要点
発表された事実
- ティーエッチエスは、運営するオンラインショップ「ユニコレ」で、第三者からの不正アクセスにより会員の個人情報が外部に漏えいしたと公表した（ユニコレ公式ブログ）。
- 2026年10月18日、サイトのプログラムの不備を突いた不正アクセスが行われ、会員情報が取得された（同）。
- 対象は10月18日時点の登録会員で最大19,468名。氏名・会員ID・メールアドレス・生年月日・電話番号・住所・会社名・業種・勤め先名などが含まれる可能性がある。パスワードおよびクレジットカード情報は漏えいしていない（同）。
- 10月22日に該当プログラムを停止して外部アクセスを遮断し、11月5日にサイトを再開した（再開のお知らせ）。
わかっていないこと
- 「プログラムの不備」の具体的な種別（どの機能・どの欠陥か）。
- 実際に取得された会員数の確定値（最大19,468名のうちどこまでか）。
- 二次被害の有無。
関係しそうな既知の手口
- （考察）ECサイトの自社実装や拡張機能の欠陥を突く侵入は、会員DBの一括取得につながりやすい。パスワードが漏えいしていないとしても、氏名・住所・勤務先名はなりすまし連絡の材料になる。
概要
- 10月22日未明からサイトを一時閉鎖し、システム改修と外部専門機関によるセキュリティ診断を実施した（再開のお知らせ）。
- 対象会員には個別にメールで連絡し、個人情報保護委員会へ報告した（ユニコレ公式ブログ）。
- 再開後も、お気に入り機能や一部の加工受付などは停止・変更されている（再開のお知らせ）。
この記事では、公式発表で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-18 | プログラムの不備を突いた不正アクセスで会員情報が取得された | ユニコレ公式ブログ |
| 2026-10-22 | 該当プログラムを停止し外部アクセスを遮断。サイトを一時閉鎖 | 同 / 再開のお知らせ |
| 2026-11-05 | 会員情報漏えいを公表し、サイトを再開 | 同 |
発表内容の整理
事実（ティーエッチエスの発表による）
| 項目 | 内容 |
|---|---|
| 対象 | 2026年10月18日時点の登録会員（最大19,468名）。退会済み会員は含まれない |
| 漏えいした可能性のある項目 | 氏名・氏名（かな）、会員ID、メールアドレス、生年月日、電話番号、郵便番号、住所、メールマガジン購読の有無、会社名・会社名（かな）、個人／法人の区分、業種、勤め先名 |
| 漏えいしていないと説明 | パスワード、クレジットカード情報 |
| 対応 | プログラム停止・遮断、個別メール連絡、個人情報保護委員会へ報告、改修と外部診断のうえ再開 |
考察
- 「プログラムの不備」とだけ書かれており、脆弱性の種類や悪用手順は分からない。再開済みでも、同種の欠陥が他機能に残っていないかは続報で確認したい。
関係しそうな既知の手口
事実
- 同社は原因を「プログラムの不備を突いた不正アクセス」と説明している（ユニコレ公式ブログ）。
考察
- ECの会員機能や管理系の実装不備は、認証・認可の欠落やパラメータ改ざんで会員情報APIが読まれる事例と重なりやすいが、本件がそれに当たるかは未公表。
利用者・運用者がいまできること
- ユニコレを名乗る不審なメール・SMS・電話に注意する。同社はパスワードやクレジットカード情報を尋ねないとしている。
- 同じメールアドレスを使う他サービスでも、身に覚えのないログインや連絡がないか確認する。
- 運用者は、公開前の診断と、会員情報を返す機能の認可点検を行う。