ファンケル・アテニアの情報漏洩｜ECサイト約78万人分と偽メールの見分け方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓ファンケルとアテニアの情報漏洩について
✓2026年10月16日の公式発表をもとに
✓漏れた項目と含まれない項目

株式会社ファンケルと株式会社アテニアは2026年10月16日、両社のECサイトが10月3日から10月10日にかけて不正アクセスを受け、会員情報の一部が外部に漏えいしたと発表しました。対象はファンケルが393,785件・368,184名、アテニアが441,162件・417,312名で、漏れたのはメールアドレス、氏名、住所、電話番号、生年月日などです。クレジットカードなどの決済情報とメインのパスワードは含まれていません。会員がまずすることは、両社を名乗るメール・SMS・電話のリンクを開かないこと、そしてファンケルやアテニアと同じパスワードを使い回している別のサービスがあれば、そちらのパスワードを変えることの2つです。

この記事では、2026年10月20日時点で両社が公表している内容だけをもとに、公表の経緯、漏れた項目と含まれない項目、原因、会社の対応、自分が対象かどうかの確かめ方、そして今日やることを順に整理します。両社は同じグループの化粧品・健康食品の会社で、発表は1つの文書にまとめて出されています。ファンケルの会員とアテニアの会員の両方に登録している人もいるので、その点も含めて説明します。

ファンケル・アテニアの情報漏洩で何が起きたのか（2026年10月20日時点）

最初に、発表で確定している事実を短く並べます。

発表日：2026年10月16日（ファンケルとアテニアの連名）
不正アクセスを受けていた期間：2026年10月3日から10月10日まで
判明した日：2026年10月15日の内部調査で判明
対象：ファンケルの会員情報 393,785件・368,184名、アテニアの会員情報 441,162件・417,312名
漏れた主な項目：メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号など
含まれないもの：クレジットカードなどの決済情報、メインのパスワード
二次被害：発表時点で、不正利用や二次被害は確認されていない

両社の人数を合計すると785,496名になり、報道で「約78万人」と書かれているのはこの合計です。件数のほうを合計すると834,947件で、こちらを「83万件」と書いている報道もあります。件数と人数がずれているのは、1人の会員に複数の登録情報がひも付いている場合があるためと読めます。発表は件数と人数を並べて書いているだけで、ずれの理由までは説明していません。

ファンケルの発表文はファンケルのお知らせ（PDF）で、同じ内容の文書がアテニアのお知らせ（PDF）にも掲載されています。2026年10月20日時点で両社のサイトのお知らせを確認したところ、10月16日の文書のほかに続報は出ていません。発表には「今後、新たに公表すべき事実が判明した場合には、速やかにお知らせいたします」とあるので、件数や項目が変わる可能性は残っています。

今回の発表で大事なのは、メインのパスワードと決済情報が対象から外れていることです。会員のアカウントにそのままログインされる、カードを不正に使われる、という流れは、発表の内容からは直接つながりません。一方で、氏名・住所・電話番号・メールアドレス・生年月日がそろって漏れているので、両社を名乗る偽の連絡が本物らしく見えやすくなっています。対策の中心は、パスワードよりも偽の連絡への備えになります。

公表の経緯：10月15日の判明から10月17日の専用ダイヤル開設まで

今回の事案は、初報の時点で件数と項目がかなり具体的に示されているのが特徴です。発表の文面から、日付ごとに何が分かったのかを整理します。

2026年10月3日から10月10日：不正アクセスを受けていた期間

発表によると、ファンケルとアテニアのECサイトは、10月3日から10月10日までの8日間にわたって不正アクセスを受けていました。この期間に何が行われたのか、どの機能が狙われたのかは「さらなる被害の拡大を防止するため」として開示されていません。

2026年10月15日：内部調査で判明し、緊急対策本部を設置

両社は10月15日に実施した内部調査で不正アクセスに気づき、判明した当日に緊急対策本部を設置しました。調査と対応を進めた結果、会員情報の一部が外部に漏えいしたことを確認し、被害の拡大を防ぐために原因となった機能を特定して停止しています。

