【続報案内・2026年10月14日更新】この記事は8月18日時点の初報です。9月2日の公式訂正では漏えい確認約37万件とおそれ約2万件、計約39万件とされました。10月7日の公式第4報 は退会済み顧客の情報約2.5万件を対象とし、大部分の漏えいを確認、一部は記録不足でおそれがあると説明しています。第4報は従来の約39万件と合算できるとは示していません。続報：件数の訂正と対象者への案内 も参照してください。
30秒で分かる結論
ペット用品の通信販売大手「チャーム」を運営する株式会社チャームは、2026年8月13日、通販サイト「チャーム本店」が第三者による不正アクセスを受け、顧客情報が外部に漏えいした可能性があると発表しました。同社によると、不正アクセスは2026年8月11日に発生し、8月12日に検知されたとのことです。漏えいのおそれがあるとされたのはチャーム本店の顧客の氏名・住所・電話番号・生年月日・メールアドレスなどの情報で、対象件数は同社の発表時点(8月13日)で約23万件でした。第1報にある2026年7月1日から8月12日は不正ログインの確認期間で、顧客の購入・利用期間による対象者の限定ではありません。クレジットカード情報は対象に含まれていません。同社は個人情報保護委員会および一般財団法人日本情報経済社会推進協会(JIPDEC)へ8月13日付で報告したとしています。8月20日に公表された第2報の時点でも、チャーム本店サイトの再開時期は未定のままとなっています。
まず初めに
ペット用のご飯を買っただけなのに、まさか自分の住所と電話番号がどこかに流出しているかもしれない――そう考えると、なんとも締まらない話だ。ネット通販というのは便利さと引き換えに、こういうリスクを常に抱え込んでいる商売なわけだが、それにしても「本店だけ止めて支店は動かす」という判断の速さは、多店舗展開ならではの機敏さと言えなくもない。ただし、発覚から1週間以上が経った第2報の時点でも本店サイトの再開時期は決まっていない。とりあえず犬猫のエサは無事に届いたとしても、飼い主の個人情報がどこへ届いているかは、まだ誰にも分からない。※個人の感想です
何が起きているのか
株式会社チャームは、ペット用品を専門に扱う国内大手の通信販売事業者で、公式通販サイト「チャーム本店」を運営しています。同社の公式発表によると、2026年8月11日、チャーム本店(1号店・2号店)が第三者による不正アクセスを受け、8月12日にこれを検知しました。
生成AIによるイメージ。実物や実際の画面ではありません。 調査の結果、チャーム本店の顧客のお届け先情報などが対象となり、外部に漏えいした可能性があることが判明しました。第1報に記載された2026年7月1日から8月12日は不正ログインを確認した期間であり、その期間に本店で購入・利用した顧客だけが対象という説明ではありません。対象件数は、同社が発表した8月13日時点で約23万件です。漏えいのおそれがある情報には、氏名、住所、電話番号・FAX番号、生年月日、性別、メールアドレス、保有ポイント数、チャームの顧客対応に関する社内記録、そしてハッシュ化 された状態のパスワードが含まれます。クレジットカード情報は対象に含まれていないと説明されています。
「ハッシュ化」とは、パスワードを元の文字列に戻せない形式に変換して保存する技術のことで、仮にデータが流出しても、そのままではパスワードそのものは読み取れない仕組みになっている。とはいえ、対策が万全という意味ではない。
同社は、不正アクセスの発覚を受けて2026年8月12日午前10時にチャーム本店の営業を停止し、受注・出荷業務を止めました。一方で、チャーム本店以外の店舗については安全性の確認ができたとして、8月13日から受注を再開し、8月14日からは出荷も再開しています。同社は2026年8月13日付で、個人情報保護委員会および一般財団法人日本情報経済社会推進協会(JIPDEC)へ本件を報告したとしています。
なぜ重要なのか
チャームは、犬・猫・小動物向けのペットフードや用品を幅広く扱う通販サイトとして、多くのペット飼育者に利用されている事業者です。ペット用品のネット通販という、一見セキュリティインシデントとは縁遠く見えるジャンルであっても、会員登録や配送先情報の管理を行っている以上、大量の個人情報を保有しているという点では他の通販事業者と変わりません。
