アンドエスティの情報漏えい｜お客さま約250万件の可能性の範囲と会員が確かめること 2026

株式会社アンドエスティHD（2025年9月までの社名は株式会社アダストリア）は2026年10月23日、業務サーバーが第三者による不正アクセスを受け、お客さま約250万件、お取引先さま約1万件の個人情報などが外部に流出した可能性があると発表しました。 流出の可能性があるとされる項目は、お客さまについては氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDで、クレジットカード情報などの決済情報と、お客さま自身が設定したパスワードは含まれないと明記されています。 WEBストア「アンドエスティ」の会員がまずすることは、会社を装った偽のメールやSMS、電話を開かない・応じないこと、マイページでパスワードを再設定して他のサービスとの使い回しをやめること、心当たりのないログイン通知が届いていないかを確かめることの3つです。

この記事では、アンドエスティHDの公式発表と、WEBストア「アンドエスティ」のお知らせ（2026年10月24日17時45分更新）に書かれていることだけを土台に、公表の経緯、流出の可能性がある項目、原因、会社の対応、自分が対象かを確かめる方法、利用者がすること、問い合わせ窓口を順に整理します。ニュース記事や解説記事で伝えられている内容は出典にしていません。あわせて、在宅で仕事をしている人が同じメールアドレスを仕事にも使っている場合の考え方も書きます。

2026年10月25日時点で分かっていること

まず全体像です。株式会社アンドエスティHDは、ローリーズファームなどのブランドを展開する株式会社アダストリアや、WEBストア「アンドエスティ」を運営する株式会社アンドエスティなどを傘下に持つ持株会社で、東京証券取引所プライム市場に上場しています。会社の沿革によると、2024年10月にWEBストアの名称を「.st（ドットエスティ）」から「and ST（アンドエスティ）」へ変え、2025年9月に会社の商号を株式会社アダストリアから株式会社アンドエスティHDへ変更しています。「アダストリアの情報漏えい」「ドットエスティの情報漏えい」として調べている人が見ているのも、この同じ事案です。

2026年10月25日時点で、公式に発表されている要点は次のとおりです。

項目	公式発表の内容
発表した会社	株式会社アンドエスティHD
何が起きたか	業務サーバーへの第三者による不正アクセス。個人情報などが外部に流出した可能性
発生日時	2026年10月22日午前7時30分頃から、複数のサーバーに対してログイン試行、侵入、データ抽出が順次行われた
検知と隔離	同日午前10時00分頃に不正な操作を検知し、該当サーバーを隔離
遮断	同日17時00分までに不正アクセス経路を遮断し、社内業務システムを停止
公表日	2026年10月23日（17時00分の適時開示と、コーポレートサイトの重要なお知らせ）
件数（流出の可能性）	お客さま約250万件、お取引先さま約1万件、従業員は該当範囲を確認中
含まれない項目	クレジットカード情報などの決済情報、お客さま自身が設定したパスワード
影響を受けていないもの	WEBストア「アンドエスティ」のシステムサーバー
届け出	2026年10月23日に警察へ相談し、個人情報保護委員会へ報告

件数は「流出の可能性がある」として発表された数で、「流出した」と確定した数ではありません。会社も発表の中で「10月23日時点で流出の可能性が判明した個人情報等の内容」という表現を使っています。この記事でも、その表現に合わせて書きます。

公表の経緯：10月22日の発生から10月24日の更新まで

公式に公表されている日付と内容を、時間の順に並べます。

2026年10月22日（木）午前7時30分頃、外部からの不正アクセスにより、アンドエスティHDの複数のサーバーに対して、ログイン試行、侵入、データ抽出が順次行われました。会社は午前10時00分頃に不正な操作を検知して、該当のサーバーを隔離しました。同日17時00分までに不正アクセス経路を遮断し、社内業務システムの停止などの対応を行い、遮断後にその経路からアクセスできないことを確かめたと発表しています。WEBストア「アンドエスティ」でも、同日17時頃からメンテナンスが始まりました。

2026年10月23日（金）、会社は警察への相談と個人情報保護委員会への報告を行いました。同日17時00分に、東京証券取引所の適時開示として「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」を出し、同じ内容をコーポレートサイトの「重要なお知らせ」にも掲載しました。WEBストア「アンドエスティ」のニュースにも、同日17時00分付で「当社業務サーバーへの不正アクセスに関するお詫びとお知らせ」が公開されています。

