トレジャー・ファクトリーは8月28日、連結子会社であるブランド古着買取・販売チェーンのカインドオルが運営するECサイトが第三者による不正アクセスを受け、顧客の個人情報が漏えいしたと発表した。現時点で確認された対象者は13万6464人で、このうち住所情報を含むのは10万9311人。
漏えいした可能性がある情報は、カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読状況、合計注文回数、合計購入金額、ECプラットフォーム上で管理する顧客タグ情報、ポイント情報の履歴（保有・失効・累計）。対象となる項目は顧客によって異なる。なお、エクスポートされたデータにクレジットカード情報とECサイトのログインパスワードは含まれておらず、本件に起因する不正利用などの二次被害も現時点で確認されていないという。
不正アクセスを受けたのは、同社がECサイトで利用するECプラットフォームのスタッフアカウント。8月24日に通常業務で注文情報をエクスポートした際、当該アカウントに登録されたメールアドレスが自社で使用していないものに変わっていることに気付き、ECプラットフォームの運営会社に調査を依頼した。その結果、8月22日に第三者がアカウントへ不正アクセスし、23日にメールアドレスを変更したうえで、同日中に顧客情報の一括エクスポートを2回実行していたことが分かった。
原因について同社は、ECプラットフォームの運営会社を装ったフィッシングメールを受け取った従業員が、記載されたリンク先で認証情報を入力していたと説明する。PCのログなどを調べたところ、認証情報の入力直後に最初の不正アクセスが起きていた。さらに当該アカウントには二段階認証を設定しておらず、メールアドレスとパスワードだけでログインできる状態だった。パスワードの強度も十分ではなく、こうした認証管理上の不備も不正アクセスを防げなかった要因の一つと認識しているとする。
カインドオルは1985年創業。国内外のブランド衣料やバッグ、時計、宝飾品の買取・販売と、フランチャイズ事業を手掛ける。本社は大阪市淀川区で、代表取締役社長は齋院太一氏。従業員数は254人（2025年2月末時点）。公式サイトの店舗リストによると、東京と大阪を中心に京都、兵庫、愛知、静岡、広島、滋賀、和歌山、新潟、奈良を加えた11都府県で42店を展開する。2026年2月には東京・南青山の骨董通り沿いに青山店を開いた。2016年にトレジャー・ファクトリーが発行済株式を100％取得し、子会社となった。
カインドオルは漏えいの判明後、不正アクセスを受けたスタッフアカウントを削除し、他の全スタッフアカウントに不審なアクセスや操作がないかを確認したという。ECプラットフォームの全スタッフアカウントでは二段階認証を必須化。不正なエクスポート後に別の操作が行われていないかは、運営会社に追加調査を依頼したとしている。8月27日付で個人情報保護委員会にも報告した。対象となる顧客には順次個別に案内する。専用の問い合わせ窓口は設置を準備しており、体制が整い次第、両社のホームページで知らせる。
同社は再発防止策として、アカウントとアクセス権限の管理状況の点検に加え、フィッシング対策の強化、従業員への情報セキュリティ教育とフィッシング対策訓練の徹底、顧客情報へのアクセス権限と一括エクスポート権限の見直し、不審なログインやアカウント情報の変更、大量のデータ出力を早期に把握する監視・エスカレーション体制の強化などを進める。また、グループが利用するシステムやクラウドサービスについても二段階認証の設定状況や権限管理、セキュリティ監視体制を改めて点検する。連結業績への影響は精査中で、重要な影響が判明した場合は速やかに開示するとしている。