発表は、今回の件以外の不正アクセスやマルウェア感染は確認されておらず、事業活動やサービスへの影響はないとしています。マルウェアとは、コンピューターに入り込んで情報を盗んだり壊したりする不正なプログラムのことです。

2026年10月16日：公表と、個人情報保護委員会・警察への報告

10月16日に両社は個人情報保護委員会と警察へ報告・相談し、同じ日に発表を出しました。個人情報保護委員会とは、個人情報の扱いについて事業者を監督する国の機関です。発表の時点で、漏えいした情報が不特定多数に公開された事実、不正利用された事実、利用者からの申し出のいずれも確認されていないと書かれています。

2026年10月17日：専用ダイヤルの開設

利用者向けの専用ダイヤルは、発表の翌日の10月17日9時に開設されました。土日祝日も受け付けると明記されています。番号と受付時間は後の「問い合わせ窓口」の節にまとめました。

対象者への個別の連絡

対象となる会員には、調査結果を踏まえて、順次、登録しているメールアドレス宛に個別に連絡すると発表されています。「順次」とあるため、届く時期は人によって違います。まだ届いていないから対象ではない、とは言い切れない点に注意が必要です。

漏れた項目と、含まれないと明記された項目

発表に書かれた項目を、そのまま表にしました。アテニアの会員情報の項目は「同上」とされており、ファンケルと同じです。

区分	項目
漏れた項目	メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号
漏れた項目	サブメールアドレスとそのパスワード（ハッシュ化されたもの）
漏れた項目	本人認証質問項目（回答は含まない）
漏れた項目	その他の会員登録情報（ポイント情報、会員ステージ情報、メールマガジン配信希望の有無、店舗での購入の有無）
含まれないと明記	クレジットカードなどの決済情報
含まれないと明記	メインのパスワード

発表の原文では、パスワードについて次のように説明しています。

一部の方が設定されているハッシュ化された 2 次パスワードであり、そのままでは読み取りできない情報です。なお、メインのパスワードは対象外です。出典: fancl.jp

ハッシュ化された2次パスワードとは

ハッシュ化とは、パスワードをそのまま保存せず、元の文字に戻しにくい形に変換して保存する方法です。発表のとおり、そのままでは読み取れません。ただし一般に、短いパスワードや単純なパスワード、よく使われる言葉を使ったパスワードは、総当たりで割り出される場合があるとされています。

漏れたのは「一部の方が設定されている」2次パスワードで、メインのパスワードは対象外です。どの画面で設定するものなのかは発表に書かれていません。自分が2次パスワードを設定した覚えがあるかどうか分からない場合は、後で説明する専用ダイヤルで確かめるのが確実です。

本人認証質問項目とは

本人認証質問とは、パスワードを忘れたときなどに本人かどうかを確かめるための「秘密の質問」のことです。発表では、漏れたのは質問の項目で、回答は含まれないとしています。たとえば「母親の旧姓は」という質問を選んでいたことは知られても、答えそのものは漏れていない、という意味です。

それでも、質問の種類が分かると、答えを推測しようとする手がかりにはなります。同じ質問と答えの組み合わせを別のサービスでも使っている場合は、そちらの設定を見直しておくと安心です。

ポイント情報や会員ステージ、店舗での購入の有無

その他の会員登録情報として、ポイント情報、会員ステージ情報、メールマガジン配信希望の有無、店舗での購入の有無が挙がっています。これらはお金そのものではありませんが、「あなたのポイントが失効します」「会員ステージの特典を受け取ってください」といった偽の連絡の材料になりえます。実際の会員ステージやポイントの残高を織り交ぜた連絡が来ても、それだけで本物と判断しないことが大切です。

