要点
発表された事実
- アンドエスティHDは2026年10月23日、10月22日午前7時30分ごろから複数のサーバーに対して順にログイン試行、侵入、データの持ち出しが行われたと発表した。午前10時ごろに不正な操作に気づいてサーバーを切り離し、17時までに侵入経路を遮断し、社内の業務システムを止めた（アンドエスティHD、適時開示（PDF））。
- 漏えいのおそれがあるのは、顧客情報約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）、取引先情報約1万件（会社名、発注・返品先住所、担当者名、電話番号、メールアドレス）、従業員情報（範囲は確認中）。決済情報と利用者が設定したパスワードは含まれない（同）。
- 10月23日に警察へ相談し、個人情報保護委員会へ報告した。緊急対策と攻撃手法の特定は完了したとしている（同）。
- Webストア「アンドエスティ」自体への影響はないとしているが、店舗とWebストアで会員ポイントが使えない（同）。Webストアの告知では、ポイントを使った注文、ポイントの表示、一部商品、店舗受け取り・試着サービス、dアカウント・楽天IDの連携が制限され、パスワードの再設定を勧めている（and ST お知らせ）。
わかったこと
- 【2026-10-25】会員ポイントの一部再開：Webストア「アンドエスティ」の告知（10月24日17時45分更新）によると、10月24日15時にWebストアでのポイント利用と保有ポイントの表示、dアカウント・楽天IDとのID連携が復旧した。実店舗でのポイント利用、店舗受け取りと試着サービスは停止が続いている。メンテナンス期間中の購入で付くポイントは後日反映、期間中に失効したポイントは後日補填する予定（アンドエスティ Webストアのお知らせ）。
- 【2026-10-26】実店舗でのポイント利用も再開：Webストアの告知（10月26日10時20分更新）では、復旧済みの機能として「ポイント利用（店舗・オンラインストア共に）」、保有ポイントの表示、ID連携を挙げ、停止中は店舗受け取りサービスと試着サービスだけになった。注文商品の発送は順次進めているが、通常より日数がかかったり指定日時に届かなかったりする場合があるとしている（アンドエスティ Webストアのお知らせ）。
- 【2026-10-30】店舗受け取り・試着サービスも再開：Webストアの告知（10月28日12時更新）で、店舗受け取りサービスと試着サービスを10月28日12時に再開したと案内した。メンテナンス中の購入で付く予定のポイントは順次反映し、メンテナンス中に失効したポイントは11月上旬ごろに補填する予定（アンドエスティ Webストアのお知らせ）。
- 【2026-11-05】顧客の件数を約274万件に修正：11月4日の調査結果で、流出の可能性がある顧客の個人情報は当初の約250万件から約274万件に増えた。項目は変わらず、決済情報や本人設定のパスワードは含まれない（アンドエスティHD 11月4日発表）。
- 【2026-11-05】従業員情報は約24,000件：2013年6月〜2022年11月のグループの社会保険加入者（退職者の一部を含む）の氏名、住所、電話番号、生年月日などと社会保険の算出情報。マイナンバーなどの特定個人情報、要配慮個人情報、金融機関口座情報は含まれない（同）。
- 【2026-11-05】11月4日から対象の顧客に順次メールで個別に連絡し、専用窓口（0120-668-043、11月4日〜30日の平日10〜17時）を設けた。店舗とWebストアは通常どおり運営している（同）。
わかっていないこと
- 最初の侵入口（どのサーバー・どのアカウント・どの脆弱性から入ったか）と、「特定した」とする攻撃手法の中身
- ログイン試行に使われた認証情報の出どころ（推測か、流出したものか）
- 実際に持ち出されたデータの範囲（発表は「漏えいのおそれ」）（【2026-11-05追記】11月4日の調査結果でも「流出の可能性」との表現で、顧客は約274万件、従業員は約24,000件とした）
従業員情報の範囲と件数（【2026-11-05追記】約24,000件。2013年6月〜2022年11月のグループの社会保険加入者で、退職者の一部を含む）- 社内業務システムと、実店舗での会員ポイント利用・店舗受け取り・試着サービスの復旧時期（【2026-10-25追記】Webストアでのポイント利用は10月24日15時に再開）（【2026-10-26追記】10月26日10時20分の更新で、実店舗でのポイント利用も再開済みとされた。店舗受け取り・試着サービスと社内業務システムの復旧時期は未公表）（【2026-10-30追記】店舗受け取り・試着サービスは10月28日12時に再開した。社内業務システムの復旧状況は未公表）
- ランサムウェアや脅迫の有無（発表では触れていない）
関係しそうな既知の手口
