ファンケル・アテニアの情報漏えい｜件数・人数と対象パスワードを確認

ファンケルとアテニアが2026年10月16日に公表した会員情報の漏えいでは、「何件」と「何人」、そして「どのパスワード」が対象かを分けて読むことが大切です。大きな合計値だけでは、自分が確認すべき情報や、運営者が通知すべき内容まで分かりません。

本稿は10月17日に確認した両社の公式発表をもとに、影響範囲と読み違えやすい点を整理します。後半の確認表は企業担当者向けの提案で、両社の内部運用や事故原因を推定したものではありません。

公表された被害と調査の範囲

両社によると、10月15日の内部調査で、10月3日から10日にかけてECサイトへの不正アクセスがあったと判明しました。会員情報の一部の漏えいを確認し、原因となった機能を停止しています。攻撃の詳細は開示を控えるとしており、特定の製品や侵入手法をこの発表から断定することはできません。両社の公式発表・1節

同発表の2節は、対象件数と対象人数を次のように示しています。

件数を人数と言い換えたり、両社の人数を単純に足して重複のない被害人数としたりしないようにします。自分の対象範囲は、会員登録状況と個別案内を照合して確認してください。

「パスワードが含まれる」の対象を確認する

漏えい項目には氏名・住所・メールアドレスなどがあり、パスワードについては、一部の方が設定していたハッシュ化された2次パスワードが対象と説明されています。メインのパスワードと、クレジットカードなどの決済情報は対象外です。公式発表・2節と注記

ここで、メインが対象外という説明を「会員情報全体に影響がない」と広げないことが重要です。逆に、パスワードという語だけを見て、すべての会員のメインパスワードが漏れたと受け取るのも誤りです。

通知を読む際は、項目名、対象者の条件、保存されていた形式を一組で確認します。「ハッシュ化されたもの」という説明から、今回のデータがどの程度解読され得るかまで評価するには追加情報が必要です。本発表だけで解読不能や平文流出を断定しません。

利用者が確認すること

両社は対象者へ順次メールで連絡するとし、不審なメール・SMS・電話に注意し、心当たりのないリンクや添付ファイルを開かないよう呼びかけています。両社からパスワードやクレジットカード情報を尋ねることはないとも説明しています。公式発表・3節

通知を受け取ったら、メールへの返信で認証情報を渡すのではなく、公式サイトの案内を別途確認する形で対応を整理してください。通知の到着時期と被害範囲の確定は別の問題なので、未着というだけで対象外と自己判断しないことが有用です。

会員システムの担当者が残しておきたい対応表

次の表は、同種の公表を自社の情報管理点検に生かすための本稿の提案です。当該事故で何が不十分だったかを示す評価ではありません。

例えば、二つのサービスに登録している人への案内を検討する場合、サービス別のデータと、人をまとめるための識別条件を先に整理します。これは検討例であり、両社がどのように人数を集計したかの説明ではありません。

情報の整理と運用の担当分担を検討する際は、当社のインフラ・クラウド技術支援も参照できます。今回の事故に関する個別の被害照会は、両社の公式案内先で確認してください。

続報で見直す点

対象項目、人数、利用者への依頼が更新された場合は、保存した案内の日付も更新します。「二次被害は確認されていない」という公表時点の説明を、将来も発生しない保証として扱わないようにしてください。最新の状況はファンケル公式サイトに掲載される案内を確認してください。