2026年10月24日（土）17時45分、WEBストア側のお知らせが更新され、サイトの稼働状況が追記されました。オンラインショップでのポイント利用と保有ポイントの表示、dアカウントと楽天IDのID連携は同日15時00分に復旧し、店舗受取サービスと試着サービス、実店舗でのポイント利用は引き続き停止中と書かれています。

2026年10月25日時点では、コーポレートサイトの「重要なお知らせ」に10月23日の発表より新しい掲載はありません。会社は「さらなる詳細な調査の結果、新たに報告すべき事項が判明した場合には、速やかにお知らせいたします」としているので、続報はコーポレートサイトのニュース一覧とWEBストアのニュース一覧で確かめるのが確実です。

発表の原文で確かめる

一次資料は2つあります。1つはアンドエスティHDのコーポレートサイトに掲載された重要なお知らせ、もう1つは東京証券取引所の適時開示情報閲覧サービスに出た同じ内容のPDFです。概要と経緯の部分は、次のように書かれています。

2026年10月22日（木）午前7時30分頃、外部からの不正アクセスにより、当社の複数サーバーに対して順次ログイン試行、侵入、およびデータ抽出が行われました。当社は午前10時00分頃、不正な操作を検知し、当該サーバーを隔離いたしました。 その後、被害拡大を防止するため、同日17時00分までに、不正アクセス経路の遮断を実施し、社内業務システムの停止などの対応を行うとともに、遮断後に当該経路からアクセスできないことを確認しました。 出典: andst-hd.co.jp

会員向けには、WEBストア「アンドエスティ」のお知らせのほうが読みやすく、クレジットカード情報とパスワードについての説明、なりすましの注意、会員にお願いしていることが書かれています。この記事の後半で引用します。

公式発表を読むときは、「WEBストアは影響を受けていない」という一文と「お客さま約250万件の流出の可能性」という一文が、同じ発表の中に並んでいる点に注意が要ります。不正アクセスを受けたのはWEBストアのシステムサーバーではなく、会社の業務サーバーです。ただ、その業務サーバーにお客さまの氏名や住所などが保存されていたため、WEBストアの会員の情報が流出した可能性がある、という構図です。「WEBストアは無事」は「会員情報は無事」と同じ意味ではありません。

流出の可能性があるとされる項目と、含まれないと明記された項目

発表に書かれた項目を、対象ごとに分けて表にします。左の列が「流出の可能性がある」とされた項目、右の列が会社が「含まれない」と明記した項目です。

対象	流出の可能性があるとされた項目	含まれないと明記された項目
お客さま（約250万件）	氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID	クレジットカード情報などの決済情報、お客さま自身が設定したパスワード
お取引先さま（約1万件）	会社名、発注先と返品先の住所、担当者氏名、電話番号、メールアドレス	発表に記載なし
従業員	該当範囲を確認中	発表に記載なし

お客さまの項目は、氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDの7つです。住所と電話番号と氏名がそろっているので、郵便物や電話でのなりすましに使われる余地があります。生年月日が入っているため、本人確認の質問に生年月日を使っているサービスでは、答えが推測されやすくなります。

一方で、クレジットカード情報などの決済情報と、お客さま自身が設定したパスワードは含まれないと明記されています。WEBストア側のお知らせでは、その理由も説明されています。WEBストアのクレジットカード決済は外部の決済サービスを使っており、会社のサーバーにはカード番号の全桁、有効期限、セキュリティコードなどを一切保持・保管していない、という説明です。

今回の不正アクセスは当社の業務サーバーにおいて発生したものであり、当ECサイト（アンドエスティ）のシステムサーバーへの不正アクセスは確認されておりません。 また、当サイトにおけるクレジットカード決済は外部の決済サービスを利用しており、当社サーバー内にはクレジットカード情報（カード番号全桁、有効期限、セキュリティコード等）を一切保持・保管しておりません。 これらに伴い、当サイトにおけるクレジットカード情報およびログインパスワードが今回の事象によって外部に漏えいした事実はございません。 出典: dot-st.com

