ファンケル・アテニアのECサイトに不正アクセス｜会員情報約83万件が漏えい——EC運営者にとっての意味と今やるべきこと

株式会社ファンケル（以下、ファンケル）と株式会社アテニア（以下、アテニア）は2026年10月16日、両社のECサイトが2026年10月3日から10日までの間に不正アクセスを受け、会員情報の一部が外部に漏えいしたと連名で公表しました。対象はファンケルが393,785件、アテニアが441,162件です。クレジットカードなどの決済情報とメインのパスワードは対象外としています。発表の事実と、自社ECを運営する店舗が見直したい点を整理します。

発表の事実

両社の発表によると、2026年10月15日（木）の内部調査で、10月3日（土）から10月10日（土）までの間にファンケルとアテニアのECサイトが不正アクセスを受けていたことが分かりました。判明した当日に緊急対策本部を設け、会員情報の一部が外部に漏えいしたことを確認しています。被害の拡大を防ぐため、原因となった機能を特定して停止しました。攻撃の詳細は、被害拡大防止のため開示を控えるとしています。

漏えいした情報は、両社とも次のとおりです。

• メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号
• サブメールアドレスとそのパスワード（一部の人が設定しているハッシュ化された2次パスワード。メインのパスワードは対象外）
• 本人認証の質問項目（回答は含まない）
• その他の会員登録情報（ポイント情報、会員ステージ情報、メールマガジン配信希望の有無、店舗での購入の有無）

クレジットカードなどの決済情報は対象に含まれていません。両社は、現時点で本件以外の不正アクセスやマルウェア感染は確認されていないこと、漏えいした情報が不特定多数に公開された事実や不正利用は確認されていないことを説明しています。10月16日に個人情報保護委員会と警察へ報告・相談し、対象者には登録メールアドレスへ順次個別に連絡するとしています。共通の専用ダイヤルは10月17日9時に開設されました。

EC運営者にとっての意味

今回の件は、カートの運営会社ではなく、自社で運営するECサイトの一部の機能が入り口になったと説明されている点が特徴だとみられます。どの機能かは公表されていませんが、会員向けの機能やあとから追加した機能が、攻撃の対象になりうることを示しています。

漏えいした情報には、メールアドレスや電話番号、会員ステージやポイントの情報が含まれます。両社も、なりすましメールやフィッシング詐欺に悪用されるおそれがあるとして注意を呼びかけています。こうした情報がそろうと、会員ステージやポイントに触れた、本物らしく見える文面が作られやすくなるため、今回の両社に限らず、通販事業者を名乗る不審な連絡が増える可能性も意識しておいたほうがよさそうです。

カート会社側での漏えいだったショップサーブの最終報や、経済産業省とIPAの注意喚起と合わせて、自店の会員情報がどこに、どの機能から触れられる状態で置かれているかを見直すきっかけになりそうです。

今やるべきこと

• 会員機能と追加した機能を洗い出す……ログイン、会員情報の変更、ポイント、問い合わせフォーム、外部ツールとの連携など、会員情報に触れる機能を一覧にし、使っていない機能が残っていないかを確認します。
• 管理者アカウントと認証設定を見直す……管理画面や連携サービスで二段階認証が使えるなら有効にし、退職者や契約が終わった外部委託先のアカウントを削除します。
• お客さま向けの注意喚起の文面を用意する……「店からパスワードやカード情報を尋ねることはない」ことを、サイトのお知らせやメールで伝えられるよう準備しておきます。
• 漏えい時の連絡の流れを決めておく……個人情報保護委員会への報告、お客さまへの連絡、問い合わせ窓口の準備を、誰がどの順で進めるかを書き出しておきます。

個人情報の扱いや報告の義務は、法令やガイドラインの内容によって変わります。最新は個人情報保護委員会などの公式情報や専門家で確認してください。

出典

• 株式会社ファンケル・株式会社アテニア「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月16日）

※本記事は2026年10月20日時点の公表情報をもとにしています。最新の情報は公式のお知らせでご確認ください。