今回の事案は、被害件数が約23万件と大規模である一方、クレジットカード情報が対象に含まれていない点や、パスワードがハッシュ化された状態で保存されていた点など、被害の程度を左右する要素がいくつか明らかにされています。また、チャーム本店のみを対象に営業を一時停止し、他の店舗は継続するという対応は、システムが店舗ごとに一定程度分離されていたことをうかがわせます。他の店舗の受注・出荷が数日で再開できた一方、不正アクセスの起点となった本店サイト自体は、8月20日の第2報の時点でも再開されておらず、原因究明や再発防止策の確認に相応の時間がかかっていることがうかがえます。
私たちへの影響
生成AIによるイメージ。実物や実際の画面ではありません。 チャーム本店を利用した方や過去の注文のお届け先として登録された方は、チャームからの個別案内を確認してください。第4報では退会済み顧客も約2.5万件が対象とされました。第1報の不正ログイン確認期間だけを理由に、自分は対象外と判断できません。同社は原因や影響範囲の特定を継続しているとしており、今後追加の情報が公表される可能性があります。
チャーム本店と同一または類似のパスワードを他のサービスでも使っている場合は、異なるパスワードへ変更してください。身に覚えのないメールやSMSで個人情報の再入力を求められた場合は、それ自体が別の詐欺である可能性もあるため、公式サイトを自分でブックマークなどから開いて確認する習慣が有効です。
初心者が知っておくべきこと
「不正アクセス」とは、本来アクセスする権限を持たない第三者が、何らかの方法でシステムやサーバーに侵入することを指します。侵入の手口には、システムの脆弱性を悪用するものや、盗まれたIDとパスワードを使うものなど、さまざまな種類があります。
「個人情報保護委員会」とは、日本国内で個人情報の適切な取り扱いを監督する国の行政機関です。企業は一定規模以上の個人情報の漏えいが発生した場合、この委員会への報告が法律で義務づけられています。
「デジタルフォレンジックでじたるふぉれんじっく 」とは、不正アクセスなどのサイバー攻撃が発生した際に、機器に残された記録を技術的に解析し、原因や被害範囲を明らかにする調査手法のことです。チャームの発表では明言されていませんが、こうした調査には一定の時間がかかるのが一般的で、本店サイトの再開が遅れている背景にも関係している可能性があります。
よくある質問
Q. 自分がチャーム本店を利用していたかどうか忘れてしまいました。確認する方法はありますか?
A. 第1報の7月1日〜8月12日は不正ログインの確認期間であり、購入履歴だけで漏えい対象かどうかを判断できません。退会済み顧客や過去のお届け先も含むため、同社からの個別案内を確認し、不明な場合は公式窓口へ問い合わせてください。
Q. クレジットカード番号も流出したのでしょうか?
A. チャームの発表では、クレジットカード情報は今回の対象に含まれていないとされています。
IT Postの見方
IT Postでは、被害件数の大きさそのものよりも、原因の特定を待たずに迅速な業務停止と情報公開に踏み切った初動対応を、まずは評価すべきだと考えます。多店舗展開する通販事業者にとって、被害が確認された店舗だけを止め、他の営業を継続するという判断は簡単ではありません。誤って被害範囲を狭く見積もれば後で信頼を失いますし、逆に全店舗を止めれば事業への打撃はより大きくなります。
一方で、この種の発表に共通する「原因は調査中」という説明は、利用者からすると歯がゆいものです。発覚から1週間以上が経っても本店サイトの再開時期すら決まらない状況が続いていることを踏まえると、IT Postでは、続報でクレジットカード情報以外の何が具体的なリスクとして残るのか(たとえばパスワードの使い回しによる二次被害など)を、事業者側が丁寧に説明する責任があると考えます。※個人の感想です
今後どうなりそうか
生成AIによるイメージ。実物や実際の画面ではありません。 チャームは2026年8月20日、本件に関する第2報を公表しました。第2報によると、チャーム本店以外の店舗が数日で営業を再開した一方、不正アクセスの起点となったチャーム本店のサイト自体は、発表から1週間以上が経過した時点でも再開時期が未定のままとなっています。同社は、利用者が安心して使える環境を整えることを最優先に、システムの安全性確認と必要な対策を継続していると説明しており、対象となる利用者や具体的な漏えい情報の範囲については判明次第個別に連絡する方針です。IT Postでは、チャーム本店サイトの再開や、原因究明の結果について、続報が確認され次第あらためて取り上げます。(2026年8月22日追記)