お取引先さまの約1万件は、会社名、発注先と返品先の住所、担当者氏名、電話番号、メールアドレスです。アンドエスティHDグループと取引のある会社の担当者は、自社の名前と自分の氏名、連絡先が一緒に出ている可能性があるため、会社名を名乗った偽の請求や発注の連絡に注意が要ります。従業員については、2026年10月25日時点では「該当範囲確認中」で、項目も件数も発表されていません。

原因：外部の第三者による不正アクセス

原因について、会社の発表は「外部からの不正アクセスにより、当社の複数サーバーに対して順次ログイン試行、侵入、およびデータ抽出が行われました」と書いています。不正アクセスの入口がどこだったか、どのような手口だったかは、2026年10月25日時点の発表には書かれていません。会社は「不正アクセス手段の特定と対応を完了しており」としているので、会社としては侵入の方法を特定済みで、その方法での再侵入を防ぐ対応は済んでいる、と読めます。

発表の流れを時間で見ると、不正アクセスの開始が10月22日午前7時30分頃、検知が午前10時00分頃、経路の遮断が17時00分までです。検知までに約2時間30分、遮断までに約9時間30分かかったことになります。この間にどのサーバーから、どの範囲のデータが抽出されたのかの詳細は、公式には出ていません。「約250万件」も「流出の可能性がある」件数であって、実際に外部へ送信されたことが確認された件数ではないと発表に書かれています。

今回の事案は、ランサムウェア（データを暗号化して身代金を要求するウイルス）による被害や、委託先のシステムからの流出といった発表ではありません。会社自身の業務サーバーに外部から入られた、という発表です。この点で、同じ時期に公表された、メール配信システムやプリペイドカードの運用委託先が不正アクセスを受けた他社の事案とは、原因の構造が違います。

分かっていないことは、分かっていないと書きます。侵入の手口、最初に侵入されたサーバー、データが実際に外部へ送られたかどうか、従業員の情報の範囲、業績への影響額は、いずれも2026年10月25日時点では「調査中」または「精査中」と発表されています。

アンドエスティHDの対応

会社が発表している対応を、順に並べます。発表に書かれていないことは書きません。

• 2026年10月22日午前10時00分頃、不正な操作を検知して該当サーバーを隔離
• 同日17時00分までに不正アクセス経路を遮断し、社内業務システムを停止。遮断後にその経路からアクセスできないことを確認
• 2026年10月23日に警察へ相談し、個人情報保護委員会へ報告
• 緊急対策の実施と、不正アクセス手段の特定と対応を完了
• 対象となるお客さまとお取引先さまへの連絡を順次開始
• 本件に関するお問い合わせ窓口を設置（お客さま問い合わせ窓口は「アンドエスティ カスタマーサポート」のお問い合わせフォーム）
• 当期の業績に与える影響は精査中。重大な影響が見込まれる場合は速やかに知らせる
• 詳細な調査で新たに報告すべき事項が判明した場合は速やかに知らせる

WEBストア側では、2026年10月22日17時頃からメンテナンスを実施し、業務サーバーの不正アクセスの検知に伴う緊急の調査と遮断、関連システム全体の安全点検を行ったと発表しています。2026年10月24日17時45分の更新時点で、オンラインショップは「安全な環境のもと、各種サービスをご利用いただけます」としつつ、一部のサービスは停止が続いています。

会員に対しては、WEBストアのお知らせの中で、パスワードの再設定と使い回しの防止、不審なログイン通知の確認をお願いしています。パスワードは漏えいしていないとしながら再設定を呼びかけているのは、「万全を期した安全確保のため」という理由です。

補償やお詫びの金品については、2026年10月25日時点の発表に記載がありません。ポイントについては、メンテナンス期間中に失効したポイントは後日補填対応を予定、メンテナンス期間中の購入に伴う付与ポイントは後日順次反映を予定、と書かれています。これはメンテナンスによるポイントの扱いの話で、情報流出の可能性に対する補償として発表されたものではありません。

会員ポイントとサービスの停止・復旧の状況

今回の事案で、多くの会員が最初に気づいたのは「ポイントが使えない」という変化だったはずです。2026年10月23日の発表では「店舗およびWEBストアにおいて、現在会員ポイントをご利用いただけなくなっています」と書かれていました。その後の状況は、WEBストアのお知らせの2026年10月24日17時45分の更新で次のように整理されています。