- （考察）朝の時間帯に複数のサーバーへ順にログインを試し、侵入してデータを持ち出すという流れは、1台目で得た権限や認証情報を使って社内のネットワークを横に広がっていく攻撃に見られる形だ。ただし、アンドエスティHDは侵入の起点も手法も公表していない。
概要
- アパレル大手アンドエスティHDで、社内の複数のサーバーに侵入され、会員約250万件の個人情報が漏えいしたおそれがある。
- 侵入からおよそ2時間半で気づいてサーバーを切り離したが、データの持ち出しは行われた。
- 業務システムを止めた影響で、店舗とWebストアの会員ポイントが使えなくなっている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-22（木）7:30ごろ | 複数のサーバーに対し、順にログイン試行・侵入・データの持ち出しが始まる（アンドエスティHD） |
| 同 10:00ごろ | 不正な操作に気づき、サーバーを切り離す（アンドエスティHD） |
| 同 17:00まで | 侵入経路を遮断し、社内の業務システムを停止（アンドエスティHD） |
| 2026-10-23（金） | 警察に相談、個人情報保護委員会に報告。公表と適時開示（アンドエスティHD） |
| 2026-10-24（土）15:00 | Webストアでのポイント利用、保有ポイントの表示、ID連携が復旧。実店舗でのポイント利用と店舗受け取り・試着は停止継続（Webストアのお知らせ、17:45更新） |
| 2026-10-26（月）10:20 | Webストアの告知が更新され、ポイント利用は店舗・オンラインストアともに再開済みと案内。停止中は店舗受け取り・試着サービスのみ（Webストアのお知らせ、10/26 10:20更新） |
| 2026-10-28（水）12:00 | 店舗受け取りサービスと試着サービスを再開。メンテナンス中に失効したポイントは11月上旬ごろ補填予定と案内（Webストアのお知らせ、10/28 12:00更新） |
| 2026-11-04（水） | 調査結果を公表。顧客は約274万件、従業員は約24,000件と判明。個別メール連絡を始め、専用窓口を設置（アンドエスティHD 11月4日発表） |
発表内容の整理
事実（アンドエスティHDの発表）
| 項目 | 内容 |
|---|---|
| 顧客情報 | 約250万件：氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID |
| 取引先情報 | 約1万件：会社名、発注・返品先住所、担当者名、電話番号、メールアドレス |
| 従業員情報 | 範囲を確認中 |
| 含まれないもの | 決済情報、利用者が設定したパスワード |
| 対応 | サーバーの切り離し、侵入経路の遮断、業務システム停止。緊急対策と攻撃手法の特定は完了 |
| サービスへの影響 | 店舗・Webストアで会員ポイントが使えない。Webストアではポイント注文、店舗受け取り・試着、dアカウント・楽天ID連携などを制限 |
| 届け出 | 警察に相談、個人情報保護委員会に報告 |
考察
この件は、侵入が始まってから気づくまで約2時間半、遮断と業務停止まで約10時間という時間が示されている点で、ほかの多くの発表より具体的だ。気づくのは早かったが、その間に複数のサーバーへ広がり、データの持ち出しまで進んでいる。攻撃側が侵入後すぐに持ち出しを始める速さを示す例と言える（考察）。
漏えいのおそれがある顧客情報は、氏名・生年月日・住所・電話番号・メールアドレスがそろっている。パスワードは含まれないとされているが、これだけそろうと、アンドエスティやブランドを名乗るフィッシングの材料として使いやすい（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月8日（9日更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出し、侵入の手口や対策を挙げている（JPCERT/CC）。
考察
「ログイン試行」から始まっていることから、外部に開いたサーバーやリモート接続の入口に対して認証情報が試された可能性がある。もしそうなら、多要素認証の有無やアカウントの管理が焦点になる。ただし、会社は最初の侵入口を明らかにしておらず、JPCERT/CCが挙げた手口との関係もわからない（考察）。
利用者・運用者がいまできること
- アンドエスティの会員は、会社からの案内に沿ってパスワードを再設定する。同じパスワードを他のサービスで使っている場合はそちらも変える。
- アンドエスティや同社のブランドを名乗るメール・SMSのリンクからログインしない。
- 社内サーバーを運用する組織は、短時間に複数のサーバーへ続けてログインする動きを検知できるか、検知から切り離しまでの手順が決まっているかを確かめる。