アンドエスティHDは10月23日、業務サーバーへの不正アクセスにより、顧客約250万件の氏名・生年月日・性別・住所・電話番号・メールアドレス・会員IDが外部に流出した可能性があると公表した。クレジットカードなどの決済情報と、利用者が自分で設定したパスワードは含まれていないとしている。
アンドエスティHD 重要なお知らせ (2026年10月23日・経緯・流出の可能性がある項目・問い合わせ窓口)株式会社アンドエスティHD
グローバルワークやニコアンド、ローリーズファームなどのブランドを抱えるアパレル大手のグループで、店舗とWEBストアでは会員ポイントが使えない状態になっている。自分が対象かどうか、公表文で分かることと、まだ分からないことを分けて整理する。
朝7時30分の侵入から、夕方17時の遮断まで
公表文によれば、10月22日(木) の午前7時30分ごろ、外部から同社の複数のサーバーに対して、順にログインの試行、侵入、データの抜き出しが行われた。
- 午前10時ごろ: 不正な操作を検知し、そのサーバーを隔離
- 17時まで: 不正アクセスの経路を遮断し、社内の業務システムを止める。遮断のあと、その経路から入れないことを確かめた
- 10月23日: 警察に相談し、個人情報保護委員会に報告
検知までにおよそ2時間半、遮断の完了までにおよそ9時間半かかった計算になる。同社は、緊急対策と不正アクセスの手段の特定・対応を終えたとしている。WEBストア「アンドエスティ」は今回の不正アクセスの影響を受けていないが、店舗とWEBストアのどちらでも、いまは会員ポイントを使えない。
流出の可能性がある項目と、含まれない項目
10月23日時点で流出の可能性が分かったのは、次の三つの区分だ。
- 顧客: 約250万件。氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID
- 取引先: 約1万件。会社名・発注先や返品先の住所・担当者の氏名・電話番号・メールアドレス
- 従業員: 該当する範囲を確認中
約250万件は「流出の可能性」がある件数で、流出が確かめられた人数ではない。顧客と取引先は別の区分なので、足し合わせて被害の規模と読むこともできない。
含まれないとされたのは、クレジットカードなどの決済情報と、利用者が自分で設定したパスワードだ。カードの不正利用やアカウントの乗っ取りに直結する情報は外れている。ただし残った項目の組み合わせは軽くない。名前と住所、電話番号、メールアドレス、生年月日がそろうと、本人に宛てたもっともらしい連絡を作れる。パスワードは変えれば済むが、住所や生年月日は変えられない。
自分が対象かどうかは、まだ公表文からは分からない
公表文は、どのブランドの、いつからの会員が対象なのかを分けて示していない。同社は、対象の顧客と取引先への連絡を順に始め、本件の問い合わせ窓口も設けていくとしている。連絡がメールで来るのか、郵便で来るのかも、まだ書かれていない。
だからこそ、いま届く「流出のお知らせ」を名乗る連絡は、慎重に扱いたい。本物の連絡が順に届き始めるのと同じ時期に、それを装った連絡も出回りやすい。メールのリンクから開かず、同社のサイトの「重要なお知らせ」欄から公表文をたどって、窓口がどこかを確かめてから動く。問い合わせのフォームは、公表文に support.dot-st.com のアドレスで載っている。
手間もある。会員ポイントがいつから使えるようになるのかは示されていない。店頭でもWEBストアでもポイントを使うつもりだった人は、そのぶん待つことになる。パスワードが外れていても、名前とメールアドレスがそろっていれば、別の会社や別のサービスを名乗る連絡の宛先にもなりうる。
次に見る場所
次に確かめる場所は、アンドエスティHDのサイトにある「重要なお知らせ」欄 (andst-hd.co.jp/news/notice) だ。従業員の情報の範囲、問い合わせ窓口の開設、会員ポイントの再開は、まずそこに出る。手元に届く個別の連絡は、その欄の内容と照らし合わせてから開けばよい。
ことば
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。一定の規模や種類の漏えいが起きた企業は、ここに報告しなければならない。同社は公表の当日、10月23日に報告した。
- 会員ID — 会員サービスで一人ひとりに割り当てられる番号や文字列。単独ではログインできないが、氏名やメールアドレスと組み合わさると、本物らしい連絡を装う材料になる。
名前と住所と生年月日がそろった連絡が届いたとき、あなたは何を見て本物だと判断するだろうか？