状態	サービス
復旧済み（2026年10月24日15時00分）	オンラインショップでのポイント利用、保有ポイントの表示、ID連携（dアカウントと楽天ID）
引き続き停止中	店舗受取サービス、試着サービス、実店舗でのポイント利用

保有ポイントの表示について、画面に出ているポイント数は「現時点でご利用可能なポイント数」で、メンテナンス期間中の購入に対する付与ポイントは未反映、後日順次反映の予定と書かれています。メンテナンス期間中に失効したポイントは後日補填対応を予定、ともあります。ポイントが減ったように見えても、未反映の分が後から入る可能性があるので、すぐに不正利用を疑う前に、この更新の内容と照らし合わせるのが先です。

注文商品の発送については、順次出荷しているものの、お届けまでに通常より日数がかかる場合や、指定した配送日時に届けられない可能性があると書かれています。実店舗でポイントを使う予定がある人は、再開の案内がWEBストアのお知らせに出るまで待つことになります。

自分が対象かを確かめる方法

発表では、対象となるお客さまへの連絡を「順次開始」するとしています。2026年10月25日時点で、連絡の方法（メールか郵送か）、連絡が届く時期、全員に届け終わる見込みの時期は公式に示されていません。そのため、連絡を待つだけでなく、次の順で自分の状況を確かめておくと落ち着いて対応できます。

1つ目：WEBストア「アンドエスティ」の会員かどうかを思い出す

流出の可能性がある項目に「会員ID」が入っているので、対象の中心はWEBストア「アンドエスティ」（旧「.st（ドットエスティ）」）の会員情報と読めます。グループのブランドの店舗で会員登録をした人、アプリをダウンロードして登録した人、名称が「.st」だった時代に登録してそのまま使っていない人も会員のままです。会社の沿革には、2019年12月に「.st」の会員登録者数が1,000万人を超えたと書かれています。約250万件という数は、この会員の一部に当たります。どの会員が含まれるかの条件（登録時期、購入履歴の有無など）は、2026年10月25日時点では発表されていません。

2つ目：会社からの個別の連絡を待ち、本物かどうかを見分ける

会社は対象者への連絡を順次開始するとしています。連絡が届いたら、差出人のアドレスやリンク先をすぐに信じるのではなく、WEBストアのお知らせに書かれている次の一文を基準に判断します。

当社から、メールやSMS等でクレジットカード情報の再登録・再決済や、パスワードの入力を求めることは一切ございません。 不審な連絡を受信された場合は、メッセージ内に記載されたリンク（URL）は絶対に開かず、速やかに削除していただきますようお願い申し上げます。 出典: dot-st.com

つまり、カード情報の再登録、再決済、パスワードの入力を求める連絡は、会社を名乗っていても本物ではありません。本物の連絡であっても、メールの中のリンクからではなく、ブラウザのブックマークやアプリから直接WEBストアを開いて確かめるのが安全です。

3つ目：マイページでログイン通知とパスワードを確かめる

会社は、身に覚えのないログイン通知が届いていないかを確かめること、不審な点があればカスタマーサポートに連絡することをお願いしています。あわせて、マイページからパスワードを再設定するよう呼びかけています。自分が対象かどうかの連絡を待っている間にも、この2つは先に済ませておけます。

発表に無いことも書いておきます。2026年10月25日時点で、会員が自分の会員IDを入力して「対象かどうか」を照会できる専用ページは、公式には案内されていません。対象かどうかを確かめる手段は、会社からの個別の連絡と、カスタマーサポートへの問い合わせの2つです。

利用者がすること：流出の可能性がある項目に合わせて

流出の可能性がある項目は、氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDです。カード情報とパスワードは含まれないと明記されています。この組み合わせに対して、やることを優先順に書きます。

偽のメール・SMS・電話を見分ける

最初に警戒するのは、会社や決済代行会社を装った連絡です。氏名とメールアドレス、電話番号がそろっていると、本名で呼びかけてくる偽のメールやSMS、電話が作れます。見分ける基準は、会社自身が公式に示している「カード情報の再登録・再決済やパスワードの入力をメールやSMSで求めることは一切ない」の一文です。これに当たる連絡は、文面がどれだけ本物らしくても開かずに削除します。

