漏えいの可能性2026.10.06 公表

シチズン時計「Webサイトのお問い合わせフォーム（委託先のシステム）」の情報漏えい

シチズン時計など3ブランドのWebサイトのお問い合わせフォーム業務を委託していたスカラコミュニケーションズのサーバーが不正アクセスを受け、約10万名分のお問い合わせ情報（氏名・住所・連絡先など）が漏えいした可能性がある。

委託先システムのセキュリティ水準の確認と、過去の問い合わせデータの定期的な削除が被害軽減につながる。

公表された内容

規模: 約10万名分
情報: シチズン、ブローバ、フレデリック・コンスタントの各ブランドのお問い合わせフォームから寄せられた氏名、住所、電話番号、メールアドレスなど。お問い合わせ内容欄に銀行口座情報やクレジットカード情報などを書いていた場合は、その情報も対象
含まれない: 公式ECサイト、MY CITIZEN、シチズンオーナーズクラブなどの会員サービスへのアクセスは確認されていない
原因: お問い合わせ受付に使っていたシステムの提供元・委託先であるスカラコミュニケーションズのサーバーへの第三者による不正アクセス（10月2日20時33分頃〜3日8時1分頃）。同社の親会社スカラは、同じ時間帯に起きたFAQシステム「i-ask」への不正アクセスについて、管理サイトへの不正ログインが起点だったと公表している。シチズンのシステムへの不正アクセスは確認されていない。

シチズン、ブローバ、フレデリック・コンスタントの各ブランドWebサイト内のお問い合わせ受付業務で利用していた委託先（スカラコミュニケーションズ）のサーバーに対し、不正アクセスが発生した。

委託元のシチズン時計のECサイト、会員サービス、社内システムへのアクセスは確認されていない。

委託先の親会社スカラは、同じ時間帯に起きたFAQシステム「i-ask」への不正アクセスについて、管理サイトへの不正ログインと不正プログラムの設置が起点だったと公表している。

シチズン時計のシステムへの不正アクセスは確認されておらず、漏えいした可能性のある情報を用いてシチズン時計のシステムへアクセスすることもできないとされている。

漏えいした可能性があるのは、2026年10月3日時点で当該システムに保管されていた約10万名分のお問い合わせ情報（氏名、住所、電話番号、メールアドレス等）。

お問い合わせ内容欄に銀行口座情報やクレジットカード情報等を記載していた場合はそれらも対象となる。公表時点で二次被害は確認されていない。

なお、同業務は他システムへの移行中であり、10月中旬に利用終了後、保管データは全件削除される予定だった。

一般に、問い合わせ受付などの周辺業務を外部SaaSや委託先に依存している場合、自社システムが安全であっても委託先が侵害されることで蓄積された顧客データが流出するサプライチェーンリスクが存在する。

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。

外部委託先やSaaSを選定・利用する際、管理画面の多要素認証やアクセス制御、パッチ適用方針などのセキュリティ要件を明確にする。あわせて、定期的に適合状況を確認・監査する。

問い合わせフォームの入力欄の近くに「クレジットカード番号や口座情報は記入しないでください」と明記し、可能であればカード番号のような数値パターンの入力を検知して警告する仕組みを設ける。

問い合わせの回答や対応が完了した個人情報は、一定期間が経過した後に自動で消去または匿名化する。蓄積されるデータの量を最小限に抑えておくことで、委託先が侵害された際の影響を小さくできる。

製品の修理やサポートの相談では、返信先や返送先として氏名、住所、電話番号などの正確な情報を伝える必要がある。

ただし、お問い合わせフォームの本文（自由記入欄）にクレジットカード番号や銀行口座番号、暗証番号などを書いてしまうと、問い合わせデータが漏えいした際に重大な被害につながる恐れがある。

問い合わせの本文には決済情報や口座情報を書かないようにする。

内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。