アエナ会員マイページ不正閲覧最大81万7215人と対象範囲を分けて読む

資料で確認できること

10月13日にログ解析から不正閲覧を把握

アエナは2026年10月14日、同社のECアプリで第三者による不正アクセスが発生し、アプリ会員のマイページ情報が不正に閲覧されたと公表しました。システムログの解析により、13日5時58分に不正閲覧を把握したと説明しています。

閲覧された可能性のある会員数は最大81万7215人です。会社が対象として示したのは、アプリに個人情報を登録したアプリ会員で、LINE会員やAmazon・楽天などの利用者は今回の発表の対象外とされています。

• 資料 01株式会社アエナ：外部からの不正アクセスによるお客様情報流出の可能性について

資料で確認できること

パスワードの閲覧や、変更・購入・退会操作は確認されていない

アエナは、ログインパスワードの閲覧・流出はなく、会員情報の変更、退会、購入確定の操作も行われていないことを確認したとしています。10月14日の発表時点で、本件に起因する会員情報の悪用や二次被害も確認されていないとの説明です。

同社はECサイトへのアクセスを遮断し、再発防止策を構築中としています。対象となる可能性のある会員には、順次個別メールで案内するとしています。

• 資料 01株式会社アエナ：外部からの不正アクセスによるお客様情報流出の可能性について

当事者の説明

基本情報、届け先、一部のカード表示情報が対象

閲覧された可能性がある項目として、氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、お気に入り店舗、メール配信設定が挙げられています。登録した届け先の住所・氏名・電話番号は、第三者宛ての情報も含むと説明されています。

登録済みクレジットカードでは、下4桁、有効期限、カード名義が対象とされています。会社は、カード番号の全桁とセキュリティコードをデータベースやサーバー内で保持しておらず、これらの閲覧・流出はないと説明しています。

• 資料 01株式会社アエナ：外部からの不正アクセスによるお客様情報流出の可能性について

未確認の点

各会員の閲覧項目、侵入の仕組み、今後の悪用は未確認

10月15日の確認時点で、81万7215人のうち実際に閲覧された会員数、会員ごとの閲覧項目、第三者届け先の人数、アクセスの開始・終了時刻、侵入経路、認証や権限管理の具体的な問題、個別通知の完了時期は、確認した公開資料だけでは確定できません。

会社は『機械的な連続アクセス』が行われたと説明していますが、詳しい原因は調査中です。発表時点で悪用が確認されていないことは、今後も悪用が起きないという保証ではありません。

• 資料 01株式会社アエナ：外部からの不正アクセスによるお客様情報流出の可能性について

確認の範囲

このコラムの確認範囲

本稿は2026年10月15日に取得したアエナの10月14日付発表と、IPAの10月9日付注意喚起を照合したものです。JBJはアエナ、会員、第三者の届け先となった方、攻撃者への直接取材、アプリやログの独立調査を行っていません。掲載画像は対象情報を照合する姿勢を表した説明用イメージで、実際の会社・職員・会員・画面・個人情報・被害記録ではありません。

• 資料 01株式会社アエナ：外部からの不正アクセスによるお客様情報流出の可能性について
• 資料 02独立行政法人情報処理推進機構：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

会員だけでなく、登録された第三者の届け先にも不安が及ぶ

氏名、住所、電話番号、メールアドレスなどが並ぶ発表を見れば、アプリ会員はフィッシングやなりすましへの不安を抱きます。届け先として家族や知人の住所・氏名・電話番号を登録していた場合は、会員本人以外の情報も対象となる可能性があります。

一方、見出しの最大人数だけでは、各人のどの情報が実際に閲覧されたかは分かりません。対象となるアプリ会員と、今回の発表では対象外とされたLINE会員・外部モール利用者も分ける必要があります。

JBJの見解

会員種別、登録項目、公式通知、不審な連絡を分けて確認する

まず、自分がアエナのアプリ会員か、LINE会員や外部モールだけの利用者かを確認します。アプリ会員は、登録した基本情報、届け先、カード表示情報、公式通知の受信日時を整理してください。メールやSMS内のリンクからではなく、公式サイトを自分で開いて最新情報を確認します。

不審なメール、SMS、電話が届いた場合は、受信日時、送信元、要求された内容、リンク先を開かずに記録します。パスワードやカード情報を入力した、金銭被害が疑われるなどの場合は、サービス提供者、金融機関、警察の公式窓口へ速やかに連絡してください。

• 資料 01株式会社アエナ：外部からの不正アクセスによるお客様情報流出の可能性について
• 資料 02独立行政法人情報処理推進機構：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

大きな人数と、個人ごとの確定被害を混同しない

アエナには、閲覧された人数と項目の精査、原因、遮断の有効性、個別通知、再発防止を継続して説明する責任があります。第三者の届け先情報が含まれる点について、会員本人がどのように知らせ、問い合わせできるかも明確にする必要があります。

同時に、最大人数を全項目が漏えいした確定人数として広げたり、今回の対象外と明記された利用者まで被害者と断定したりすることは避けるべきです。JBJは、会社が認めた不正閲覧と説明責任を明記し、未確認の個別被害を推測で補いません。