原因：ECサイトへの不正アクセス（詳細は開示を控えると発表）

発表が明らかにしている原因は「外部からの不正アクセス」で、両社が管理するシステムの一部が対象になったという点までです。どの機能に問題があったのか、どのような手口だったのかは、被害の拡大を防ぐために開示を差し控えるとしています。

分かっていることを整理すると、次のとおりです。

不正アクセスの対象は、ファンケルとアテニアのECサイト
原因となった機能を特定し、その機能を停止した
今回の件以外の不正アクセスやマルウェア感染は確認されていない
攻撃の詳細は開示しない

原因の機能が何だったのかが分からない以上、「この操作をしていた人だけが対象」といった絞り込みは、利用者の側ではできません。対象になったかどうかは、両社からの個別の連絡か専用ダイヤルで確かめるのが確実です。

なお、2026年10月はECサイトや会員サイトへの不正アクセスの公表が国内で相次いでいます。個人情報保護委員会は、ECサイトや会員用サイトについて、OSやソフトウェアを常に最新の状態にするよう事業者に求める注意喚起を以前から出しています。ただし、今回のファンケルとアテニアの件がどの手口によるものかは公表されておらず、ほかの事案と同じ原因だと決めつけることはできません。原因について新しい説明が出たら、両社のお知らせで確認してください。

会社の対応：個別の連絡、専用ダイヤル、報告と相談

発表に書かれている会社の対応は次のとおりです。発表に無いことは書いていません。

判明した当日に緊急対策本部を設置
原因となった機能を特定し、停止
2026年10月16日に個人情報保護委員会と警察へ報告・相談
対象となる会員へ、登録メールアドレス宛に順次個別の連絡
2026年10月17日9時に、ファンケルとアテニア共通の専用ダイヤルを開設
全社を挙げて再発防止に取り組むと表明

一方で、2026年10月20日時点の発表には、会員全員のパスワードの初期化、補償、お詫びの品についての記載はありません。発表が会員に求めているのは「定期的なパスワードの更新」です。「お詫びのポイントを差し上げます」「補償の手続きはこちら」といった連絡が届いた場合は、発表に無い内容なので、まず偽物を疑ってください。今後、両社が補償などを決めた場合は、公式のお知らせに載るはずです。

発表は「両社からパスワードやクレジットカード情報などをお尋ねすることはありません」と明記しています。電話やメールで、パスワードやカード番号を聞かれたら、その時点で偽物と判断して構いません。

自分が対象かを確かめる方法

対象かどうかを確かめる手段は、両社からの個別の連絡と、専用ダイヤルの2つです。2026年10月20日時点で、会員サイトにログインして対象かどうかを照会するような仕組みは発表されていません。

1. 登録しているメールアドレスの受信箱を確かめる

両社は、対象者に「ご登録のメールアドレス宛」に連絡するとしています。ファンケルやアテニアに登録したメールアドレスの受信箱を、迷惑メールのフォルダも含めて確かめてください。サブメールアドレスを登録している人は、そちらにも届く可能性があります。

ただし、このメール自体を装った偽のメールが出回るおそれもあります。メールが届いたら、本文のリンクから会員サイトにログインするのではなく、ブラウザのお気に入りや公式アプリから会員サイトを開くようにしてください。メールの中で、パスワードやカード番号の入力を求められることは、発表の内容からはありえません。

2. 連絡が来ない場合は専用ダイヤルに問い合わせる

個別の連絡は「順次」とされているので、届くまでに時間がかかる場合があります。過去にファンケルやアテニアの通販を使ったことがあり、気になる場合は、専用ダイヤルに問い合わせて確かめるのが確実です。

3. 家族の分もあわせて確かめる

化粧品や健康食品の通販は、家族の分をまとめて注文したり、家族の名前で会員登録したりすることがよくあります。自分の名前では登録していなくても、同居の家族がファンケルやアテニアの会員であれば、その家族の氏名、住所、電話番号などが対象になっている可能性があります。