電話の場合も同じです。「アンドエスティのポイントの件で」「不正アクセスの補償の手続きで」と電話がかかってきて、生年月日やカード番号、ワンタイムパスワードを聞かれたら、それだけで偽物と判断してよい内容です。会社は補償についての発表をしていませんし、電話で本人確認の情報を聞き出す案内もしていません。会社や知人を装って情報を引き出す手口の見分け方は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、実際の文面の特徴とともに整理しています。

住所と電話番号が出ている場合の注意

住所、氏名、電話番号がそろって出ている可能性があるため、郵便物や宅配を使った手口にも注意が要ります。頼んでいない商品が代金引換で届く、公式の封筒を装った郵便で「手続きのため同封の用紙に記入して返送してください」と求められる、といった形です。心当たりのない代金引換は受け取りを断り、郵便で個人情報の記入を求められたら、WEBストアのお知らせと照らして会社に確かめます。住所が漏れたときに気をつけることと相談先は、住所が漏れたときの対処にまとめています。

パスワードを再設定し、使い回しをやめる

会社の発表では、WEBストアのパスワードは漏えいしていません。それでも会社がマイページからの再設定をお願いしているのは、会員IDとメールアドレスが出ている可能性があるからです。会員IDとメールアドレスが分かっていると、攻撃者は他のサービスから過去に漏れたパスワードを順に試す「パスワードリスト攻撃」を仕掛けられます。他のサービスと同じパスワードを使っていた人は、WEBストアだけでなく、同じ組み合わせを使っている別のサービスも変えるのが、今回いちばん効果の大きい対策です。

自分のメールアドレスが過去にどこかの漏えいに含まれていたかは、無料で確かめられます。手順はHave I Been Pwnedの使い方に、画面の順に書いています。過去の漏えいに含まれていたなら、そのとき使っていたパスワードは今回の事案と関係なく、すでに危ない状態です。

生年月日と会員IDの扱い

生年月日は変えられない情報です。本人確認の質問に生年月日を使っているサービス、暗証番号を生年月日にしている銀行のキャッシュカードやスマートフォンのロックがあるなら、今回を機に別の数字に変えます。会員IDは、WEBストアのログインに使う識別子です。会員IDをそのまま他のサービスのユーザー名に流用している人は、同じ名前と同じパスワードの組み合わせで試される危険が高くなるので、パスワードの側を必ず変えます。

連携しているIDと、二段階認証

WEBストアはdアカウントと楽天IDのID連携に対応しており、2026年10月24日15時00分に復旧しています。連携しているIDがある人は、そちらのアカウントにも身に覚えのないログイン通知が来ていないかを見ます。dアカウントと楽天IDの側で二段階認証（パスワードに加えて、スマートフォンに届く確認コードなどを求める仕組み）を設定していない人は、設定しておくと、パスワードが推測されても入られにくくなります。二段階認証の仕組みと設定の考え方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で解説しています。

クレジットカードの明細

カード情報は含まれないと明記されているので、今回の事案を理由にカードを止める必要があるとは発表されていません。ただ、偽のメールやSMSにだまされてカード情報を入力してしまうと、そこから被害が始まります。不審な連絡を開いてしまった覚えがある人は、その月の明細を見て、心当たりのない利用がないかを確かめます。カード会社への連絡は、明細に心当たりのない利用が出たときに行います。

問い合わせ窓口

公式に案内されているお客さま向けの窓口は1つです。

• 窓口名：アンドエスティ カスタマーサポート
• 形式：お問い合わせフォーム（support.dot-st.com のヘルプセンターの「お問い合わせ」ページ）
• 入口：アンドエスティHDの重要なお知らせとWEBストア「アンドエスティ」のお知らせの末尾に、フォームのURLが載っています

2026年10月25日時点で、電話番号と受付時間は公式に案内されていません。フォームのページには「返信までに数日お時間をいただいております」と書かれており、24時間365日回答するAIチャットを先に試すよう案内されています。ヘルプセンターの注意書きには、携帯電話会社のメールアドレスやiCloudのメールアドレスでは返信が届かないことが多発しているため、GmailやYahoo!メールなどのアドレスを推奨するともあります。問い合わせの返信を確実に受け取りたい人は、この点に注意して送ります。

