対象：株式会社アエナのECアプリの会員（本会員）。本記事は株式会社アエナの公式発表にもとづく解説で、攻撃の手順は扱いません。同社は、サイトで「日本最大級のオフプライスチェーン」と説明している企業です。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 侵入の経路など原因の詳細
- 実際に持ち出されたかどうか
- 対象者の確定
- 二次被害の有無
- 補償の有無
同社は10月20日の発表で、情報セキュリティ体制の強化と監視システムの見直しを進めるとしています。続報の時期は書かれていません。10月30日に同社のお知らせ一覧を確認し、10月20日の「サービス再開のお知らせ」より新しい、本件の発表は見当たりませんでした。
会員が今日やること
自分が対象になり得るかを知る
閲覧された可能性があるとされたのは、ECアプリの本会員で、最大817,215人です。LINE会員と、Amazonや楽天などで利用した顧客は対象外とされています。同社は、対象となる可能性のある会員には順次個別のメールで案内しているとしています。
ECアプリの会員だった人は、メールの有無にかかわらず、対象の可能性がある前提で次の手順に進みます。
アプリのパスワードを再設定する
同社の10月20日の発表によれば、サービス再開後の初回起動時にパスワード再設定画面が表示されるので、案内に従って新しいパスワードを設定します。パスワードはいつでも変更でき、手順は「会員証」→「会員情報の確認・変更」→「会員情報の変更」です。
同社はパスワードの閲覧・流出はないとしています。それでも、同じパスワードを他のサービスにも使っていたなら、そちらも変えます（パスワード漏えいの確認方法／パスワードマネージャーの選び方）。使えるサービスでは2段階認証を有効にします（当サイトの勧め）。
届け先・注文を装う連絡のリンクや番号は使わない
同社は、メール・SMS・電話でパスワードやカード情報を尋ねることはないとしています。
今回は、氏名・住所・電話番号・メールアドレスに加え、お届け先の情報とカードの下4桁が含まれる可能性があります。「お荷物をお届けできません」「ご注文内容の確認」「カードの再登録」といった、本物らしい連絡を作れる材料がそろっています。このような連絡が来ても、本文のリンクや書かれた電話番号は使わず、自分で開いた公式サイトやアプリの案内で確かめます（フィッシングとは）。
カードの明細を確かめる
カードは下4桁・有効期限・カード名義が閲覧された可能性があるとされ、全桁の番号とセキュリティコードは同社が保有していません。同社は、購入の確定（決済）が行われていないことを確認しているとしています。一般的な備えとして、カードの利用明細に身に覚えのない請求がないかを確認し、不審があればカード会社に連絡します。再発行の要否はカード会社に相談します。
届け先に登録した人の情報も含まれる可能性があることを知る
閲覧された可能性のある情報には、お届け先の住所・氏名・電話番号が含まれ、発表は第三者宛を含むとしています。贈り物などで家族や友人の住所を登録していたなら、その人の情報も含まれる可能性があります。必要なら、その人に、不審な連絡に注意するよう伝えてください。
問い合わせ先と退会
同社は、お客様専用窓口（フリーダイヤル 0120-532-565、10:00〜17:00、土日祝を除く）を案内しています（10月14日の発表）。10月16日には、お知らせ一覧に「ECアプリ会員 退会専用ページ」の開設が掲載されています。退会の手続きは、同社の公式サイトの案内に従ってください。
① アエナを名乗る配送・注文・カードの連絡
氏名・住所・届け先が正しい → ここでは判断しない
↓
② リンク・番号は使わず、公式サイトやアプリを自分で開く
お客様専用窓口 0120-532-565（平日10:00〜17:00）
↓
③-A 確かめられない要求
パスワード・カード番号の入力、添付ファイルを開く → 応じない
③-B 公式サイトやアプリにも同じ案内がある
手続きは公式の案内に沿って行う
何が起きたのか（株式会社アエナの発表より）
以下は、同社が公表した3件のお知らせ（10月14日「外部からの不正アクセスによるお客様情報流出の可能性について」、10月16日「サービス再開予定に関するお知らせ」、10月20日「サービス再開のお知らせ」）にもとづきます。
2026年10月13日（火）5時58分
システムログの解析の結果、会員マイページが不正に閲覧されていたことが判明10月14日（水）
公表。閲覧された可能性のある会員は最大817,215人。発表の時点で、ECサイトのアクセスを遮断し、再発防止策を構築中。対象となる可能性のある会員に、順次個別のメールで案内10月16日（金）
サービス再開の予定を公表。「2026年10月19日（月）午後」の再開を予定し、作業の進捗状況で時刻が前後することがあるとした10月19日（月）正午
ECアプリのサービスを再開（10月20日の発表による）。再開後の初回起動時にパスワード再設定画面が表示される
- 会員情報
- 氏名、住所、電話番号、メールアドレス、生年月日、性別、職業
- お届け先情報
- 登録されているお届け先の住所・氏名・電話番号（第三者宛を含む）
- 設定情報
- お気に入り店舗、メール配信設定
- クレジットカード（一部）
- 登録済みクレジットカードの下4桁、有効期限、カード名義
- 含まれないもの（同社）
- カード番号の全桁とセキュリティコード（保有していない）、パスワードの閲覧・流出。会員情報の変更、退会手続き、購入の確定（決済）は行われていないことを確認
- 対象外（同社）
- LINE会員、Amazonや楽天などで利用した顧客
- 問い合わせ
- お客様専用窓口 0120-532-565（10:00〜17:00、土日祝を除く）
分かっていること・分かっていないこと
