アバハウスインターナショナル「オンラインストア・アバハウスメンバーズクラブ」の情報漏えい

公表された内容

規模

件数は公表されていない（漏えいの可能性があると判断した人に10月2日にメールで連絡。退会者を含む）

情報

会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文情報（注文日時・商品名・金額・お届け先など）

含まれない

クレジットカード番号、セキュリティコード（決済代行会社のシステムで管理）

原因

社内システムへの不正なログインを起点に、システムの不備を悪用して不正なプログラムが設置・実行され、会員情報・EC受注情報のデータベースへ不正にアクセスされたとみられる。9月27日深夜〜28日に海外の第三者がアクセスしたと推定。28日に「注文情報と一致する不審な返金案内メールが届いた」との問い合わせが複数あり、調査で発覚した。

経緯

1. 2026.09.27 深夜海外の第三者による不正アクセスが発生（〜9月28日と推定）
2. 2026.09.28複数の顧客より「注文情報と一致する不審な返金案内メールを受信した」との問い合わせが寄せられ社内調査を開始。不正アクセスの痕跡を確認し経路を遮断
3. 2026.10.02漏えいの可能性がある顧客（退会者含む）へ登録メールアドレス宛に個別連絡を実施
4. 2026.10.03不正アクセスによる個人情報漏えいに関するお詫びとご報告を公表

何が起きたのか

社内システムへの不正なログインを起点に、システムの不備を悪用して不正なプログラムが設置・実行され、会員情報およびEC受注情報を保管するデータベースへ不正アクセスされたとみられる。

確認されている経路は遮断済みとされている。

社内システムへの不正ログインに使われた認証情報がどこから流出したか、また「システムの不備」の具体的な脆弱性内容は公表されていない。

漏えいした可能性があるのは、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文情報（注文日時・商品名・金額・お届け先等）。

件数は公表されていない。

クレジットカード番号およびセキュリティコードは決済代行会社のシステムで管理されており、同社システムには保存されていないため漏えいは確認されていない。

退会者の注文情報も会計・法令対応のため一定期間保存されていたことから対象に含まれている。

発覚の契機は、顧客から「注文情報と一致する不審な返金案内メールが届いた」という問い合わせだった。

同社は、当社を装った「返金」「欠品」などを名目とする不審なメールが確認されており、実際の注文内容と一致する情報が書かれていても本物とは限らないと注意を呼びかけている。

特徴として、フリーメールから届く、「公式LINE」などLINEへの連絡を促す、返金の受付期限を設けて急がせる、が挙げられている。

一般に、社内システムの認証突破からサーバー内の権限昇格・不正プログラム設置（Webシェルやマルウェア）を経てデータベースを抜き取る手口は、侵入型攻撃で広く見られる典型的なパターンである。

この手口はどう防ぐか

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。