ワールド子会社ティンパンアレイ ― 業務サーバーに不正アクセス

要点

ワールドは2026年10月30日、連結子会社ティンパンアレイの業務サーバーが外部から不正アクセスを受け、個人情報が流出したと開示した（ワールド）。
10月17日（土）14時51分ごろに外部からサーバーへ侵入され、データを持ち出す操作が行われた。10月28日（水）12時08分ごろに不正な操作を検知し、サーバーを隔離した（同）。
流出したのは延べ約120万件の会員情報で、項目は氏名、住所、電話番号、生年月日、性別、メールアドレス。クレジットカードなどの決済情報や顔情報の流出は確認されていない（同）。
10月29日に警察に相談し、個人情報保護委員会に報告した（同）。

（考察）侵入からデータの持ち出しまでの流れはランサムウェア集団の二重脅迫の前段と似ているが、発表は暗号化や金銭要求に触れておらず、ランサムウェアかどうかはわからない。

概要

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

時期	出来事
2026-10-17（土）14:51ごろ	外部から業務サーバーへ不正アクセスがあり、データを持ち出す操作が行われた（ワールド）
10-28（水）12:08ごろ	不正な操作を検知し、サーバーを隔離（同）
10-28（水）21:36まで	不正アクセスの経路を遮断し、関連する社内業務システムの一部を停止（同）
10-29（木）	警察に相談し、個人情報保護委員会に報告（同）
10-30（金）	ワールドが適時開示（同）

事実（ワールド、10月30日）

項目	内容
被害を受けた会社	連結子会社ティンパンアレイ（リユース事業）
対象	業務サーバー
件数	延べ約120万件の会員情報（対象者と人数は確認中）
項目	氏名、住所、電話番号、生年月日、性別、メールアドレス
確認されていない情報	クレジットカードなどの決済情報、顔情報
対応	外部の専門機関による調査、Webサイトと個別メールでの通知
業績への影響	精査中

日本経済新聞によると、ティンパンアレイは東京都品川区に本社を置き、リユース店「ラグタグ」を運営している（日本経済新聞）。

考察

開示は侵入時刻を分単位で示しており、ログからデータを持ち出す操作まで確認できていると読める。それでも検知まで11日かかった。侵入が週末の午後だった点も含め、サーバー上の大量のデータ取得を見張る仕組みがなかったか、働かなかった可能性がある（考察）。

「顔情報」の流出が確認されていないと明記している点は珍しい。業務サーバーやその周辺に顔画像を扱うシステムがあったことがうかがえるが、何に使っていたかは書かれていない。

事実（既知の知見）

JPCERT/CCは2026年10月の注意喚起で、既知の脆弱性の探索や、公開WebサーバーからアクセスできるアプリケーションサーバーへのWebシェル設置などを、国内の不正アクセスの類型として挙げた（JPCERT/CC）。

考察

本件の入口は公表されていない。「業務サーバー」が外部に公開されたWebサービスの裏側なのか、社内ネットワーク内のサーバーなのかで、点検すべき場所が変わる。続報で経路が示されるかを確認したい（考察）。