要点
発表された事実
- トレジャー・ファクトリーは2026年10月23日、「出張買取」「トレファク引越」の申込受付や関連業務に使う案件管理システムに第三者による不正アクセスがあり、お客様情報等の一部が外部に不正に取得されたと発表した（トレジャー・ファクトリー）。
- 10月20日にアクセスログを調べた結果、同日未明から朝にかけて、システムの脆弱性を悪用した不正アクセスが行われていた。同日10時30分に案件管理システムへの外部アクセスを止め、11時05分に出張買取・トレファク引越などの申込フォームの受付を止めた（同）。
- 取得されたのは、顧客のメールアドレス74万6277件（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が使う端末に関する氏名・端末識別情報1000件。決済情報は含まれない。店舗とアプリの顧客情報は別のシステムで管理しており、対象外（同、適時開示（PDF））。
- 原因は「データベースへのアクセスに関する脆弱性」が悪用されたこととみている。直近で公表されたPHPの脆弱性とは関係ないことを確認したとしている（トレジャー・ファクトリー）。
- 関連アカウントのパスワード変更、悪用された脆弱性への対策、ログイン機能のセキュリティ強化、監視強化を進め、システムと申込フォームは10月28日をめどに再開する予定。個人情報保護委員会への報告と警察への相談・報告を進めている。二次被害は確認されていない（同）。
- 2026年8月には連結子会社カインドオルで別の不正アクセスがあった。そちらはフィッシングでスタッフアカウントの認証情報を取られたもので、今回とは原因も侵入経路も異なるとしている（同）。
わかったこと
- 【2026-10-29】本件の専用問い合わせ窓口を開設した。電話0120-007-074、平日10時〜18時。対象者には個別にメールで知らせているが、登録メールアドレスの状況や受信設定によって届いていない場合があるとしている（専用お問い合わせ窓口開設のお知らせ）。
わかっていないこと
- 「データベースへのアクセスに関する脆弱性」の具体的な種類（SQLインジェクションなど）と、自社開発か外部製品か
- 顧客のメールアドレスが74万件取られた一方、氏名・住所が11件だけだった理由
- 「端末識別情報」の具体的な中身と、それを使った不正なアクセスの可能性
- 不正アクセスが10月20日未明より前から行われていたかどうか
- 専用の問い合わせ窓口の開設時期（発表時点では準備中）（【2026-10-29追記】10月29日に開設したと公表）
関係しそうな既知の手口
- （考察）申込フォームとつながる業務システムで、データベースへのアクセスに関する脆弱性からデータを抜かれる形は、SQLインジェクションなど入力値の扱いの欠陥で起きる典型的な被害と似ている。JPCERT/CCは国内で相次ぐ不正アクセスについて、NoSQLインジェクションなどの例を挙げて注意を呼びかけている。ただし、トレジャー・ファクトリーは脆弱性の種類を公表していない。
概要
- リユース大手トレジャー・ファクトリーの出張買取・引越サービスの案件管理システムが、脆弱性を突かれて不正アクセスを受け、顧客のメールアドレス約75万件が取られた。
- 2026年8月の子会社の事案に続く、グループで短期間に2件目の情報セキュリティ事案になる。
- システムと申込フォームは10月28日をめどに再開する予定。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-08 | 連結子会社カインドオルで、フィッシングによる認証情報の取得が原因の不正アクセス（トレジャー・ファクトリー） |
| 2026-10-20（火）未明〜朝 | 案件管理システムへの脆弱性を悪用した不正アクセス（トレジャー・ファクトリー） |
| 同 10:30 | 案件管理システムへの外部アクセスを停止（トレジャー・ファクトリー） |
| 同 11:05 | 出張買取・トレファク引越などの申込フォームの受付を停止（トレジャー・ファクトリー） |
| 2026-10-23（金） | 公表と適時開示（トレジャー・ファクトリー） |
| 2026-10-28（水）予定 | システムと申込フォームの再開めど（トレジャー・ファクトリー） |
| 2026-10-29（木） | 専用の問い合わせ窓口（0120-007-074、平日10時〜18時）を開設（専用お問い合わせ窓口開設のお知らせ） |
発表内容の整理
事実（トレジャー・ファクトリーの発表）
| 項目 | 内容 |
|---|---|
| 対象システム | 「出張買取」「トレファク引越」の申込受付や関連業務に使う案件管理システム |
| 顧客 | メールアドレス74万6277件（うち11件は氏名・住所を含む） |
| 取引先業者・従業員等 | 氏名・メールアドレス750件、端末に関する氏名・端末識別情報1000件 |
| 対象外 | 決済情報、店舗とアプリで管理する顧客情報 |
| 原因 | データベースへのアクセスに関する脆弱性の悪用（PHPの脆弱性とは無関係） |
| 対応 | 外部アクセスと申込フォームの停止、パスワード変更、脆弱性対策、ログイン機能の強化、監視強化 |
| 再開 | 10月28日めど |
| 届け出 | 個人情報保護委員会への報告、警察への相談・報告を進めている |
考察
会社は、8月の子会社の事案のあと、二段階認証やアクセス権限、情報の出力権限、監視体制をグループ全体で点検していたと説明している。それでも今回は、アカウントの管理とは別の、外部に公開したシステムの脆弱性から入られた。認証まわりを固めることと、公開システムそのものの欠陥を見つけることは別の対策であり、両方が要ることを示した例だ（考察）。
取得された中心はメールアドレスで、出張買取や引越を申し込んだ人の連絡先にあたる。「買取の見積もり」「引越の日程確認」などを装ったメールは開かれやすく、フィッシングの材料になりうる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月8日（9日更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出した。公開アプリの解析によるAPIのエンドポイントの特定、内部APIの不正な呼び出し、NoSQLインジェクションなどの手口を挙げ、対策を求めている（JPCERT/CC）。
考察
会社は再発防止策として、外部公開システムの脆弱性管理と脆弱性診断、WAFによる防御、アプリケーションとデータベースのセキュリティ対策を挙げている。この並びからは、Webアプリからデータベースへの問い合わせ部分に欠陥があったと読めるが、確かなことは発表を待つ必要がある（考察）。
利用者・運用者がいまできること
- 出張買取やトレファク引越を申し込んだことがある人は、トレジャー・ファクトリーを名乗るメールやSMSのリンクを開かず、問い合わせは公式サイトの連絡先から行う。
- 申込フォームとつながる業務システムを持つ事業者は、そのシステムが外部から直接届く状態になっていないか、入力値をデータベースに渡す部分の診断をしているかを確かめる。