特に、高齢の家族が会員になっている場合は注意が必要です。両社を名乗る電話で「会員情報の確認のため」と言われると、そのまま生年月日や口座の情報を答えてしまうことがあります。発表のとおり、両社からパスワードやクレジットカード情報を尋ねることはないこと、気になる連絡があれば専用ダイヤルにかけ直せばよいことを、家族にも伝えておいてください。家族が会員かどうか分からない場合は、届いている郵便物やメールマガジンを一緒に確かめるのが近道です。

4. 会員登録をしたかどうか覚えていないとき

健康食品や化粧品は、何年も前に一度だけ通販で注文したきり、という人も少なくありません。会員登録をしたかどうかを思い出す手がかりとしては、次のようなものがあります。

受信箱を「ファンケル」「アテニア」「FANCL」「Attenir」で検索し、注文確認やメールマガジンが残っていないか見る
家計簿アプリやカードの明細で、過去の支払いを探す
家族の名前で注文した可能性も含めて、家族に確かめる

自分の情報が過去にどこから漏れたことがあるかを確かめたいときは、海外の無料サイトでメールアドレスを照合する方法もあります。手順はHave I Been Pwnedの使い方で、画面の操作の順に説明しています。ただし、今回のファンケルとアテニアの件がそのサイトに登録されているかどうかは分かりません。今回の件は、両社からの連絡と専用ダイヤルで確かめてください。

利用者がすること：パスワード、使い回し、二段階認証

漏れた項目に合わせて、やることを3つに絞りました。今回はカード情報とメインのパスワードが対象外なので、カードの再発行のような大きな手続きは、発表の内容からは求められていません。

パスワードを変え、使い回しをやめる

発表は会員に「定期的なパスワードの更新」を求めています。メインのパスワードは漏れていませんが、2次パスワードを設定している人は、ハッシュ化されているとはいえ漏れた対象に入っています。ファンケルやアテニアの会員サイトのパスワードを、この機会に新しいものへ変えておくと安心です。

もっと大事なのは、使い回しの見直しです。ファンケルやアテニアで使っていたパスワード（メイン・2次のどちらも）と同じものを、別の通販サイトやメール、SNSで使っている場合は、そちらを先に変えてください。メールアドレスとパスワードの組み合わせが知られると、ほかのサービスに順番に試される「リスト型攻撃」の対象になるからです。個人情報保護委員会も、不正アクセスによる漏えいの原因として、何らかの方法で入手したIDとパスワードのリストを使って不正ログインを試す手口が多いと説明しています。

新しいパスワードは、サービスごとに別のものにします。覚えきれない場合は、ブラウザやスマートフォンに付いているパスワードの保存機能や、パスワード管理アプリを使うと、使い回しをせずに済みます。

秘密の質問の答えを見直す

本人認証質問の項目が漏れているので、同じ質問と答えを別のサービスでも使っている場合は、そちらの答えを変えておきます。秘密の質問の答えは、本当のことを書く必要はありません。推測されにくい答えにして、パスワードと同じように保存しておく方法があります。

二段階認証を設定する

メールやSNS、ネット銀行など、乗っ取られると困るサービスには、二段階認証を設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどを入力しないとログインできないようにする仕組みです。パスワードが知られても、それだけではログインされにくくなります。仕組みと種類はMFA（多要素認証）導入のメリットと製品比較で詳しく説明しています。

カードの明細は念のため確認する

発表では、クレジットカードなどの決済情報は対象に含まれていません。そのため、今回の件だけを理由にカードを作り直す必要は、発表の内容からはありません。ただし、偽のメールにだまされてカード番号を入力してしまうと、そこから被害が起こります。月に1回はカードの利用明細を見て、身に覚えのない請求がないかを確かめる習慣をつけておくと、どの漏えいに対しても備えになります。

