漏えいした項目には、氏名や住所と並んで、ポイント情報や会員ステージ、店舗での購入の有無まで含まれていました。一方で、クレジットカードなどの決済情報とメインのパスワードは対象外です。何が漏れ、何が漏れなかったのか。その境目に、会員がいま気をつけたいことが表れています。
ファンケルとアテニアは2026年10月16日、両社のECサイトが10月3日から10日にかけて外部から不正アクセスを受け、会員情報の一部が漏えいしたと発表した。対象はファンケルが393,785件・368,184名、アテニアが441,162件・417,312名である。漏えいしたのはメールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、一部の会員が設定したハッシュ化済みの2次パスワードなどで、メインのパスワードとクレジットカードなどの決済情報は含まれない。
10月15日の内部調査で判明し、原因となった機能を停止した。10月16日の公表時点で、本件に起因すると考えられる不正利用や二次被害は確認していないとしている。
From: 
第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ
【編集部解説】
今回の公表で押さえておきたいのは、漏えいした項目と、漏えいしなかった項目の境目です。ここを読み分けると、会員として何に気をつければよいかが見えてきます。
まず、漏えいしなかったもの。クレジットカードなどの決済情報は対象外です。メインのパスワードも含まれていません。対象となったパスワードは、一部の会員が設定している、サブメールアドレスに対応する「2次パスワード」で、ハッシュ化された状態でした。ハッシュ化は、パスワードを一方向に変換した値を保存する方式で、そのままでは読み取れません。ただ、推測しやすい短いパスワードは候補と照合して割り出されることがあるため、ハッシュ化だけで安全が保証されるわけではありません。
次に、漏えいしたもの。氏名、住所、電話番号、生年月日、メールアドレスといった連絡先に加え、ポイント情報、会員ステージ、メールマガジンの配信希望、店舗での購入の有無が含まれます。
この後半の項目は、なりすましの材料になりえます。「保有ポイントが失効します」「会員ステージの特典をお受け取りください」といった文面は、実際の会員情報と組み合わさると、本物の案内と見分けにくくなります。両社は、パスワードやクレジットカード情報を尋ねることはないと明言しています。ポイントや特典を口実にした連絡が来ても、メールのリンクからではなく、公式サイトやアプリを自分で開いて確かめるのが確実です。
本人認証の質問項目が対象に入っていることにも触れておきます。漏えいしたのは「質問」のほうで、回答は含まれていません。ただ、どの質問を選んだかは分かるため、同じ質問と回答を他のサービスでも使っている人は、そちらを見直しておくと安心です。
件数と人数の差も読み解いておきます。ファンケルは393,785件に対して368,184名、アテニアは441,162件に対して417,312名です。件数と人数に差がある理由は、公表文では説明されていません。両社を単純に足すと834,947件・785,496名です。ただし、両社の対象者に重複があるかは公表されておらず、この数字は重複を除いた実際の人数を示すものではありません。対象となる情報の項目は、アテニアも「同上」とされ、ファンケルと同じです。
時系列にも目を向けます。不正アクセスは10月3日から10日までの8日間で、判明したのは10月15日の内部調査です。両社は判明したその日に緊急対策本部を設け、翌16日には個人情報保護委員会および警察への報告・相談を行い、同日付で公表しました。対象となる会員には登録のメールアドレスへ順次連絡するとし、17日9時から両ブランド共通の専用ダイヤルを開くことも、同じ公表文で案内しました。判明の翌日に件数と項目まで示したことは、会員が早く身構えるための材料になります。
手口について、両社は原因となった機能を特定して停止したと説明する一方、被害の拡大を防ぐため、攻撃の詳細の開示は控えるとしています。10月には、ローソンIDやミスターマックス、アエナなど、会員向けのサービスを狙った不正アクセスの公表が続きました。ファンケルとアテニアの事案がこれらと同じ型かどうかは、公表資料からは分かりません。停止した機能が何で、どこから入られたのかは、明らかにされていません。
