ファンケル・アテニアのECサイトへの不正アクセス（会員36.8万人・41.7万人）：氏名・住所・電話番号・生年月日が漏えい、会員がやること

対象は両社が保有する会員情報の一部です。ファンケルのよくあるご質問によれば、対象のお客様には10月17日（土）中に、登録メールアドレス宛に連絡したとしています（10月25日に確認）。

案内が届いているか分からないときや、届いたメールが本物か迷うときは、ファンケル/アテニア共通専用ダイヤル（0120-333-600、受付は9時〜17時、土日祝日を含む）に問い合わせてください。番号はメールに書かれたものではなく、公式発表に載っているものを使います。

両社は、漏えいした個人情報が「なりすましメールやフィッシング詐欺などに悪用されるおそれがあります」としています。ポイントの失効、会員ステージの変更、お詫びや補償をうたう連絡は、会員にとって不自然でないため気づきにくくなります。

内容を確かめたいときは、自分で開いた公式サイトやアプリを使ってください（見分け方は フィッシングとは）。

住所と電話番号も漏れているため、偽の連絡はメールだけとは限りません。両社は、パスワードやクレジットカード情報などを尋ねることはないとしています。

電話で求められたら、いったん切って、公式発表に載っている番号にかけ直してください。郵便物に書かれた電話番号やQRコードも使わないでください。

漏えいした項目には、サブメールアドレスとそのパスワードが含まれます。両社によれば、これは一部の人が設定しているハッシュ化された2次パスワードで、そのままでは読み取れない情報です。メインのパスワードは対象外です。

ハッシュ化されていても、短い・ありふれた文字列は時間をかければ割り出されることがあります（パスワードのハッシュ化とは）。2次パスワードを設定した覚えがあり、同じ文字列を他のサービスでも使っている人は、そちらを変更してください。両社も定期的なパスワードの変更を呼びかけています。

本人認証の質問は、項目だけが漏れ、回答は含まれていません。どの質問を選んだかを知った相手が、電話やメールで答えを聞き出そうとすることは一般に考えられます。答えを尋ねる連絡には応じず、同じ質問と答えを他のサービスでも使っていれば、そちらを見直してください。

両社は、原因となった機能を特定して停止したとしており、本件による事業活動・サービスへの影響はないとしています。サイト全体を止めずに、問題のある機能だけを切り離せる作りにしておくと、調査を続けながら被害の広がりを抑えられます。自社のECサイトでも、会員情報を返す機能ごとに、止める手順と担当者を決めておきます。

漏えいした項目には、一部の人だけが設定するサブメールアドレスと2次パスワード、本人認証質問の項目が含まれていました。使う人が少ない機能のデータも、会員情報と一緒に持っていれば、漏えいの対象になります。使われていない機能のデータは削除できないか、本当に会員情報と同じ場所に置く必要があるかを、定期的に確かめます。

両社は、2次パスワードをハッシュ化して持っていたとしています。会員のパスワードは、平文や元に戻せる形で持たず、ソルト付きの遅いハッシュ（bcrypt や Argon2 など）で保存するのが基本です。詳しくは パスワードの保存方法（ハッシュとソルト） を参照してください。

両社は公表の翌日に共通専用ダイヤルを開き、ファンケルのよくあるご質問によれば同日中に対象者へメールで連絡しました。偽の連絡が出回る前に本物の案内が届けば、会員は見分けやすくなります。案内のメールには、リンクから個人情報を入力させる作りを避け、公式サイトで確かめるよう添えると、偽物との区別がつきやすくなります。