偽のメール・SMS・電話の見分け方

今回は、氏名、住所、電話番号、メールアドレス、生年月日、会員ステージ、ポイント情報までがそろって漏れています。偽の連絡の文面に本当の情報が入っていると、本物と見分けるのが難しくなります。発表も、なりすましメールやフィッシング詐欺に悪用されるおそれがあると注意を呼びかけています。フィッシング詐欺とは、本物そっくりのメールや偽のサイトに誘導して、パスワードやカード番号を入力させる手口のことです。

本物かどうかを判断するときの基準

パスワードやカード番号を聞いてきたら偽物（両社は聞かないと発表している）
「お詫びのポイント」「補償の手続き」の案内は、公式のお知らせに無い限り偽物を疑う
メールやSMSのリンクから会員サイトに入らない。ブラウザのお気に入りや公式アプリから開く
送信元の表示名が「ファンケル」「アテニア」でも、それだけで本物とは判断しない
電話で個人情報を聞かれたら、一度切って、公式サイトに載っている番号にかけ直す

本当の情報が書いてあっても信じない

偽の連絡に自分の氏名や住所、生年月日、会員ステージが正しく書かれていると、つい信じてしまいます。今回はこれらが漏れた項目なので、「自分の情報を知っている相手だから本物だ」という判断は通用しません。中身が正しいかどうかではなく、何を求めてくるか（パスワード、カード番号、支払い、アプリのインストール）で判断してください。

郵便物や訪問にも注意する

住所が漏れているので、メールやSMSだけでなく、郵便物や訪問を使った勧誘や詐欺の材料になるおそれもあります。住所が漏れたときに気をつけることは、住所が漏れたときの対処にまとめています。身に覚えのない請求書や、ファンケルやアテニアを名乗る訪問があった場合は、その場で支払ったり個人情報を渡したりせず、専用ダイヤルで確かめてください。

偽のメールの典型的な文面や、受け取ったときの対応の練習方法は、フィッシングメール模擬訓練の効果でも紹介しています。会社向けの記事ですが、見分け方の考え方は個人でもそのまま使えます。

漏れた項目ごとに、起こりやすいことと備え

漏れた項目ごとに、一般に起こりやすいことと備えを整理しました。ここでの「起こりやすいこと」は、今回の件で実際に起きたことではなく、同じ種類の情報が漏れたときに一般に注意が呼びかけられている内容です。両社は発表の時点で二次被害を確認していません。

漏れた項目	一般に起こりやすいこと	備え
メールアドレス	両社を名乗る偽のメール、迷惑メールの増加	リンクを開かず、公式アプリやお気に入りから会員サイトに入る
電話番号	偽のSMS、勧誘や詐欺の電話	SMSのリンクを開かない。電話は切って公式の番号にかけ直す
氏名・住所	郵便物や訪問による勧誘、身に覚えのない請求	その場で支払わず、専用ダイヤルで確かめる
生年月日	本人確認の質問への悪用、パスワードの推測	生年月日をパスワードや暗証番号に使っていれば変える
サブメールアドレスと2次パスワード	同じ組み合わせを使う別サービスへの不正ログインの試み	同じパスワードを使う別サービスのパスワードを変える
本人認証質問項目	秘密の質問の答えの推測	同じ質問と答えを使う別サービスの設定を見直す
ポイント・会員ステージ	「ポイント失効」「特典」を口実にした偽の案内	公式のお知らせに無い特典の案内は信じない

特に気をつけたいのは生年月日です。生年月日を、カードやキャッシュカードの暗証番号、スマートフォンのロックの番号、別のサービスのパスワードの一部に使っている人は少なくありません。今回、氏名とセットで生年月日が漏れているので、こうした使い方をしている場合は、この機会に別の番号へ変えておくことをおすすめします。

問い合わせ窓口

発表に載っている問い合わせ先は次のとおりです。ファンケルとアテニアで共通の窓口になっています。

窓口の名称：ファンケル/アテニア共通専用ダイヤル
電話番号：0120-333-600
受付時間：9時から17時（土日祝日を含む）
Eメール：[email protected]
開設：2026年10月17日9時

