員情報を返す機能やAPIは、1人の利用者が通常は見られない範囲の情報まで返していないか、呼び出し回数に上限があるかを点検する。
「普段より多い会員情報の読み出し」を日単位で検知できるようにしておく。

参考リンク

原文をGitHubで読む ↗