要点
発表された事実
- アイリスプラザは、利用する外部クラウドサービスへの第三者による不正アクセスにより、保管していた個人情報が外部へ漏えいした可能性があると公表した（アイリスオーヤマ 第2報）。
- 保存データの総数は約770万人分（会員約580万人、非会員約190万人）。現時点で閲覧または取得された可能性を確認しているが、実際の漏えい件数は調査中（同）。
- 会員データには氏名・住所・電話番号・メールアドレス・性別・パスワード（暗号化、退会者を除く）・生年月日などが含まれる可能性がある（同）。
- クレジットカード情報は当該クラウドに保存されておらず、影響を受けていない（同）。
わかっていないこと
- 外部クラウドサービスの名称。
- 不正アクセスの侵入経路・原因。
- 実際に閲覧・取得された件数と影響人数。
- 「アイリスプラザ」および関連サイトの再開時期。
関係しそうな既知の手口
- （考察）ECの会員・受注データを外部クラウドに置く構成では、クラウド側の認証侵害や設定不備で大量の個人情報が一括で対象になりやすい。
概要
- 2026年10月28日、外部クラウドサービスで不審なファイルを発見し、「アイリスプラザ」と関連システムを停止して調査した（アイリスオーヤマ 第2報）。
- 10月29日に第1報を公表し、警察および個人情報保護委員会へ報告した（同 / 第1報）。
- SIMPLE STYLE やグループのサブスク・配送設置サービス等も10月28日から停止しているが、これらでは不正アクセス・情報漏えいは確認されていない（第2報）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-28 | 外部クラウドで不審なファイルを発見。「アイリスプラザ」等を停止し調査開始 | 第2報 |
| 2026-10-29 | 第1報を公表。警察・個人情報保護委員会へ報告 | 第1報 |
| 2026-11-05 | 第2報。約770万人分の漏えい可能性を公表し、個別連絡を開始 | 第2報 |
発表内容の整理
事実（アイリスプラザの第2報による）
| 分類 | 対象項目 | 人数 |
|---|---|---|
| 会員データ（退会済み含む） | 氏名、住所、電話番号、メールアドレス、性別、パスワード※、生年月日等 | 約580万人 |
| 非会員データ（会員登録なしの購入者・キャンペーン応募者等） | 氏名、住所、電話番号、メールアドレス | 約190万人 |
※パスワードを含む一部項目は暗号化。退会者のパスワードは除く。全員に全項目が含まれるわけではない。
- 実際の漏えい件数・影響人数は調査中。
- 外部ECモール上の同社店舗では、本件に関する不正アクセス・情報漏えいは確認されていない。
- 現時点で本件に起因する不正利用や金銭被害の報告はない。
- サイト再開は、原因特定と再発防止策の実施後。時期は未定。
考察
- 「不審なファイル」の発見から侵入が判明した経緯は、クラウド上へのツール設置やデータ持ち出しの痕跡を見たと読むこともできるが、公式には種類が示されていない。
- 暗号化パスワードでも、弱いハッシュであればオフライン解析の対象になりうる。方式は未公表。
関係しそうな既知の手口
事実
- 同社は手口を「外部クラウドサービスへの不正アクセス」と説明し、経路の詳細は公表していない（第2報）。
考察
- 近年の国内事例でも、業務用クラウドやオブジェクトストレージの認証情報流出・共有設定不備から会員DB相当のデータが持ち出される例がある。本件がそれに当たるかは不明。
利用者・運用者がいまできること
- 対象となりうる人：同一パスワードを他サービスで使っている場合は変更する。アイリスプラザを装うメール・SMS・偽サイトに注意する。同社は案内でパスワード等の入力を求めないとしている。
- 運用者：外部クラウドに置く個人情報の棚卸し、アクセスキーのローテーション、公開バケットや過剰権限の点検を行う。