2026年10月30日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | 10月13日5時58分にログの解析で判明 | 確定（同社） |
| 閲覧された会員数 | 最大817,215人（本会員） | 可能性（同社） |
| 氏名・住所・電話番号・メールアドレス・生年月日・性別・職業 | 閲覧された可能性 | 可能性（同社） |
| お届け先の住所・氏名・電話番号 | 第三者宛を含み、閲覧された可能性 | 可能性（同社） |
| お気に入り店舗・メール配信設定 | 閲覧された可能性 | 可能性（同社） |
| クレジットカードの下4桁・有効期限・カード名義 | 閲覧された可能性 | 可能性（同社） |
| カード番号の全桁・セキュリティコード | 保有していない。閲覧・流出なし | 含まれない（同社） |
| パスワード | 閲覧・流出なし | 含まれない（同社） |
| 会員情報の変更・退会・購入の確定 | 行われていないことを確認 | 確認されていない（同社） |
| LINE会員、Amazonや楽天での購入者 | 対象外 | 含まれない（同社） |
| 情報が実際に持ち出されたか | 「閲覧された可能性」とのみ記載 | 記載なし |
| 悪用 | 「現時点において、本件に起因する会員情報の悪用や二次被害等は確認されておりません」（10月14日時点）。フィッシングやなりすましへの注意あり | 確認されていない（同社） |
| 原因 | 「不正アクセスを通じて、機械的な連続アクセスが行われた」。詳細は調査中 | 調査中 |
| 補償 | 記載なし | 記載なし |
読み方の注意：「最大」の数字は人数で、「閲覧された可能性」であり、持ち出しの確認ではない
817,215人は「閲覧された可能性のある会員数」の最大です。実際に何人分の情報が見られたか、持ち出されたかは書かれていません。10月16日の発表は再開を「10月19日（月）午後」の予定としていましたが、10月20日の発表は再開を「10月19日（月）正午」としています。（同発表は「本日」再開したとも書いており、日時の書き方に揺れがあります）。当サイトは、再開日時は10月20日の発表の記載に従っています。
閲覧された可能性のある項目の組み合わせで何が起きうるか
以下は、今回の項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋住所＋電話番号＋メールアドレス：本物らしい宛名と連絡先を持つ偽のメール・SMSを作れる。宅配の不在通知や注文確認を装う形が典型
- お届け先（第三者宛を含む）：会員本人だけでなく、贈った相手にも連絡が届きうる。相手はアエナと関係がないので、疑いにくく、また驚かせて急がせる文面にされやすい
- カードの下4桁・有効期限・名義：カード会社やアエナを装う連絡で「カード番号のご確認」として本物らしく見せる材料になりうる。番号の全桁やセキュリティコードは含まれないため、これだけで決済はできないが、残りを聞き出そうとする連絡が来うる
- 生年月日：本人確認を装う連絡で「本人しか知らない」と見せかける材料になりやすい
どれも、届いた連絡のリンクや番号を使わず、自分で開いた公式サイトやアプリで確かめれば防げるものが中心です。続報は同社のお知らせで確かめてください。
運営者が見直すこと
原因の詳細は公表されていないため、ここでは公表された経緯から言えることだけを挙げます。
- 検知の手がかり：同社は、システムログの解析で閲覧を見つけたとしています。ログの解析で見つかったことは、記録を取っていたから分かったことです。ログの保存と、見るための仕組みを点検します。
- 「機械的な連続アクセス」が成り立つ余地：原因として挙げられたのは、機械的な連続アクセスです。一般に、短時間に多数の会員の画面を順に見るような動きは、回数の制限や不審なアクセスの検知で止められることがあります。今回の経路は公表されていないので、本件の原因とは書きません。
- 届け先に第三者の情報を持つこと：マイページに第三者の氏名・住所・電話番号を持つ設計は、閲覧されたときの影響が会員以外にも及びます。表示する項目の絞り込みや、一部を伏せ字にすることを検討できます。
- 対応の速さ：同社は判明の翌日に公表し、公表の時点でECサイトのアクセスを遮断していました。再開後の初回起動でパスワードの再設定を案内する措置も取っています。公表された経緯から言える点です。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因の詳細・持ち出しの有無・補償は推測していません。
- 株式会社アエナ「外部からの不正アクセスによるお客様情報流出の可能性について」（2026年10月14日） — aena.co.jp
- 株式会社アエナ「【重要】弊社ECアプリ サービス再開予定に関するお知らせ」（10月16日） — aena.co.jp
- 株式会社アエナ「【重要】弊社ECアプリ サービス再開のお知らせ」（10月20日） — aena.co.jp
- 株式会社アエナ お知らせ一覧（10月30日に確認） — aena.co.jp/news
更新履歴
2026-10-30：初版。株式会社アエナの10月14日・16日・20日の発表と、お知らせ一覧（10月30日に確認、10月20日より新しい本件の発表は見当たらず）にもとづく。原因の詳細・持ち出しの有無・補償が公表されたら更新します。
次に読む
- 同じ時期の国内の小売の事案：ミスターマックス（会員の氏名・メール・電話） ／ トイポアプリへの不正アクセス
- 同じ型の事案（プロバイダーの会員情報）：So-net会員データベースへの不正アクセス
- 便乗詐欺への備え：フィッシングとは ／ スマホを安全に使う基本
- アカウントを守る：パスワード漏えいの確認方法 ／ パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）