公式発表の窓口に、電話番号を載せた案内はありません。「アンドエスティの問い合わせ窓口」として電話番号を案内するメールやSMSが届いたら、それ自体が偽物の可能性が高いと考えてよい材料です。報道関係者向けの取材フォームは別に用意されていますが、会員が使う窓口ではありません。

会社ではなく第三者に相談したいときの窓口も書いておきます。事業者の個人情報の扱いについての苦情や質問は、個人情報保護委員会の個人情報保護法相談ダイヤル（電話番号 03-6457-9849、受付時間 9時30分から17時30分、土日祝日と年末年始を除く）で受け付けています。ガイドラインやQ&Aに基づく助言が中心で、違法かどうかの判断や個別の補償の交渉はしてもらえません。

在宅で仕事をする人が気をつけること

WEBストア「アンドエスティ」は衣料品や雑貨の通販サイトなので、仕事とは関係がないと感じるかもしれません。ただ、在宅で仕事をしている人の中には、1つのメールアドレスと1つの電話番号を、仕事にも私用にも使っている人が少なくありません。その場合、今回の事案は仕事にも関わってきます。

仕事用の連絡先で登録していないかを確かめる

WEBストアに登録したメールアドレスと電話番号が、取引先との連絡に使っているものと同じかどうかを確かめます。同じであれば、その連絡先に会社を装った偽のメールやSMSが届く可能性があるだけでなく、同じメールアドレスで使っている仕事のサービスにも、ログインを試される危険が高まります。クラウドストレージ、請求書の作成サービス、チャットツール、クラウドソーシングのアカウントのパスワードが、WEBストアと同じになっていないかを優先して確かめます。

誰の情報が、誰のところから出たのかを分ける

「漏えい」と聞くと「取引先に知らせなければ」と慌てがちですが、まず、誰の情報が誰のところから出たのかを分けて考えます。今回流出の可能性があるのは、アンドエスティHDが管理していた、自分自身の会員情報です。自分が預かっている取引先の情報が出た、という話ではありません。個人情報保護法で、個人情報保護委員会への報告と本人への通知を行う立場にあるのは、情報を管理していたアンドエスティHDです。

個人情報保護委員会の漏えい等報告の解説ページによると、事業者に報告が義務付けられるのは、不正の目的で行われたおそれがある行為による漏えい（またはそのおそれ）や、本人の数が1,000人を超える漏えい（またはそのおそれ）などの場合で、不正アクセスによる漏えいは「不正の目的をもって行われたおそれがある」場合の例として挙げられています。アンドエスティHDが10月23日に個人情報保護委員会へ報告したのは、この枠組みに沿った対応です。

自分が報告に関わる側になる場面

注意したいのはその先です。仕事用のアドレスに届いた偽のメールにだまされて、仕事用のアカウントのパスワードを入力してしまうと、そのアカウントに保存されている取引先の顧客情報まで危険にさらすことになります。そうなると、今度は自分が「預かった情報を漏らしたかもしれない側」になります。

個人情報の扱いを任されている側（委託先）が、そうした事態を知ったときの任せた側（委託元）への連絡について、個人情報保護委員会のガイドラインは次のように説明しています。

委託元への通知については、速報としての報告と同様に、報告対象事態を知った後、速やかに行わなければならない。「速やか」の日数の目安については、個別の事案によるものの、委託先が当該事態の発生を知った時点から概ね3～5日以内である。 出典: ppc.go.jp

同じガイドラインには、委託先がこの通知を行えば、委託先自身の個人情報保護委員会への報告義務と本人への通知義務は免除され、通知を受けた委託元が報告することになる、とも書かれています。取引先から顧客の名簿や問い合わせの記録を預かって仕事をしている人が、自分の側で漏えいのおそれに気づいたら、まず取引先に事実を伝えることが出発点です。自分に報告の義務があるかどうかは、預かっている情報の中身や契約の形で変わるので、迷うときは取引先と相談し、必要に応じて個人情報保護法相談ダイヤルで確かめるのが確実です。

取引先に伝えるかどうかの考え方と、伝えるときの書き方

今回の件に限って言えば、取引先に何かを伝える必要が出てくるのは、たとえば仕事用のアドレスや電話番号でWEBストアに登録していて、その連絡先を取引先との連絡にも使っている場合です。伝える内容は「アンドエスティHDの発表によると、登録していた氏名、住所、電話番号、メールアドレスなどが流出した可能性がある」「取引先からお預かりしている情報が出たという話ではない」「この連絡先を名乗る不審なメールや電話に注意してほしい」の3点で、事実と推測を分けて短く書くと伝わります。

