ファンケル・アテニアの情報漏えい(2026年10月公表)
結論から
- ファンケルと子会社のアテニアは2026年10月16日、両社のECサイトが不正アクセスを受け、会員情報の一部が外部に漏えいしたと公表しました。ファンケルは393,785件・368,184名、アテニアは441,162件・417,312名です。
- 漏れたのは氏名、住所、電話番号、メールアドレス、生年月日などです。一部の会員が設定した2次パスワード(ハッシュ化済み)も含みます。メインのパスワードとクレジットカードなどの決済情報は対象外です。
- 不正アクセスは10月3日から10日までで、10月15日の内部調査で判明しました。会社は原因となった機能を止め、個人情報保護委員会と警察に報告・相談しています。攻撃の詳細は開示を差し控えるとしています。
概要
- 公表日
- 2026年10月16日
- 発生
- 2026年10月3日
- 検知・発覚
- 2026年10月15日
- 組織・業種
- ファンケル・アテニア(ECサイト)(化粧品・健康食品の通販 / 小売・EC・アパレル)
- 漏えいした情報・件数
- ファンケル 393,785件・368,184名、アテニア 441,162件・417,312名(両社の合計 834,947件・785,496名は当特集の計算)。メールアドレス・氏名・住所・電話番号・生年月日・性別・お客様番号・サブメールアドレスとそのパスワード(ハッシュ化)・本人認証質問項目(回答は含まない)など。決済情報とメインのパスワードは対象外
- 業務への影響
- 原因となった機能を停止。事業活動・サービスへの影響はない(ファンケル・アテニア)/重大な影響は確認されていない(キリンホールディングス)(2026-10-16時点)
- 業績への影響
- キリンホールディングスは連結業績への影響を精査中と開示(2026-10-16)
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 2026-10-16に個人情報保護委員会へ報告、警察へ相談
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
ファンケルとアテニアによると、両社のECサイトが10月3日から10日までの間、外部から不正アクセスを受けました。10月15日の内部調査で判明し、会社は原因となった機能を特定して停止しました。
どの機能が原因だったのか、どのような手口だったのかは公表されていません。会社は「さらなる被害の拡大を防止するため、サイバー攻撃の詳細については開示を差し控え」るとしています。2026年10月30日時点で、専門報道にも公式発表を超える情報はありません。
会社は、本件以外の不正アクセスとマルウェア(不正なプログラム)への感染は確認されていないとしています。攻撃者や、両社のECサイトのシステムが共通かどうかも公表されていません。
影響
漏えいしたのは、ファンケルの会員情報393,785件(368,184名)と、アテニアの会員情報441,162件(417,312名)です。両社の合計は834,947件・785,496名です(当特集の計算)。報道の「83万件」は件数の合計です。
件数と人数が違う理由と、両社の両方に登録している人がいるかどうかは公表されていません。
項目は両社とも同じです。メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号と、サブメールアドレスとそのパスワードです。このパスワードは一部の会員が設定する2次パスワードで、ハッシュ化(元に戻しにくい形に変換)されています。メインのパスワードは対象外です。
ほかに、本人認証の質問の項目(回答は含まない)、ポイント情報、会員ステージ、メールマガジン配信希望の有無、店舗での購入の有無も含まれます。クレジットカードなどの決済情報は含まれていません。
漏えいした情報の不特定多数への公開や不正利用、二次被害は、10月16日時点で確認されていません。事業活動・サービスへの影響について、両社は「影響はありません」、キリンホールディングスは「重大な影響は確認されておりません」としています。連結業績への影響は精査中です。
会社の対応と再発防止策
両社は判明した10月15日に緊急対策本部を設置し、原因となった機能を止めました。10月16日に個人情報保護委員会へ報告し、警察に相談しています。詳細な調査を続け、全社を挙げて再発防止に取り組むとしています。具体的な再発防止策は公表されていません。
