【アンドエスティHD】業務サーバーに不正アクセス、顧客約250万件・取引先約1万件の個人情報が流出したおそれ

公表：2026年10月23日

会社：株式会社アンドエスティHD（東証プライム上場。グループの店舗とWEBストア「アンドエスティ」を運営）

3行でわかるポイント

1. 10月22日朝、外部からの不正アクセスで複数の業務サーバーへの侵入とデータの抜き取りが行われました。
2. 顧客約250万件（氏名・生年月日・住所・電話番号・メールアドレス・会員IDなど）と取引先約1万件の情報が流出したおそれがあります。従業員の情報は範囲を確認中です。
3. 店舗とWEBストアは営業を続けていますが、会員ポイントが使えない状態です。カードなどの決済情報やパスワードは対象外です。

何が起きたか

アンドエスティHDによると、2026年10月22日午前7時30分ごろから、外部からの不正アクセスで複数のサーバーへのログインの試み、侵入、データの抜き取りが順に行われました。午前10時ごろに不正な操作を検知してサーバーを隔離し、17時までに不正アクセスの経路を遮断しました。10月23日に警察に相談し、個人情報保護委員会に報告しました。

漏れた可能性のある情報

影響／原因

侵入の手口の詳細は公表されていません。同社は不正アクセスの手段の特定と対応を終えたとしています。グループの店舗とWEBストアは引き続き利用できますが、店舗・WEBストアとも会員ポイントが使えず、社内の業務システムは停止しています。WEBストア自体は今回の不正アクセスの影響を受けていないとしています。業績への影響は精査中です。

利用者が今すべきこと

1. 対象者には順次連絡があります。アンドエスティを名乗るメール・SMS・電話は、公式サイトの案内と照らして本物か確かめてください。
2. 心当たりのない連絡のリンクを開いたり、個人情報やカード情報を入力したりしないでください。

私たちが学べること

今回は早朝の侵入から約2時間半で検知し、サーバーの隔離に動いています。それでも大量のデータが抜き取られたおそれがあり、侵入を前提に「早く見つけて止める」体制と、業務サーバーに置く顧客データを絞る対策の両方が欠かせません。

経過

出典

1. 当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ（アンドエスティHD、2026年10月23日）
2. アンドエスティHDにサイバー攻撃、顧客約250万件の個人情報漏えいの恐れ（セキュリティ対策Lab）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。