対象：アンドエスティ（and ST）の店舗やWEBストアを利用している人、同社と取引のある会社の担当者、自社で顧客情報を扱う人。本記事は同社の公式発表にもとづく解説で、攻撃や詐欺の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月24日時点まだ分かっていないこと
- 従業員情報の範囲
- 不正アクセスの手段
- 個別連絡の方法と時期
- 専用の問い合わせ窓口
- 会員ポイントの再開時期
同社は10月23日の発表で、対象となる顧客と取引先への連絡を順次始め、問い合わせ窓口を設けるとしています。続報の予定は「新たに報告すべき事項が判明した場合には、速やかにお知らせ」すると書かれています。10月24日に同社のお知らせ一覧を確認した時点で、続報は出ていません。
会員が今日やること
同社からの連絡を、文中のリンクではなく公式アプリで確かめる
同社は、対象となる顧客への連絡を順次始めるとしています。10月24日時点では、連絡がメール・アプリ・郵送のどれで届くかは発表に書かれていません。
同社からの連絡らしいものが届いたら、文中のリンクを開かず、公式アプリか、ブックマークや検索から自分で開いた公式サイトで同じ内容が出ているかを確かめてください。
ブランド名・住所・生年月日が正しくても、本物と決めつけない
流出の可能性がある項目には、氏名・住所・電話番号・メールアドレスに加えて、生年月日と会員IDが含まれます。偽の連絡にも、あなたの本当の住所や生年月日を書くことができます。
「お詫び」「返金」「会員情報の確認」などを理由に、カード番号や口座、ログイン情報の入力を求められたら、その時点でやり取りをやめてください（見分け方は フィッシングとは）。
ポイントの「補償」「失効」をうたう連絡に注意する
同社の発表によれば、店舗とWEBストアで会員ポイントが現在使えなくなっています。こうした状況は、一般に「ポイントを補償します」「ポイントが失効します」といった偽の連絡の口実に使われやすいものです。
ポイントの状況は、公式アプリか公式サイトのマイページで確かめてください。ただしメンテナンス中は、マイページが開けない、保有ポイントが正しく表示されない場合があると同社のサポートページは案内しています。表示がおかしくても、メールやSMSのリンク先から確かめようとしないでください。
パスワードは含まれないとされている。使い回しだけは見直す
同社は、顧客自身が設定したパスワードは流出の可能性がある情報に含まれないと発表しており、パスワードの変更は求めていません。
ただ、会員IDとメールアドレスは含まれます。同じパスワードを他のサービスでも使っているなら、この機会に分けておくと、別の事件でパスワードが漏れたときの被害を防げます。管理には パスワードマネージャー が現実的です。
電話で「本人確認」を求められても答えない
生年月日・住所・電話番号がそろうと、電話で「ご本人確認のため」と言って、残りの情報（カード番号や暗証番号など）を聞き出す連絡が作れます。
同社を名乗る電話でも、その場では答えず、いったん切ってから公式サイトに載っている窓口に自分で問い合わせてください。
入力してしまった・お金を払ってしまったときは、すぐ相談する
偽の連絡に誘われてカード番号や口座の情報を入力した場合は、すぐにカード会社・金融機関に連絡してください。
警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。早く連絡するほど、止められる可能性が高くなります。
取引先の担当者がやること
取引先約1万件について、会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレスが流出した可能性があると発表されています。これらがそろうと、取引の相手を装ったメールを作りやすくなります。
- 同社や同社グループの担当者を名乗って、振込先の変更や急ぎの支払いを求めるメールが来たら、以前から知っている電話番号で本人に確かめる
- メールに書かれた電話番号や、返信先のアドレスには問い合わせない
- 発注や返品に関する見慣れない添付ファイルやリンクは、開く前に社内の担当者に相談する
何が起きたのか（アンドエスティHDの発表から）
株式会社アンドエスティHD（アダストリアなどをグループに持つ持株会社）は2026年10月23日、企業サイトに「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」を掲載しました。以下はすべて同社の発表内容です。
2026年10月22日 午前7時30分頃
外部からの不正アクセスにより、同社の複数のサーバーに順次ログイン試行・侵入・データ抽出が行われた。同日 午前10時頃
同社が不正な操作を検知し、該当するサーバーを隔離。同日 17時まで
不正アクセスの経路を遮断し、社内の業務システムを停止するなどの対応を実施。遮断後、その経路からアクセスできないことを確認した。10月23日
警察へ相談し、個人情報保護委員会へ報告。発表を公開し、対象者への連絡を順次始めるとした。
- 顧客
- 約250万件。氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID
- 取引先
- 約1万件。会社名、発注先/返品先住所、担当者氏名、電話番号、メールアドレス
- 従業員
- 該当する範囲を確認中
- 含まれないもの
- クレジットカード情報などの決済情報と、顧客自身が設定したパスワード
- 経緯
- 10月22日午前7時30分頃から、複数のサーバーに順次ログイン試行・侵入・データ抽出。午前10時頃に検知して隔離、17時までに経路を遮断
- WEBストア
- WEBストア「アンドエスティ」は今回の不正アクセスの影響を受けていない。ただし店舗とWEBストアで会員ポイントが現在使えない
- 対応
- 緊急対策の実施と、不正アクセスの手段の特定・対応を完了。対象の顧客・取引先への連絡を順次開始し、問い合わせ窓口を設置予定
- 報告
- 警察へ相談、個人情報保護委員会へ報告（10月23日）
- 問い合わせ
