アパレル「アバハウス」などを運営する株式会社アバハウスインターナショナルに不正アクセス。会員・受注データベースから、なぜ全顧客の情報が対象になり得るのか、漏えいの可能性がある情報と対応を確認する
返金の知らせほど心が緩む瞬間はない。「お金が戻ってきます」と言われて冷静でいられる人は少ない。今回の手口が厄介なのは、詐欺メールの中に本物の注文内容が正しく書かれていたことだ。噓をつくにも手間を惜しまない犯罪者の律儀さには、ある意味感心してしまうが、もちろん感心している余裕はない。※個人の感想です
アパレルブランド「アバハウス」などを展開する株式会社アバハウスインターナショナル(東京都渋谷区)は、2026年10月2日、会員情報・EC受注情報を保管するデータベースへの第三者による不正アクセスを公表しました。
不正アクセスがあったとみられるのは9月27日深夜から28日にかけてです。社内システムへの不正ログインを入り口に、システムの脆弱性を突かれて不正なプログラムが実行され、会員情報・受注情報を保管するデータベースへアクセスされたとみられています。9月28日、複数の顧客から「自分の注文内容と一致する、不審な返金案内メールを受け取った」という問い合わせが相次ぎ、同社が調査したところ、会員情報と受注情報の一部に不正アクセスの痕跡が確認されました。
漏えいした可能性がある情報は、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文情報(注文日時・商品名・金額・届け先など)です。クレジットカード番号・セキュリティコードは決済代行会社のシステムで管理されており、こちらの漏えいは確認されていません。データベース全体への不正アクセスの可能性があり、取得された情報の範囲を特定できていないため、同社は会員情報を預かっている全顧客が対象となる可能性があるとしています。確認されている不正アクセスの経路は既に遮断されており、これ以上の被害拡大は確認されていないとのことです。
同社は10月2日、対象となる可能性がある顧客に対し、登録済みのメールアドレス宛に「【重要】お客様の会員情報の不正アクセスによる漏えいの可能性について」という件名で個別に通知しました。
この事案が特に注意を要するのは、攻撃の手口です。漏えいしたとみられる注文情報を使って、実際の注文内容と一致する偽の返金案内メールが送られていた点は、単なる個人情報の漏えいにとどまらず、二次被害につながるフィッシング詐欺に直結していることを示しています。
一般的なフィッシングメールは「心当たりのない注文」を理由にするため見破りやすいですが、本物の注文内容が書かれていると、受け取った側は「本当に自分宛のメールだ」と信じやすくなります。漏えいした個人情報が、別の詐欺の材料として即座に転用される実例として、他の企業・利用者にとっても参考になる事案です。
アバハウス、またはアバハウスインターナショナルが運営する系列ブランドの通販・会員サービスを利用したことがある人は、自分の情報が対象になっている可能性があります。10月2日以降に同社から通知メールが届いていないか、登録しているメールアドレスの受信箱(迷惑メールフォルダも含む)を確認することをおすすめします。
今後、同社やその名前をかたる「返金」「お詫び」などのメールやSMSが届いた場合は、メール内のリンクや記載された電話番号を使わず、公式サイトのマイページで注文履歴を直接確認するか、公式の問い合わせ窓口に自分で連絡して確認してください。注文内容が正しく書かれていても、それだけでは正規のメールである証拠にはなりません。
Q. 自分が対象かどうかを確認する方法はありますか? A. アバハウスインターナショナルは、対象となる可能性がある顧客に対し、登録しているメールアドレス宛に個別通知を送っています。通知の有無をメールの受信箱・迷惑メールフォルダで確認するほか、不明な点は同社の問い合わせ窓口(0120-292-910、平日10:00〜17:00)に確認できます。
Q. 「返金のお知らせ」メールが届いたら、どうすればいいですか? A. メール内のリンクや記載の電話番号は使わず、公式サイトに直接アクセスしてマイページの注文履歴を確認するか、公式の問い合わせ窓口に自分で連絡して事実かどうかを確かめてください。実際の注文内容が正確に書かれていても、正規のメールとは限りません。
IT Postでは、今回のように漏えいした本物のデータを使ったフィッシングが、従来の適当な内容のばらまき型詐欺よりもはるかに厄介な段階に入っていると考えます。これまでは「知らない注文の確認を求めるメール」が来たら怪しいと分かりましたが、自分が確かに買った商品が正しく書かれていたら、疑うハードルは一段上がります。
企業側に求められるのは、漏えいの発表そのものよりも、発表のスピードと、利用者が確認しやすい窓口を用意することだというのがIT Postの見方です。不審な返金メールの報告をきっかけに事態を把握し、同じ週のうちに公表・通知まで進めた対応自体は、評価できる部分だと考えます。※個人の感想です
アバハウスインターナショナルは、不正アクセスの詳しい原因や影響範囲について、調査結果を今後公表するとみられます。IT Postでは、原因の解明や追加の注意喚起があれば、改めて取り上げます。
Microsoftが2026年10月14日に公表した、中国語圏のフィッシングキット販売網の実態。10億通超のメール・SMS、7万5000以上の組織へ送られた攻撃の仕組みをMicrosoft公式ブログから確かめた
Microsoftが2026年9月29日に公表した、ロシア国家系とされる攻撃グループ「Star Blizzard」の新しいマルウェア配布手口「RedFlick」。2026年1月以降の13件の大規模フィッシング、米英の100超の組織への影響、クリック1回で感染する仕組みを確かめた
ローソンが2026年10月8日に発表した「ローソンID」「ローソンアプリ予約」への不正アクセス。215万5,345件という規模と、発生から公表までの経緯を整理する
株式会社ミスターマックスはアプリ・オンラインストアの会員情報の一部流出を確認。最大173万5154人は可能性の対象上限だ。流出していないと確認した項目、公表対応、通知と注意点を整理する
