第1報約23万件から9月2日訂正の計約39万件までの経緯と、10月7日第4報の退会済み顧客約2.5万件を合算せずに整理した
23万、43万、39万。数字だけ並べれば、読み手に暗算を頼む記事になる。だが、件数が減った理由と、何を数えた値なのかを落とせば、正しい足し算でも説明は間違う。IT Postでは、発表日と「確認」「おそれ」の札をそろえることが必要だと考える。電卓に説明責任まで任せない。※個人の感想です
チャームの公式第4報は、退会済み顧客の情報約2.5万件を対象としています。大部分は漏えいを確認し、記録が限られる一部は漏えいのおそれがあると説明しています。退会済み顧客への第三者による不正ログインは確認されていません。対象者の多くに個別通知済みですが、連絡先の確認が必要な一部には通知を続けています。本店サイトの再開方針と時期は準備が整い次第案内するとしています。第4報は、この約2.5万件を従来の計約39万件へ加算できるとは示していません。以下の約39万件と件数の変遷は、第3報と9月2日訂正までの説明です。
チャームは8月12日に不正アクセスを検知し、関連サーバーへのアクセスを遮断しました。8月13日の第1報では、個人情報が漏えいしたおそれのある対象を約23万件と説明しています。
| 公表時点 | 漏えい確認 | 漏えいのおそれ | 説明された対象 |
|---|---|---|---|
| 8月13日・第1報 | 確認件数の内訳なし | 約23万件 | 当時確認できた範囲の見込み |
| 9月1日・第3報の訂正前 | 約39万件 | 約4万件 | 計約43万件 |
| 9月2日・第3報の訂正後 | 約37万件 | 約2万件 | 計約39万件 |
9月2日更新の公式第3報は、対象データの追加確認・精査で一部重複が判明したため、件数を見直したと説明しています。新たな漏えいが判明したことによる修正ではありません。
第1報の約23万件と、訂正後の計約39万件は、調査時点と内訳が異なる値です。期間中に新たな漏えいがその差分だけ発生したという意味ではありません。また、今回読んだ公式資料から「3度の訂正」という回数は確認できません。発表された件数の変化と、9月2日に明示された訂正を分けて扱います。
第3報では、第三者による不正ログインが確認された利用者は239名です。情報の対象「件数」と、アカウントの不正ログインを確認した「人数」を足し合わせて被害人数に換算することはできません。
同社は、不正ログインに使用されたメールアドレスとパスワードの入手経路は特定に至っていないと説明しています。対象情報にパスワードのハッシュ値が含まれることと、239名への不正ログインの原因は別の確認事項です。ハッシュ値が解析された、他サービスのパスワードが流用された、と今回の事案の原因を断定する根拠にはなりません。
第1報の7月1日〜8月12日は、不正ログインが確認された期間です。その期間に買い物をした利用者だけが情報漏えいの対象だという説明ではありません。
第3報は本店利用者に加え、過去の注文でお届け先として登録された人の情報も、漏えい確認・おそれの対象に含むとしています。第3報時点では、退会済みの利用者も対象となる可能性があり、その範囲を確認中としていました。10月7日の第4報では退会済み顧客の情報約2.5万件が対象と示されました。
第1報の対象項目は氏名・住所・電話番号・FAX番号・生年月日・性別・メールアドレス・ポイント数・顧客対応の社内記録・パスワードのハッシュ値です。同社はクレジットカード情報を含まないと説明しています。ただし、実際に漏えい・閲覧された内容は人ごとに異なり、個別通知で案内するとしています。
対象者への個別通知は9月2日から順次開始すると発表されています。10月5日に確認した公式お知らせ一覧の最新掲載は9月2日の訂正で、通知完了日を示す案内は確認できませんでした。
同社は、直接連絡できないお届け先の人がいる場合、可能な範囲で事案を伝えるようお願いしています。通知の内容や対象の確認は、公式第3報の問い合わせ窓口を利用できます。
公式のパスワード案内は次の二つです。原因を確定した説明ではなく、不正ログイン防止のための依頼として示されています。
10月5日10:41（日本時間）の公式トップページは、本店1号店・2号店を休止中と表示し、電話注文を受け付けています。注文方法は公開表示の確認であり、IT Postが注文・在庫・配送を試した結果ではありません。
対象者、通知、注文方法をまとめて確認したい人は、第3報の記事を更新した確認ガイドへ進めます。本記事は件数の変遷と、数字から読み取れる範囲を中心に扱います。
IT Postでは、重複を除いて過大な件数を修正したことは評価できると考える。ただし、合計だけを追いかけると「漏えい確認」と「おそれ」、情報の件数と不正ログインの人数まで一つの箱に入ってしまう。大きな数字の箱は目立つが、確認する側には中身の仕分けが必要だ。
原因が未特定なら、その札も外さない。239名という結果から認証情報の入手経路まで決めつけず、個別通知と公式の案内につなぐ。電卓の正確さと、説明の正確さは別の仕事だ。※個人の感想です
第4報の追記を「まず初めに」の後へ移し、記事構成を調整しました。
件数変遷の説明を保ち、10月7日第4報の退会済み顧客約2.5万件と通知状況を別に追記しました。9月2日の計約39万件と合算しません。
公式資料で確認できない「3度の訂正」をタイトル等から取り除き、発表件数の変遷と9月2日の重複除外による訂正を整理しました。239名の不正ログインを漏えいパスワードや使い回し悪用の証拠とした因果断定を削り、入手経路未特定と明記しました。情報件数・人数・不正ログイン期間・対象者を分け、通知完了は未確認として公式案内へ誘導しました。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
本店は休店、支店は営業継続だった理由とは。チャームの発表内容を出典に沿って整理した
Googleのセキュリティイベント・端末一覧、LINEのログイン通知・ログイン中の端末を確認。使えない場合の復元・問い合わせ先と、両サービスで異なる設定を整理した
三井不動産が2026年9月1日に公表した不正アクセス。資格情報の不正利用で役職員・社外関係者の情報最大5万5000件に閲覧の可能性が生じた経緯と、なりすましメールへの注意点を整理した
Google傘下のGTIGが9月9日に公表。攻撃者は単純な指示の利用からAIが手順を組み立てる方式へ移行し、AIコーディング支援やオープンソース部品も標的に。「全ての攻撃者が何らかの形でAIを使用」という指摘の中身
さくらインターネットが自社システムへの不正アクセスについて調査完了の第三報を公開。対象アカウントが583件から951件へ増え、販売管理システムへの侵入は約3年続いていた可能性が判明した経緯を確かめた
さくらインターネットが公表した第三報。侵入は2023年4月から2026年3月まで続き、対象は「さくらのレンタルサーバ」951アカウントと販売管理システム最大136万563アカウントに拡大した。原因と再発防止策を整理した
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
