- アパレルのアンドエスティHDが、業務サーバーへの不正アクセスで、お客さま約250万件の個人情報が外部に流出した可能性があると発表しました。取引先の情報約1万件も対象で、従業員の情報は範囲を確認中です。
- 流出した可能性があるのは、氏名・生年月日・性別・住所・電話番号・メールアドレス・会員IDです。
- クレジットカードなどの決済情報と、お客さまが自分で設定したパスワードは含まれていません。
- 店舗とWEBストアは引き続き使えますが、会員ポイントは今は使えなくなっています。いちばん気をつけたいのは、住所や電話番号まで知られた前提で届く偽メール・偽SMS・電話です。
- 発表にPHPの脆弱性の話は出てきません。侵入の手口も公表されていません。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
この記事は、アンドエスティHDが10月23日に東京証券取引所の適時開示で出した発表をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の内容は同社の発表（PDF）で確かめてください。この記事も続報が出たら更新します。10月のほかの件は「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
最新情報（随時更新）
- 10月23日 17時台に確認：アンドエスティHDが「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」を適時開示で発表しました（開示の時刻は17:00）。確認した時点では、同社のWebサイトの「重要なお知らせ」には、まだ同じお知らせは載っていません［適時開示（PDF）・アンドエスティHD 重要なお知らせ］。
何が起きたか（時系列）
発表に書かれた経緯は次のとおりです［アンドエスティHD 発表］。
| 日時 | できごと |
|---|---|
| 10月22日（木）7:30ごろ | 外部からの不正アクセスで、複数のサーバーに順番にログインが試され、侵入され、データが持ち出された |
| 10月22日 10:00ごろ | 不正な操作を見つけ、そのサーバーを切り離した |
| 10月22日 17:00まで | 不正アクセスの経路をふさぎ、社内の業務システムを止めた。ふさいだあとは、その経路から入れないことを確かめた |
| 10月23日 | 警察に相談し、個人情報保護委員会に報告。適時開示で公表 |
同社は、緊急の対策と、不正アクセスの手段の特定・対応は終わったとしています。対象のお客さまと取引先には順番に連絡を始め、問い合わせ窓口も設けるとしています。窓口の連絡先は、確認した時点の発表にはまだ載っていません。
WEBストア「アンドエスティ」は、今回の不正アクセスの影響を受けていないとしています。店舗とWEBストアはそのまま使えますが、会員ポイントは今は使えなくなっています。
なお、同社は2023年1月にも、社内業務システムのサーバーへの不正アクセスを発表しています（このときの流出の可能性は1,044,175件）［2023年1月24日の発表］。今回の発表に、2023年の件との関係は書かれていません。
流出した可能性がある情報・含まれない情報
発表の「10月23日時点」の内容を表にしました。どれも「流出した可能性がある」という段階で、流出が確定したとは書かれていません。
| 誰の情報か | 件数 | 情報 |
|---|---|---|
| お客さま | 約250万件 | 氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID |
| 取引先 | 約1万件 | 会社名、発注先・返品先の住所、担当者の氏名、電話番号、メールアドレス |
| 従業員 | 確認中 | 範囲を確認中 |
次の情報は含まれていないとしています。
- クレジットカード情報などの決済情報
- お客さまが自分で設定したパスワード
件数は「件」で書かれていて、人数とは書かれていません。どの会員が対象になるのか（いつごろの登録か、店舗の会員かWEBストアの会員か、など）も、確認した時点の発表には書かれていません。
会員の人が今やること
パスワードは流出の対象に含まれておらず、同社は発表で、利用者にパスワードの変更を求めてはいません。今回は、氏名・住所・電話番号・生年月日がまとまって知られた可能性があることが大事な点です。こうした情報があると、本物らしく見える偽の連絡を作りやすくなります。
- 届いた連絡のリンクや電話番号は使わない：同社は対象者に順番に連絡するとしています。届いたメールやSMSが本物かどうかは、その中のリンクではなく、ブックマークや検索から開いた公式サイトで確かめます。
- 「ポイント」「返金」「補償」を理由にした連絡を疑う：会員ポイントが使えない状態が続いているので、「ポイントを戻す手続き」「お詫びのポイント付与」などをうたう偽の連絡が考えられます。カード番号やパスワードの入力を求めてきたら、まず疑ってください。
