日本脆弱性総合ポータル

アイリスプラザ：公式通販サイトの外部クラウドへの不正アクセスで個人情報が漏えいした可能性

重要度
業務やサービスの停止・約770万人分
公表日
2026.10.29
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 通販サイトが使う外部クラウドに第三者が不正アクセスした。
  2. 保存していた個人情報約770万人分が外部へ漏えいした可能性がある。
  3. 不審なメールや電話には応じず、同じパスワードを他で使う人は変更する。

アイリスプラザが利用する外部クラウドサービスで第三者による不正アクセスが確認され、保管していた個人情報約770万人分が外部へ漏えいした可能性がある。実際の漏えい件数と影響人数は調査中で、ECサイトは停止している。

確認された経路・公表元の推定

  1. 2026年10月28日に外部クラウドサービスで不審なファイルを発見し、アイリスプラザと関連システムを停止した。
  2. 調査により第三者による不正アクセスを確認し、10月29日に第1報を公表した。
  3. 10月29日に警察と個人情報保護委員会へ報告した。
  4. その後の調査で、外部クラウドサービスに保管していたデータが外部へ漏えいした可能性を確認した。
  5. 2026年11月5日の第2報で、漏えいの可能性がある会員約580万人と非会員約190万人の情報を公表した。

根拠の要点

新しい資料は、2026年10月28日に外部クラウドサービスで不審なファイルを発見した後、第三者による不正アクセスを確認したと説明している。保存データの外部への漏えいは「可能性」として確認されたとしており、侵入経路と原因は未公表である。

資料の基準時点：2026年11月5日時点

当時、対策できたのか

判定保留

資料は、侵入経路と原因の特定を進めているとし、原因の特定と再発防止策は今後講じるとしている。既知の脆弱性への未対応や認証設定の例外など対策の欠落を示す記載はなく、発覚時点で未発見だったとの説明もないため、判定を保留した。

公表された対策

  • 不正アクセス経路の遮断など初動対応を実施
  • 2026年10月28日に「アイリスプラザ」および関連システムを停止
  • 10月29日に警察および個人情報保護委員会へ報告
  • 関係機関および外部専門家の協力のもとで調査と対応を進める
  • 漏えいのおそれのあるお客様へ、調査結果を踏まえてメール等で個別に連絡
  • 原因の特定と再発防止策を講じた上で、再開の時期が決まり次第お知らせする
  • SIMPLE STYLEは2026年10月28日よりサイトを停止し、アイリステックサービスの家電サブスクリプションと配送設置サービスも同日よりサイトを停止して新規申込を停止
  • 漏えいのおそれのあるお客様に、他サービスで同じパスワードを使う場合の変更を依頼
  • 案内でパスワードや認証コードを求めないと周知し、不審なメール・SMS・電話や偽サイトへの注意を呼びかけ

この事例を理解するための動画

まだ分からないこと

  • 侵入の経路、攻撃に使われた弱点、原因（資料では特定を進めていると説明）
  • 不正アクセスの開始時期と期間
  • 実際の漏えい件数と影響人数（資料では調査継続中）
  • 保存データが実際に外部へ漏えいしたかどうか（資料では閲覧または取得の可能性を確認と説明）
  • ECサイトの再開時期

関連する事例

同じ原因分類の事例

事例の一覧に戻る