通販の会員情報は、購入の記録やポイントといった、ブランドと顧客の関係そのものを映すデータです。両社は今後、新たな事実が分かれば速やかに知らせるとしています。会員側は、届いた連絡をいったん疑い、公式の窓口で確かめる。その一手間が、この先の二次被害を小さくしていきます。
【関連記事】
ローソンIDに不正アクセス、215万件の個人情報が漏えい アプリ予約ではカード番号の一部も
ローソンIDへの不正アクセスで約215万件の個人情報が漏えいした事案。アプリの予約では、カード番号の一部も対象になった。
【解説】楽天ドライブ・ミスターマックスに不正アクセス、Qilin中心メンバーとみられる男のドイツ引き渡しも報道
10月6日に公表された楽天ドライブ、ミスターマックス、i-askの3件を、管理機能やサービス構成の観点から整理した解説記事。
【解説】銀のさら運営会社・アエナ・IDAREなど不正アクセス15件、10月13〜14日の公表を整理
10月13〜14日に公表された15件の不正アクセスを整理した解説。アエナの会員マイページへの機械的な連続アクセスの事案も扱った。
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
10月上旬、IPAや国家サイバー統括室などが相次いで出した不正アクセスへの注意喚起と、事業者に求められた3つの点検を整理した。
【編集部後記】
両社は対象の会員に、登録したメールアドレス宛てに順次連絡するとしています。ただ、なりすましメールが届くのも、同じメールボックスです。
本物のお知らせと偽物が同じ経路で並ぶとき、見分ける手がかりは文面の出来ではなく、そのメールが何を求めているかにあります。両社は、パスワードやクレジットカード情報を尋ねることはないと明言しました。届いたメールを開く前に、この一文を思い出せるかどうかが分かれ目になりそうです。
【用語解説】
ハッシュ化
パスワードなどを一方向の計算で別の値に変換し、その値を保存する方式。元の文字列にはそのまま戻せないが、推測しやすい短いパスワードは候補と照合して割り出されることがある。
本人認証の質問項目
パスワードを忘れたときなどに本人であることを確かめるため、あらかじめ登録しておく質問。「母親の旧姓」のように、本人だけが答えを知っている内容を選ぶ。
なりすまし
実在する企業やサービス、人物を装って連絡すること。本物そっくりのメールやSMSでリンクを開かせ、偽のサイトでパスワードやカード情報を入力させる手口が多い。
【参考リンク】
ファンケルオンライン（外部）
株式会社ファンケルの公式通販サイト。無添加化粧品や健康食品・サプリメントを扱い、今回不正アクセスを受けたECサイトにあたる。
アテニア公式オンラインショップ（外部）
ファンケルグループの化粧品ブランド、株式会社アテニアの公式通販サイト。今回、会員情報441,162件の漏えいが判明した。
漏えい等の対応とお役立ち資料（個人情報保護委員会）（外部）
個人データの漏えいが起きたとき、事業者が行う個人情報保護委員会への報告と、本人への通知の仕組みをまとめた委員会のページ。
フィッシング対策協議会（外部）
実在する企業を装ったフィッシングの最新事例や、届いたメールが本物かどうかを見分ける方法を発信する団体。報告の窓口も設けている。
【参考記事】
第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（外部）
ローソンの10月8日の公表。本人に情報を表示する仕組みへの不正アクセスで、ローソンIDの会員情報など215万件余りが漏えいした。
不正アクセスによる情報流出に関するお詫びとお知らせ（外部）
ミスターマックスの10月6日の公表。ソフトウェアの機能を不正に利用したサーバーへの侵入で、アプリなどの会員情報が流出した。
外部からの不正アクセスによるお客様情報流出の可能性について（外部）
アエナの10月14日の公表。機械的な連続アクセスで会員マイページが閲覧され、最大817,215人の情報に流出の可能性がある。