報告の文面は、短く、事実を先に書くのが基本です。取引先が知りたいのは「自社に影響があるか」と「何をすればよいか」の2つなので、その2つが冒頭で分かるように書きます。事実と推測を分け、敬語を整えた文書を書く力は、ビジネス文書検定で学ぶ内容とも重なります。

これを機に、仕事用と私用の連絡先を分けておくのも1つの方法です。買い物や会員登録は私用のアドレスと電話番号で行い、取引先との連絡やお金に関わるサービスは仕事用で行う、と分けておくと、今回のような事案があっても、影響が仕事に広がりにくくなります。

続報で確かめたい点

2026年10月25日時点の発表では、まだ分かっていないことがいくつかあります。続報が出たら、次の点を確かめると、自分がさらに何をすべきかを判断しやすくなります。

• 不正アクセスの手口と、最初に侵入されたサーバーがどこだったか
• 「流出の可能性」とされた約250万件のうち、実際に外部へ送信されたことが確認された範囲があるか
• 対象のお客さまに含まれる条件（登録時期や購入履歴の有無など）
• 従業員の情報の該当範囲と項目
• 個別の連絡がどの方法で届き、いつまでに届き終わるか
• 実店舗でのポイント利用、店舗受取サービス、試着サービスの再開時期
• 失効したポイントの補填と、未反映の付与ポイントの反映の時期
• 補償やお詫びについての方針が示されるかどうか
• 当期の業績への影響

続報を確かめるときは、ニュースサイトやSNSの投稿ではなく、アンドエスティHDのコーポレートサイトのニュース一覧と、WEBストア「アンドエスティ」のニュース一覧を見るのが確実です。SNSで「補償の申請はこちら」といったリンクが回ってきても、公式サイトのお知らせに同じ内容が載っていなければ開きません。

運営者の視点：連絡先を分けることが信用の土台になる

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。長くこの市場を見てきて感じるのは、取引先が仕事を任せる人を選ぶとき、技術や実績と同じくらい「情報を安心して預けられるか」を見ているということです。衣料品の通販の会員情報の流出の可能性という、仕事とは遠い話でも、自分の連絡先とパスワードの扱いをすぐに見直し、必要なら事実だけを短く伝えられる人は、それだけで信頼を得やすくなります。アカウントの守り方やセキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

よくある質問

Q. アンドエスティの情報漏えいで、何が流出した可能性があるのですか？

株式会社アンドエスティHDの2026年10月23日の発表では、お客さま約250万件について、氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDが外部に流出した可能性があるとされています。お取引先さま約1万件の会社名や担当者氏名、連絡先も対象です。クレジットカード情報などの決済情報と、お客さま自身が設定したパスワードは含まれないと明記されています。

Q. WEBストア「アンドエスティ」のパスワードは変えたほうがよいですか？

会社の発表では、WEBストアのパスワードは漏えいしていません。それでも会社は、安全確保のためにマイページからパスワードを再設定し、他のサービスとの使い回しをやめるようお願いしています。会員IDとメールアドレスが出ている可能性があるため、同じパスワードを使っている別のサービスも合わせて変えておくのが確実です。

Q. アンドエスティを名乗るメールや電話が届いたらどうすればよいですか？

会社は、メールやSMSでクレジットカード情報の再登録・再決済やパスワードの入力を求めることは一切ないと公式に明言しています。これに当たる連絡は、文面が本物らしくても、リンクを開かずに削除してください。電話で生年月日やカード番号、確認コードを聞かれた場合も応じず、公式サイトのお知らせと照らして確かめます。

Q. アンドエスティの情報漏えいの件は、どこに問い合わせればよいですか？

公式に案内されているのは「アンドエスティ カスタマーサポート」のお問い合わせフォームで、アンドエスティHDの重要なお知らせとWEBストアのお知らせの末尾からたどれます。2026年10月25日時点で電話番号と受付時間は案内されておらず、返信までに数日かかると書かれています。携帯電話会社やiCloudのメールアドレスでは返信が届きにくいため、GmailやYahoo!メールなどのアドレスで送るよう推奨されています。