トレファク不正アクセス74万6277件と対象外の店舗・アプリ情報を分ける

資料で確認できること

10月20日に確認・停止、23日に影響範囲を公表

会社は10月20日、アクセスログの調査で、同日未明から朝にかけて第三者がシステムの脆弱性を悪用し、情報を不正取得したことを確認したと説明しています。

同日10時30分に案件管理システムへの外部アクセスを停止し、11時05分に出張買取・トレファク引越等の申込フォームを停止しました。発生日・確認日は10月20日、公表日は10月23日です。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

資料で確認できること

顧客メール74万6277件、うち11件は氏名・住所も対象

公式発表が示す顧客情報はメールアドレス74万6277件で、このうち11件には氏名と住所も含まれます。会社は、いずれも不正に取得されたことを確認したとしています。

これとは別に、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が使う端末に関する氏名と端末識別情報1000件についても、不正取得を確認したと説明しています。端末識別情報の取得だけから、1000台の端末自体が侵害されたと断定はできません。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

当事者の説明

店舗と公式アプリの顧客情報は別システムで、今回の対象外

会社は、店舗で預かる顧客情報と公式アプリで管理する顧客情報は、今回不正アクセスを受けた案件管理システムとは別のシステムで管理し、本件の不正取得対象には含まれないと説明しています。

出張買取やトレファク引越に関係する案件管理システムの事案であり、店舗で売買したことやアプリを使ったことだけで対象者と決めつけることはできません。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

当事者の説明

データベースへのアクセスに関する脆弱性　PHPの事案とは非関連

会社は、現時点ではデータベースへのアクセスに関する脆弱性が悪用されたことが原因とみていると説明しています。詳細な原因と影響範囲は、外部の専門機関と調査中です。

同時に、直近で公表されたPHPに関する脆弱性を悪用したものではなく、関連がないことを確認したと明記しています。『脆弱性の悪用』という共通語だけで、別の事案や製品へ原因を結び付けてはいけません。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

当事者の説明

10月28日を目途に再開予定　通知と専用窓口は準備中

会社は、悪用された脆弱性への対策、ログイン機能の強化、不審なアクセスの監視強化を進め、安全対策と確認を行ったうえで、システムと申込フォームを10月28日を目途に再開する予定としています。

対象者には内容と注意事項を個別案内する予定です。10月26日の確認時点で、公式発表は専用の問い合わせ窓口を設置準備中としています。再開予定と再開完了、窓口準備と受付開始を分けて確認する必要があります。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

未確認の点

侵入の詳細、通知完了、二次利用、再開完了は未確認

10月26日の確認時点で、悪用された脆弱性の詳細、侵入経路の全容、対象者ごとの該当項目、個別通知の完了状況、再開前の安全確認方法は、公開資料だけでは確定できません。

会社は具体的な二次被害を確認していないとしています。これは発表時点の確認状況であり、将来の悪用がないことや、対象者への影響がゼロであることを保証する表現ではありません。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年10月26日に取得した株式会社トレジャー・ファクトリーの10月23日付公式発表を確認しました。JBJは会社、顧客、取引先、従業員、関係当局、専門機関、攻撃者へ直接取材しておらず、システム、ログ、漏えいデータ、個別通知を独立に確認していません。掲載画像は確認範囲を整理する説明用イメージで、実際の人物・店舗・設備・画面・資料・被害記録ではありません。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

JBJの見解

大規模な漏えいを重く扱い、利用者全体へ範囲を広げない

74万件を超えるメールアドレスの不正取得が確認されたことは重大です。対象者への通知、原因の特定、システムの安全確認、再発防止策について、会社には継続した説明が求められます。

一方、発表はトレジャー・ファクトリーの全店舗、全サービス、公式アプリの全利用者が対象だとは説明していません。対象となった案件管理システムと、別に管理される情報を区別する必要があります。

JBJの見解

申込履歴、届いた案内、不審な連絡を分けて記録する

出張買取やトレファク引越を利用した人は、申込時期、登録したメールアドレス、会社から届いた案内、公式発表のURLと確認日、不審なメール・SMS・電話を分けて保存してください。氏名や住所、端末情報を公開投稿へ添付しないでください。

不審な連絡ではリンクや添付を開かず、相手が名乗った組織の公式サイトを自分で開いて連絡先を確認します。専用窓口の受付開始前は、受付が始まったように見せる非公式な案内にも注意が必要です。

• 資料 01株式会社トレジャー・ファクトリー：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