30秒で分かる結論
ペット用品の通信販売大手「チャーム」を運営する株式会社チャームは、2026年8月13日、通販サイト「チャーム本店」が第三者による不正アクセスを受け、顧客情報が外部に漏えいした可能性があると発表しました。同社によると、不正アクセスは2026年8月11日に発生し、8月12日に検知されたとのことです。漏えいのおそれがあるのは、2026年7月1日から8月12日までの間にチャーム本店を利用した顧客の氏名・住所・電話番号・生年月日・メールアドレスなどの情報で、対象件数は同社の発表時点(8月13日)で約23万件にのぼります。クレジットカード情報は対象に含まれていません。同社は個人情報保護委員会および一般財団法人日本情報経済社会推進協会(JIPDEC)へ8月13日付で報告したとしています。原因や侵入経路については、現時点で調査が続けられています。
まず初めに
ペット用のご飯を買っただけなのに、まさか自分の住所と電話番号がどこかに流出しているかもしれない――そう考えると、なんとも締まらない話だ。ネット通販というのは便利さと引き換えに、こういうリスクを常に抱え込んでいる商売なわけだが、それにしても「本店だけ止めて支店は動かす」という判断の速さは、多店舗展開ならではの機敏さと言えなくもない。ただし、原因はまだ「調査中」のまま。とりあえず犬猫のエサは無事に届いたとしても、飼い主の個人情報がどこへ届いているかは、まだ誰にも分からない。※個人の感想です
何が起きているのか
株式会社チャームは、ペット用品を専門に扱う国内大手の通信販売事業者で、公式通販サイト「チャーム本店」を運営しています。同社の公式発表によると、2026年8月11日、チャーム本店(1号店・2号店)が第三者による不正アクセスを受け、8月12日にこれを検知しました。
調査の結果、2026年7月1日から8月12日までの期間にチャーム本店を利用した顧客のお届け先情報などが対象となり、外部に漏えいした可能性があることが判明しました。対象件数は、同社が発表した8月13日時点で約23万件です。漏えいのおそれがある情報には、氏名、住所、電話番号・FAX番号、生年月日、性別、メールアドレス、保有ポイント数、チャームの顧客対応に関する社内記録、そしてハッシュ化された状態のパスワードが含まれます。クレジットカード情報は対象に含まれていないと説明されています。
「ハッシュ化」とは、パスワードを元の文字列に戻せない形式に変換して保存する技術のことで、仮にデータが流出しても、そのままではパスワードそのものは読み取れない仕組みになっている。とはいえ、対策が万全という意味ではない。
同社は、不正アクセスの発覚を受けて2026年8月12日午前10時にチャーム本店の営業を停止し、受注・出荷業務を止めました。一方で、チャーム本店以外の店舗については安全性の確認ができたとして、8月13日から受注を再開し、8月14日からは出荷も再開しています。同社は2026年8月13日付で、個人情報保護委員会および一般財団法人日本情報経済社会推進協会(JIPDEC)へ本件を報告したとしています。
なぜ重要なのか
チャームは、犬・猫・小動物向けのペットフードや用品を幅広く扱う通販サイトとして、多くのペット飼育者に利用されている事業者です。ペット用品のネット通販という、一見セキュリティインシデントとは縁遠く見えるジャンルであっても、会員登録や配送先情報の管理を行っている以上、大量の個人情報を保有しているという点では他の通販事業者と変わりません。
今回の事案は、被害件数が約23万件と大規模である一方、クレジットカード情報が対象に含まれていない点や、パスワードがハッシュ化された状態で保存されていた点など、被害の程度を左右する要素がいくつか明らかにされています。また、チャーム本店のみを対象に営業を一時停止し、他の店舗は継続するという対応は、システムが店舗ごとに一定程度分離されていたことをうかがわせます。
私たちへの影響
チャーム本店を2026年7月1日から8月12日の間に利用したことがある方は、登録しているメールアドレスなどに個人情報保護委員会への報告に関する通知や、チャームからの案内が届いていないか確認することをおすすめします。同社は原因や影響範囲の特定を継続しているとしており、今後追加の情報が公表される可能性があります。
該当する期間にチャーム本店で利用したパスワードを、他のサービスでも使い回している場合は、念のためそれらのパスワードも変更しておくと安心です。身に覚えのないメールやSMSで個人情報の再入力を求められた場合は、それ自体が別の詐欺である可能性もあるため、公式サイトを自分でブックマークなどから開いて確認する習慣が有効です。
初心者が知っておくべきこと
「不正アクセス」とは、本来アクセスする権限を持たない第三者が、何らかの方法でシステムやサーバーに侵入することを指します。侵入の手口には、システムの脆弱性を悪用するものや、盗まれたIDとパスワードを使うものなど、さまざまな種類があります。
「個人情報保護委員会」とは、日本国内で個人情報の適切な取り扱いを監督する国の行政機関です。企業は一定規模以上の個人情報の漏えいが発生した場合、この委員会への報告が法律で義務づけられています。
よくある質問
Q. 自分がチャーム本店を利用していたかどうか忘れてしまいました。確認する方法はありますか? A. チャームの会員ページや、過去の注文履歴を確認することで、対象期間に利用歴があるかどうかを確認できます。心当たりがある場合は、同社からの案内を注意深く確認することをおすすめします。
Q. クレジットカード番号も流出したのでしょうか? A. チャームの発表では、クレジットカード情報は今回の対象に含まれていないとされています。
IT Postの見方
IT Postでは、被害件数の大きさそのものよりも、原因の特定を待たずに迅速な業務停止と情報公開に踏み切った初動対応を、まずは評価すべきだと考えます。多店舗展開する通販事業者にとって、被害が確認された店舗だけを止め、他の営業を継続するという判断は簡単ではありません。誤って被害範囲を狭く見積もれば後で信頼を失いますし、逆に全店舗を止めれば事業への打撃はより大きくなります。
一方で、この種の発表に共通する「原因は調査中」という説明は、利用者からすると歯がゆいものです。IT Postでは、続報でクレジットカード情報以外の何が具体的なリスクとして残るのか(たとえばパスワードの使い回しによる二次被害など)を、事業者側が丁寧に説明する責任があると考えます。※個人の感想です
今後どうなりそうか
チャームは今後、外部専門家などと連携しながら、不正アクセスの原因や侵入経路の特定を進めるとみられます。個人情報保護委員会への報告を踏まえた行政側の対応や、対象となった利用者への具体的な通知の有無も、今後の焦点です。IT Postでは、続報が確認され次第あらためて取り上げます。
