国内の個人情報漏えい事故の台帳

アクリル運動部株式会社(アクリル購買部)

漏えいのおそれ検知:2025年4月16日最終更新:2025年5月16日時系列:6件

アクリル運動部が運営する通販サイト「アクリル購買部」が不正アクセスを受け、データベースの接続情報を外部に送る機能を持つマルウェアが実行されました。会員約4,200名と非会員約9,000名の氏名、住所、電話番号、メールアドレス、暗号化されたパスワード、注文情報、購入履歴が流出した可能性があるとしています。

事故の概要

漏れたもの
  • 氏名
  • 住所
  • 電話番号
  • メールアドレス
  • 購入・利用の履歴
  • その他
暗号化されたパスワード、注文情報。カード情報は外部の決済会社に委託しており漏えいの可能性はないとしている
件数
不明会員約4,200名、非会員約9,000名(対象期間2022年10月〜2025年4月)。合計の公表はない
誰の情報か
利用者(会員・顧客)
状態
可能性あり
原因
不正アクセス
ドメイン
ac-koubaibu.com

経緯

  1. 検知4/16
  2. 公表4/17
  3. 続報4/19
  4. 初動対応4/20
  5. 調査結果—
  6. 再発防止策5/16

検知2025年4月16日

公表の1日前

社内から管理画面が表示されないと報告があり、調べたところ、サイトに複数の改ざんファイル、不審なフォルダ、マルウェアが見つかりました。同じサーバーの関連サイトにも同様の痕跡がありました。マルウェアの除去と改ざんファイルの修復、管理者パスワードの変更などをしています。

追記4月24日の発表による経緯です。

出典acrylic-undoubu.com/incident20250424

公表2025年4月17日

前の出来事から1日後

アクリル購買部のサイトで不正アクセスの形跡が確認されたとして、すべての会員アカウントのパスワードを初期化し、再設定を求めるお知らせを出しました。4月14日〜17日の不正アクセスで個人情報が閲覧された可能性があり、氏名、メールアドレス、電話番号、住所、暗号化済みのパスワードが漏えいの可能性がある情報だとしています。カード情報は保管しておらず影響はないとしました。

追記4月24日の発表によると、この日にアクセスログから4月15日にマルウェアが実行された形跡を確認し、そのマルウェアにデータベースの接続情報を外部に送る機能があったと分かっています。

出典ac-koubaibu.com

続報2025年4月19日

公表から2日後・前の出来事から2日後

会員登録をしていない客に向けて、発送のための注文情報が記録されているため漏えいの可能性があると知らせました。対象は不正アクセスで個人情報が閲覧された可能性で、調査中としています。不審なメールやSMSは開かずに削除するよう求めました。

出典ac-koubaibu.com

初動対応2025年4月20日

公表から3日後・前の出来事から1日後

外部からの不正アクセスによる注文情報の追加を再び確認し、サイトを緊急メンテナンスに切り替えて全アクセスを遮断しました。4月21日にサーバーを入れ替え、22日に新しいサーバーで復旧しています。

追記4月24日の発表による経緯です。

出典acrylic-undoubu.com/incident20250424

続報2025年4月24日

公表から7日後・前の出来事から4日後

運営会社のサイトで経緯をまとめて公表し、個人情報の一部が流出した可能性があると判断したとしました。対象は会員約4,200名と非会員約9,000名(2022年10月〜2025年4月)で、氏名、住所、電話番号、メールアドレス、暗号化されたパスワード、注文情報、購入履歴です。同じサーバーの関連サイト群も対象としています。

4月15日に実行されたマルウェアにデータベースの接続情報を外部に送る機能があったことを確認し、非会員情報の改ざんと注文データ追加の可能性を確認したことから、漏えいの可能性が極めて高いと判断したと説明しました。カード情報は外部の決済会社に委託しており流出の可能性はないとし、現時点で二次被害は確認されていません。

不審なメールや電話への注意、同じパスワードを使うほかのサイトでの変更、覚えのない代引き商品の受け取り拒否を呼びかけ、専用窓口を設けています。

出典acrylic-undoubu.com/incident20250424

再発防止策2025年5月16日

公表から29日後・前の出来事から22日後

続報で、現時点で二次被害は確認されていないとし、個人情報保護委員会と大阪府警に報告したと知らせました。

再発防止策として、アクセスログの週1回の目視確認、関連サイト群の新サーバーへの分離、ファイル改ざん監視の導入、CMSとプラグインのクリーンインストール、サーバーと管理者のパスワードの毎月の変更、サーバー構成の見直しを挙げています。プライバシーマークは2026年4月の取得を目指し、危機管理マニュアルは4月21日に作ったとしています。

出典acrylic-undoubu.com/incident20250516

影響を公表した組織(1)

この事故で影響を受け、自分で公表した組織です。組織ごとの件数や対応は、それぞれのページにあります。

出典

正しい情報については、リンク元の一次情報を必ず参照してください。

このサービスを使っていた方へ

  1. 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
  2. 2知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
  3. 3会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
漏えいのお知らせが届いたら?まず確かめることと、漏れた情報ごとの対応を載せています

誤りや続報のご連絡

誤りや続報の情報をお寄せください

掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。

お問い合わせ