カインドオルで13万6,464名分の個人情報漏えい　従業員へのフィッシングメールが原因

ブランド古着の買取・販売を手がける株式会社カインドオルは2026年8月28日、同社が運営するECサイトで利用しているECプラットフォームのスタッフアカウントが第三者による不正アクセスを受け、顧客の個人情報が外部に漏えいしたと発表しました。

今回の不正アクセスは、従業員宛に送信されたフィッシングメールが発端でした。カインドオルによると、同社が利用するECプラットフォームの運営会社を装ったメールが送信され、従業員がメール内のリンク先にある偽サイトでスタッフアカウントの認証情報を入力していたことが確認されています。

最大136,464名分の顧客情報が漏えい

カインドオルは2026年8月24日、通常業務として注文情報を出力した際、スタッフアカウントに登録されているメールアドレスが同社で使用していないものに変更されていることを確認しました。

ECプラットフォーム運営会社に調査を依頼した結果、第三者による不正アクセス後、8月23日に顧客情報の一括エクスポートが2回行われていたことが判明しました。

漏えいした可能性がある顧客は最大136,464名で、対象となる可能性がある情報は以下のとおりです。

クレジットカード番号、セキュリティコード、ECサイトのログインパスワードは、今回漏えいしたデータには含まれていないとしています。

社内調査の結果、不正アクセスを受けたスタッフアカウントを使用していた従業員に対して、ECプラットフォーム運営会社を装ったフィッシングメールが送信されていたことが確認されました。

従業員がメールに記載されたリンク先の偽サイトで認証情報を入力した直後に、最初の不正アクセスが発生していることから、カインドオルはフィッシングメールを通じて認証情報が第三者に取得されたことが原因と判断しています。

また、対象となったスタッフアカウントでは二段階認証が設定されておらず、メールアドレスとパスワードのみでログインできる状態でした。パスワードも十分な強度ではなかったとしており、認証管理の不備も不正アクセスを防げなかった要因の一つとしています。

その後の追加調査では、不正アクセスによりエクスポートされた顧客情報ファイルが実際にダウンロードされていたことも確認されています。一方で、それ以外の不正な操作は確認されていないとしています。

現時点では、今回の情報漏えいに起因する具体的な二次被害は確認されていません。ただし、氏名、住所、電話番号、メールアドレス、購入状況などの情報が悪用される可能性があります。

カインドオルは、同社や配送事業者、金融機関などを装った不審なメール、SMS、電話が行われる可能性があるとして注意を呼びかけています。

「情報漏えいへの対応」「本人確認」「アカウント確認」「返金」「配送確認」などを理由にリンク先へ誘導された場合でも、メールやSMSに記載されたURLをすぐに開かず、公式サイトから情報を確認してください。

カインドオルは、今回の対応を理由として、メールやSMSでパスワード、クレジットカード番号、セキュリティコードなどの入力や回答を求めることはないとしています。

カインドオルは、不正アクセスを受けたアカウントを削除したほか、すべてのスタッフアカウントについて二段階認証を必須化しました。

今後は、フィッシングメール対策、従業員へのセキュリティ教育、フィッシング対策訓練、アカウントやアクセス権限の見直し、不審なログインや大量データ出力を早期に検知する監視体制の強化などを進めるとしています。