- 同じパスワードを使い回していたら、念のため変える：パスワードは対象外とされていますが、メールアドレスは対象です。ほかのサービスと同じパスワードを使っていたなら、そちらを別々のパスワードにしておくと安心です。
- 知らない番号からの電話や、自宅への郵便にも気をつける：住所と電話番号も対象なので、メールだけでなく電話や郵便を使った詐欺にも注意します。
- 公式の続報を確かめる：問い合わせ窓口の連絡先や、対象者の範囲は、続報で出る見込みです。同社の「重要なお知らせ」を見てください。
偽メール・偽SMSの見分け方
フィッシングは、本物そっくりのメールや偽サイトで、パスワードやカード番号を入力させる詐欺です。次のような連絡は、まず疑ってかかります。
- 「会員情報の確認が必要です」「24時間以内に手続きを」など、急がせるもの
- お詫びやポイントの補償を理由に、ログインやカード番号、本人確認書類の入力を求めるもの
- 氏名や住所が正しく書かれているので本物だと思わせるもの（今回は、氏名や住所が知られている前提で考えます）
- リンク先のアドレスが、いつも使っている公式サイトのものと違うもの（似た文字の別のドメインもあります）
- 添付ファイルを開かせようとするもの
もし偽サイトでパスワードやカード番号を入れてしまったら、すぐに本物のサイトからパスワードを変え、カード会社に連絡してください。お金の被害があれば、警察のサイバー犯罪相談窓口にも相談できます。
取引先の会社が気をつけること
取引先の情報約1万件（会社名、発注先・返品先の住所、担当者の氏名・電話番号・メールアドレス）も対象です。取引先の担当者あてに、アンドエスティHDやそのグループを名乗る、偽の発注・返品・支払い先の変更の連絡が届くことも考えられます。
- 振込先の変更や、急ぎの支払いの依頼がメールで来たら、メールに書かれた番号ではなく、ふだん使っている連絡先に電話して確かめる
- 添付ファイルやリンクから、取引用のシステムにログインしない
- 社内で、同じような連絡が来ていないかを共有する
自社のサイトやサーバーが入り込まれていないかを確かめる方法は「乗っ取られていないか確かめる侵害チェックの方法」にまとめています。
PHPの脆弱性（php2shell）との関係
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」を追っています。ただ、アンドエスティHDの件は、別の件として扱うべきものです。
- 発表には、PHPや脆弱性の名前は出てきません
- 侵入の手口は「複数サーバーに対して順次ログイン試行、侵入、およびデータ抽出」とあるだけで、詳しい原因は公表されていません
- 不正アクセスはPHPの修正版が出た翌朝ですが、時期が近いことだけでは、関係があるとは言えません
この記事でも、推測で原因を書くことはしません。同じ時期の大きな件として「カプコン（CAPCOM ID）の件」もまとめています。
よくある質問
自分が対象かどうか、どうすれば分かりますか？
同社は、対象のお客さまに順番に連絡するとしています。どの会員が対象になるかは、確認した時点の発表には書かれていません。約250万件と多いので、店舗やWEBストアの会員になっている人は、対象かもしれないと考えて行動しておくと安心です。
パスワードは変えないといけませんか？
発表では、お客さまが設定したパスワードは含まれていないとしており、変更も求めていません。ただ、メールアドレスは対象なので、ほかのサービスと同じパスワードを使い回しているなら、そちらは変えておくと安心です。
クレジットカードは止めたほうがいいですか？
発表では、クレジットカード情報などの決済情報は含まれていないとしています。ただし、偽サイトでカード番号を入力してしまった場合は別なので、すぐにカード会社に連絡してください。
買い物はできますか？ポイントはどうなりますか？
店舗とWEBストアは引き続き使えるとしています。会員ポイントは、確認した時点では使えなくなっています。いつ使えるようになるかは発表に書かれていません。
問い合わせ窓口はどこですか？
同社は問い合わせ窓口を設けるとしていますが、確認した時点の発表には、まだ連絡先が載っていません。メールやSMSに書かれた番号ではなく、公式サイトに出る窓口を使ってください。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。アンドエスティの会員情報についてのご相談は、同社の窓口にお問い合わせください。相談はこちら
参考にした情報
- 株式会社アンドエスティHD「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」（2026年10月23日、適時開示）
- アンドエスティHD「重要なお知らせ」
- アンドエスティHD「当社サーバーへの不正アクセス発生について（第二報）」（2023年1月24日）
- 警察庁「サイバー事案に関する相談窓口」
