パルの通販サイト「PAL CLOSET」で、2025年6月15日から16日にかけて、第三者が外部で手に入れた情報を使った「リスト型攻撃」によるものと推測される不正ログインがあり、194,307件がログインされました。ログイン後に会員情報ページ（氏名、住所、電話番号、生年月日など）が閲覧されたおそれがあります。
事故の概要
- 漏れたもの
- 氏名
- 氏名（カナ）
- 性別
- 生年月日
- 住所
- 電話番号
- 会員番号・ユーザーID
- 件数
- 194,307件不正ログインされた件数。ログインの試行は1,722,379件。どの会員の会員情報ページが閲覧されたかは特定できていません。
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 可能性あり
- 原因
- 不正アクセス
- ドメイン
- palcloset.jp
経緯
- 検知—
- 初動対応6/16
- 公表6/20
- 調査結果—
- 再発防止策—
初動対応2025年6月16日
パルは、すでに会員登録している全会員のパスワードを6月16日に無効にし、再設定を求めました。
公表2025年6月20日
パルは、PAL CLOSETで6月15日から16日にかけて不正なログインがあったと報告しました。第三者が外部で手に入れた情報を使う「リスト型攻撃」によるものと推測しています。ログインの試行は1,722,379件で、そのうち194,307件がログインされ、ログイン後に会員情報ページが閲覧されたおそれがあります。どの会員のページが閲覧されたかは、システムの仕様上特定できていません。
会員情報ページには氏名、カナ、性別、生年月日、郵便番号、住所、電話番号、バーコードNoが載っています。クレジットカード情報はページに載っておらず、会社でも持っていないので流出はないと説明しています。パスワードはハッシュ化して保存しており、IDとパスワードが社内から流出した証跡もなかったとしています。不正注文などの二次被害はこの時点で起きておらず、個人情報保護委員会に報告しました。
不正ログインが確認された会員には6月20日付で同じ内容のメールを送っています。全会員のパスワードを6月16日に無効にしており、再設定と、他のサービスで同じパスワードを使わないことを呼びかけています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
- 2会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。