アバハウスの個人情報漏えい（件数調査中）：注文内容まで漏れたおそれと、偽の返金メールへの対処

同社は、取得された情報の範囲を特定できていないため、会員情報を預けているすべての人が対象になり得るとしています。すでに退会した人も、過去の注文情報が受注データとして残っていたため対象です。

対象の可能性がある人には、10月2日に「【重要】お客様の会員情報の不正アクセスによる漏えいの可能性について」という件名のメールが送られています。このメールが届いた人は、自分の情報も漏えいした可能性があるものとして以下を進めてください。

同社は、同社を装った「返金」「欠品」を名目とする不審なメールが確認されていると発表しています。こうしたメールが来たら、本文のリンクや電話番号は使わずに、自分で公式サイトを開いてマイページの注文履歴を見るか、カスタマーサポートセンターに問い合わせてください。

本当に返金や欠品があるなら、注文履歴かサポートセンターで確認できるはずです。パスワード・カード番号・セキュリティコードを、メールのリンク先に入力しないでください（見分け方は フィッシングとは）。

同社が特に注意を呼びかけているのは、次の3つです。

• 同社と関係のないメールアドレス（フリーメールなど）から届く
• 「公式LINE」など、LINEで連絡するよう求める
• 「来週水曜日まで」のように受付期限を設けて急がせる

1つでも当てはまれば、そのメールには返信せず、LINEの友だち追加もしないでください。

同社は予防措置として、AMC（アバハウスメンバーズクラブ）のログインパスワードの変更を勧めています。

同じパスワードを他のサービスでも使っているなら、そちらも変えてください。サービスごとに別のパスワードを管理するには パスワードマネージャー を使うのが現実的です。

カード番号は同社のシステムに保存しておらず、漏えいは確認されていないとされています。それでも同社は、身に覚えのない請求がないか利用明細を確認するよう案内しています。偽のメールに誘われてカード情報を入力した場合に備える意味もあります。

同社は、不審なメールのリンクを開いてしまった場合や被害に遭った場合は、すぐにカード会社・金融機関へ連絡するよう案内しています。

あわせて、警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。恥ずかしがらずに早く連絡するほど、止められる可能性が高くなります。

この事件では、退会した人の過去の注文情報が受注データとして残っていて、対象に含まれました。会計や税務のために一定期間の保存が必要な記録はあります。

そのうえで、項目ごとに「何年保存が必要か」を決め、期限を過ぎたものは自動で削除するか、氏名や連絡先を消して集計用の数字だけを残す形にします。手作業の削除は続きません。

発表によれば、侵入の起点は社内システムへの不正なログインでした。顧客データベースに届く管理画面・リモート接続・クラウドの管理アカウントには、パスワード以外の確認（多要素認証）を必ずかけます。選び方は 多要素認証の選び方 にまとめています。

この事件の発覚は、顧客からの問い合わせでした。サポート窓口に「注文内容が書かれた不審なメールが届いた」という問い合わせが複数来たら、個別の詐欺被害の案内で終わらせず、情報システムの担当者に回す流れを決めておきます。

自社のドメインを名乗る偽メールを減らす設定は なりすましメールとSPF・DKIM・DMARC を参照してください。