- 発表に載っている顧客向けの問い合わせフォーム： support.dot-st.com（メールやSMSに書かれた連絡先ではなく、ここか公式サイトから）
and STのサポートページには、10月22日17時頃から「システムメンテナンス」を実施しており、ポイントを使った注文ができない、保有ポイントが正しく表示されない、マイページが開けない、店舗受取・試着サービスの停止、dアカウントや楽天IDとのID連携ができない場合がある、といった影響が出ていると掲載されています（10月24日に確認）。このページ自体は不正アクセスに触れていません。
同社の業務サーバー
10月22日午前7時30分頃から不正アクセス。午前10時頃に検知・隔離
↓ 流出の可能性がある情報
顧客 約250万件
氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID
取引先 約1万件
会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス
↓ 一般に起きうること
同社やブランドを名乗るメール・SMS・電話・郵便
お詫び・ポイント補償・本人確認を口実に、カード番号やログイン情報を求める
↓ リンクや番号は使わない
公式アプリか、自分で開いた公式サイトで確かめる
本当のお知らせなら、そこにも出ている
分かっていること・分かっていないこと
2026年10月24日時点の同社の発表（10月23日）をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | 業務サーバーに第三者による不正アクセスが発生 | 確定（同社） |
| 時期と対応 | 10月22日午前7時30分頃から。午前10時頃に検知・隔離、17時までに経路を遮断 | 確定（同社） |
| 顧客情報 | 約250万件。氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID | 可能性（同社） |
| 取引先情報 | 約1万件。会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス | 可能性（同社） |
| 従業員情報 | 該当する範囲を確認中 | 調査中 |
| 決済情報・顧客が設定したパスワード | 流出の可能性がある情報に含まれない | 含まれない（同社） |
| どの会員サービスの情報か | 発表に書かれていない | 記載なし |
| 不正アクセスの手段（原因） | 特定し対応を完了したとするが、内容は公表されていない | 記載なし |
| WEBストア「アンドエスティ」 | 今回の不正アクセスの影響を受けていない | 確定（同社） |
| 会員ポイント | 店舗とWEBストアで現在使えない。再開時期は書かれていない | 記載なし |
| 対象者への連絡 | 順次開始するとしている。方法と時期は書かれていない | 記載なし |
| 悪用 | 流出した情報を使った連絡が届いているという発表はない | 記載なし |
| 警察・個人情報保護委員会 | 警察へ相談、委員会へ報告 | 確定（同社） |
流出の可能性がある項目で何が起きうるか
以下は、この組み合わせの情報が漏れたときに一般に起きることで、この事件で起きたという発表ではありません。
偽の連絡に書けること
- 氏名・住所・電話番号：ブランド名入りの郵便物やSMS
- 生年月日：電話での「本人確認」のふり
- 会員ID：「会員情報の確認」を装ったログイン画面への誘導
偽の連絡にできないこと
- 公式アプリの中のお知らせを書き換えること
- 自分で開いた公式サイトのマイページの表示を変えること
- 公式サイトに載っている窓口で、同じ話をさせること
同じく会員情報が漏れ、パスワードは含まれなかった過去の例に ミスターマックスのアプリ・オンラインストアへの不正アクセス があります。パスワードが含まれた例との違いは ブックオフの情報漏えい と比べると分かります。
この事件の特徴：取引先の担当者の連絡先も対象
会員だけが対象になる通販・小売の事件が多い中、今回は、取引先約1万件の会社名・発注先/返品先住所・担当者氏名・連絡先も流出の可能性があるとされています。
会員を狙う偽の連絡だけでなく、取引の相手を装って支払いや振込先の変更を求めるメールにも備える必要があります。
顧客情報を扱う運営者が見直すこと
原因（不正アクセスの手段）は公表されていません。ここでは、発表された経緯から言えることに絞ります。
「複数のサーバーへの連続したログイン試行」を通知の対象にする
発表によれば、複数のサーバーに順次ログイン試行が行われました。1台ごとの失敗回数ではなく、同じ送信元から複数のサーバーへ続けてログインを試みる動きを、通知の条件に入れておくと気づきやすくなります。
管理用のログインには、パスワード以外の確認（多要素認証）を必ずかけます。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない侵入の手段や、対象の会員サービスは推測していません。
- 株式会社アンドエスティHD「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」（2026年10月23日） — andst-hd.co.jp
- and ST サポート「【重要】サイトメンテナンスによる影響のお知らせ」（10月24日に確認） — support.dot-st.com
更新履歴
2026-10-24：初版。アンドエスティHDの10月23日の発表にもとづく。従業員情報の範囲・個別連絡の方法・ポイントの再開時期などの続報が出たら更新します。
次に読む
- 同じ型の事案：アバハウスの個人情報漏えい（偽の返金メール） ／ ミスターマックスの不正アクセス
- 便乗詐欺への備え：フィッシングとは ／ なりすましメールとSPF・DKIM・DMARC
- パスワード：パスワードが漏れたか確かめる方法 ／ パスワードマネージャーの選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）