対象の会員には、調査結果を踏まえて、登録しているメールアドレスへ順次個別に連絡するとしています。問い合わせは両社共通の専用ダイヤル(0120-333-600、9時〜17時、土日祝日を含む)と、メール(center@fancl.co.jp)で受け付けています。
会社は、漏れた情報がなりすましメールやフィッシング詐欺に使われるおそれがあるとしています。心当たりのないリンクや添付ファイルを開かないよう呼びかけています。両社がパスワードやカード情報を尋ねることはないとし、定期的なパスワードの更新を求めています。
公式の続報が出たら、このページを更新します。
この事案から学べること
- 会社は「原因となった機能」を特定して止めたとしています。ECサイトには多くの機能があり、会員情報を扱う機能のそれぞれが入口になりえます。どの機能がどの情報を返すのかを把握しておくことが、止める判断の早さにつながります。
- 不正アクセスは8日間続き、判明はその5日後でした。会員情報への普段と違うアクセスに早く気づけるかどうかで、漏れる量が変わります。
- 漏れた項目には、サブメールアドレスと2次パスワード、本人認証の質問の項目のような補助の情報も含まれます。保存している項目はすべて漏えいの対象になりえます。使っていない項目を持ち続けていないかを見直す必要があります。
- 攻撃の詳細を伏せた場合でも、両社は判明の翌日に、件数・項目・対象外の情報・窓口・お願いを公表しました。グループの2社で共通の専用ダイヤルを設け、問い合わせ先を1つにしています。
自社で確認すること
- 1 ECサイトの機能ごとに、どの会員情報を返すのかを一覧にしていますか?
- 2 会員情報への大量のアクセスなど普段と違う動きに、数日以内に気づける仕組みがありますか?
- 3 使っていない会員情報の項目(補助のメールアドレスやパスワード、本人確認の質問など)を保存し続けていませんか?
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- 自分が対象かどうか、どうすれば分かりますか?
- 両社は、対象の会員に、登録しているメールアドレスへ順次個別に連絡するとしています(2026年10月16日の発表)。確かめたい場合は、両社共通の専用ダイヤル(0120-333-600、9時〜17時、土日祝日を含む)か、メール(center@fancl.co.jp)で問い合わせてください。
- ログインのパスワードは漏れましたか?
- メインのパスワードは対象外です。漏れたのは、一部の会員が設定しているサブメールアドレスの2次パスワードです。ハッシュ化されており「そのままでは読み取りできない」と会社は説明しています。会社は定期的なパスワードの更新を求めています。
- クレジットカード番号は漏れましたか?
- クレジットカードなどの決済情報は、漏えいした情報に含まれていません(2026年10月16日の発表)。両社は、パスワードやカード情報を尋ねることはないとしています。
- 報道の「83万件」と「78万人」はどちらが正しいですか?
- どちらも公式の数字から計算できます。件数はファンケル393,785件とアテニア441,162件で、合計834,947件です。人数はファンケル368,184名とアテニア417,312名で、合計785,496名です(いずれも当特集の計算)。
- 原因は何ですか?
- 両社のECサイトへの外部からの不正アクセスです。会社は原因となった機能を特定して止めました。どの機能か、どのような手口かは「さらなる被害の拡大を防止するため」開示を差し控えるとしています(2026年10月30日時点)。
出典
- 第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ ↗ (株式会社ファンケル・株式会社アテニア、2026-10-16)
- 当社子会社(株式会社ファンケル)における不正アクセスによる個人情報漏えいに関するお知らせ ↗ (キリンホールディングス(適時開示)、2026-10-16)
- ファンケルとアテニア、計約83万件の会員情報漏えい ECサイトに不正アクセス ↗ (ITmedia NEWS、2026-10-16)
- ファンケル系、83万件の個人情報漏洩 不正アクセスで ↗ (日本経済新聞、2026-10-16)
- ファンケルとアテニア、eコマースサイトの会員情報が流出 ↗ (Security NEXT、2026-10-19)