退会後に情報漏えいの可能性を知らせる連絡が届いたときアバハウスの公表から確認する

資料で確認できること

確認できた事実

株式会社アバハウスインターナショナルは10月3日、社内システムへの第三者による不正アクセスにより、顧客の個人情報の一部が漏えいした可能性があると発表しました。同社は、9月27日深夜から28日にかけて不正アクセスがあったと推定し、9月28日に複数の顧客から、注文情報と一致する不審な返金案内メールを受け取ったとの問い合わせが寄せられ、調査を開始したとしています。

調査では、会員情報とEC受注情報の一部に不正アクセスの痕跡が確認されました。漏えいの可能性がある情報として、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文日時・商品名・金額・届け先などの注文情報が挙げられています。クレジットカード番号とセキュリティコードは決済代行会社のシステムで管理され、同社システムには保存しておらず、発表時点の調査では漏えいを確認していないと説明しています。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

当事者の説明

当事者の説明

同社は、不正なログインを起点にシステムの不備が悪用され、不正なプログラムの設置・実行を経てデータベースへアクセスされたとみています。確認されている経路は遮断し、それ以上の影響拡大は確認していないとしています。ただし、取得された情報の範囲は完全に特定できておらず、購入履歴などから漏えいの可能性があると判断した顧客へ10月2日に個別メールを送ったと説明しています。

退会済みの顧客にも同じ連絡を送った理由として、退会から1か月後に会員情報は削除する一方、法令対応や会計処理のため過去の注文に関する取引記録を一定期間保存しており、その注文情報が対象となった可能性を否定できないことを挙げています。また、個人情報保護委員会へ報告し、原因と影響範囲の全容が判明後、再発防止策とともに同じページで公表するとしています。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

未確認の点

未確認の点

実際に取得された情報の全範囲、対象人数、各対象者の実際の漏えいの有無は公表資料では確定できません。

過去の注文取引記録を保存する具体的な期間は『一定期間』とされ、年数は示されていません。

経路遮断の説明だけから、既に取得された情報の回収や不審なメールの停止を確認することはできません。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

確認の範囲

このコラムの確認範囲

本稿は2026年10月5日に確認した公式資料をもとにした考察です。JBJによる当事者への取材や、個別の被害・原因を独立に検証した記事ではなく、JBJの顧客や支援実績の紹介でもありません。各説明は発表時点のものとして扱い、未確認の事項を推測で補いません。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

JBJの見解

当事者が困る状況

退会したはずのサービスから情報漏えいの可能性を知らせるメールが届くと、利用者は、なぜ連絡先が残っているのか、どの情報が対象なのか、届いたメール自体が本物なのかを同時に判断しなければなりません。注文内容と一致する返金案内が届けば、正規の連絡だと思う可能性も高まります。一方、企業には法令対応や会計処理のため取引記録を一定期間保存する場面があり、退会後の保存それ自体と、不正アクセスへの備えや説明の十分さは分けて確認する必要があります。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

JBJの見解

説明が届きにくい理由

退会という言葉から、利用者はすべての情報が直ちに消えると受け取りやすい一方、企業の案内は会員情報と取引記録を分けて説明しています。また、実際の注文情報を使った不審な連絡と、企業からの正規の個別通知が近い時期に届くため、件名や注文内容だけでは真偽を判断できません。SNSで『退会後も全情報を保有していた』『カード情報まで流出した』『経路遮断で解決した』と短く断定すると、発表が示す範囲を超えます。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

JBJの見解

最初に整理する記録

利用者は、届いた通知の日時、差出人の表示名と実際のメールアドレス、件名、本文、記載された注文情報の範囲を、リンクを開かずに画面保存します。正規サイトのマイページで確認した注文履歴、カスタマーサポートへ確認した日時と回答、パスワード変更日時、カード明細を確認した日も分けて残します。不審な連絡へ返信したり情報を入力したりした場合は、入力した情報の種類と時刻、カード会社・金融機関・相談窓口へ連絡した内容を記録します。公開用の写しでは個人情報や注文番号を隠します。

企業側は、顧客から最初に連絡を受けた時刻、不審なメールの特徴、アクセス経路を遮断した時刻、対象判断の基準、個別通知の送信先と送信日時を時系列にします。退会済み顧客へ通知した根拠、会員情報と取引記録の保存期間、今後の削除や再発防止の説明を別々に管理する必要があります。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

JBJの見解

JBJの見解

この事例では、退会後に残る情報を一括して語らず、会員情報と法令・会計上の取引記録を分ける必要があります。企業には、保存目的、保存期間、対象判断、二次被害を防ぐ案内を分かりやすく説明する責任があります。利用者には、正規通知かをメール内の連絡先で確かめず、公式サイトや既知の窓口から確認する手順が必要です。

管理上の問題や説明不足への批判は必要ですが、確認できていない被害人数を広げたり、現場の店舗スタッフへ責任を転嫁したり、不審メールの連絡先を再掲して拡散に加担したりすべきではありません。JBJが調査・発信する場合は、企業の更新履歴、個別通知の対象基準、利用者が保存した画面を照合し、確認と可能性を分けて公開します。

• 資料 01株式会社アバハウスインターナショナル：不正アクセスによる個人情報漏えいに関するお詫びとご報告

JBJの見解

相談方法

退会後の漏えい通知や不審な返金案内でお困りの方は、受信日時、公式発表のURL、正規窓口へ確認した日時と回答、生活や取引への影響を分けて整理してください。