日本脆弱性総合ポータル

トレジャー・ファクトリー：案件管理システムへの不正アクセスで顧客情報などが外部に取得された

重要度
業務やサービスの停止・1,000件
公表日
2026.10.23
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. 案件管理システムに不正アクセスされ、顧客情報などが外部に取得された
  2. データベースへのアクセスに関する脆弱性を悪用されたとみられる
  3. 心当たりのないメールやSMSのURLを開かないよう注意を呼びかけ

トレジャー・ファクトリーは、出張買取やトレファク引越の申込受付などに使う案件管理システムへの不正アクセスを公表した。第三者が脆弱性を悪用し、お客様情報等の一部が外部に不正取得された。取引先業者・従業員等の氏名・メールアドレス750件と、端末に関する氏名・端末識別情報1,000件も不正取得された。店舗やアプリの顧客情報は別システムのため対象外とされている。現時点で個人情報の不正利用などの二次被害は確認されていない。

確認された経路・公表元の推定

  1. 2026年10月20日未明から朝にかけて、データベースへのアクセスに関する脆弱性を第三者が悪用し、案件管理システムに不正アクセスした
  2. 同日10時30分に案件管理システムへの外部アクセスを停止し、11時05分に申込フォームの受付を停止した
  3. 不正アクセス確認後、関連するアカウントのパスワードを変更した
  4. お客様情報等の一部が外部に不正取得されたと確認し、個人情報保護委員会と警察等への報告・相談を進めている

根拠の要点

公表元は、アクセスログの調査で2026年10月20日未明から朝に脆弱性を悪用した不正アクセスを確認したとしている。原因はデータベースへのアクセスに関する脆弱性と「みて」おり、詳細は調査中と説明している。直近公表のPHPの脆弱性とは関連がないことを確認したとされる。前回のグループ会社の事案（フィッシングによる認証情報の取得）とは原因と侵入経路が異なるとしている。資料には脆弱性が製品由来か自社の実装によるものかの記載はない。

資料の基準時点：2026年10月23日公表の資料に書かれた現時点

当時、対策できたのか

判定保留

悪用された脆弱性への対策を進めていると書かれているが、修正の完了時期や攻撃時点の防御状態は書かれていない。詳細な原因は外部のセキュリティ専門機関と調査中とされているため、判定を保留した。

公表された対策

  • 悪用された脆弱性への対策、ログイン機能のセキュリティ強化、不審なアクセスの監視強化を進めている
  • 関連するアカウントのパスワードを変更した
  • 安全対策と確認を実施したうえで、2026年10月28日を目途にシステムと申込フォームを再開する予定
  • グループ全体で、外部公開システムの脆弱性管理・脆弱性診断、WAF等による防御、アプリケーション及びデータベースのセキュリティ対策を含む管理体制を強化する
  • 前回事案を受けて、二段階認証の設定状況やアカウント・アクセス権限管理などをグループ全体で点検・強化してきた
  • 対象となるお客様へ個別に案内する予定
  • 不審なメールやSMSのURLを安易に開かず、不審な電話は相手の公式な連絡先を自ら確認するよう呼びかけている

この事例を理解するための動画

まだ分からないこと

  • 顧客情報のうち、どの項目が取得されたか（資料の本文に項目の記載がない）
  • 悪用された脆弱性の詳細と、製品由来か自社の実装によるものかの区別
  • 詳細な原因と影響範囲（外部のセキュリティ専門機関と調査中）
  • 不正取得された情報がフィッシングメール等の不正な連絡に使われたかどうか

同じ会社の記事

トレジャー・ファクトリーの事例をすべて見る

関連する事例

同じ原因分類の事例

事例の一覧に戻る