この番号は、両社の公式発表に書かれているものです。メールやSMSに「問い合わせはこちら」として別の番号が書かれていた場合は、その番号にかけず、発表の番号と同じかどうかを確かめてください。

報道関係者向けの窓口（ファンケル広報部）も発表に載っていますが、利用者の問い合わせは上の専用ダイヤルが窓口です。

事業者の対応に疑問や不満があるときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）にも相談できます。委員会のサイトに番号が載っています。相談ダイヤルは、事業者が個人情報保護法に反する扱いをしているときの通報なども受け付けている窓口です。ただし、自分が対象かどうかの確認や、両社の個別の対応についての問い合わせは、まず両社の専用ダイヤルにしてください。

在宅で仕事をする人が気をつけること

ファンケルやアテニアは主に個人が自分のために使う通販ですが、在宅で仕事をしている人の中には、仕事用のメールアドレスで会員登録をしている人や、取引先への贈り物や撮影用の商品を自分の会員アカウントで注文している人もいます。そうした場合に考えておくことを整理します。

仕事用のメールアドレスで登録していた場合

仕事用のメールアドレスで会員登録していた場合、そのアドレスにも両社を名乗る偽のメールが届く可能性があります。仕事用の受信箱は、取引先からの請求書や契約書のメールが届く場所でもあります。偽のメールの添付ファイルを開いてしまうと、仕事用のパソコンや取引先から預かっている情報にまで影響が及ぶおそれがあります。

仕事用のメールのパスワードを、ファンケルやアテニアのパスワードと同じにしていた場合は、真っ先に変えてください。取引先のファイルを保存しているクラウドストレージや、仕事の連絡に使うチャットのパスワードも同じなら、あわせて変えます。

取引先の住所や氏名を届け先に登録していた場合

取引先への贈り物などで、取引先の担当者の氏名や住所を届け先として登録していたかどうかは、発表の項目からははっきりしません。発表に挙がっているのは会員本人の氏名、住所、電話番号などです。届け先として登録した情報が対象に入るかどうかは、専用ダイヤルで確かめるのが確実です。

取引先に知らせる必要はあるか

個人情報保護委員会は、事業者が個人データを漏えいさせ、次の4つのどれかに当たる場合には、委員会への報告が義務になると説明しています。

要配慮個人情報（病歴など、取り扱いに特に配慮が必要な情報）が含まれる場合
不正に使われると財産的な被害が出るおそれがある場合
不正アクセスのように、不正の目的で行われたおそれがある場合
漏えいした本人の数が1,000人を超える場合

詳しくは個人情報保護委員会の漏えい等の対応のページに例とともに載っています。今回の件で報告と本人への連絡をするのは、情報を持っていたファンケルとアテニアです。会員が自分の情報を登録していただけであれば、会員の側に報告の義務が生じるわけではありません。

一方で、自分が仕事で取引先の個人情報を預かっていて、使い回していたパスワードから仕事用のアカウントに不正にログインされた、という事態になれば話が変わります。そのときは、預かっている情報が漏れていないかを確かめ、契約の内容に沿って取引先に知らせる必要が出てきます。どこまでが報告や連絡の義務に当たるかは、扱っている情報や契約で変わるので、取引先や専門家に確認してください。そうならないためにも、仕事用のアカウントのパスワードを先に見直しておくことが一番の備えになります。

委員会は、クラウドサービスやテレワークの環境で起きた漏えいの事例をまとめた注意喚起の資料（PDF）も公開しています。ログインの認証が不十分だったために不正にログインされた事例などが紹介されており、在宅で仕事をする人が自分の環境を点検するときの参考になります。

運営者の視点：通販の会員情報も仕事の道具と地続き

フリーランスや在宅ワークの仲介を長く続けてきた運営者として見てきた限りでは、仕事のトラブルは、仕事用のアカウントそのものより、個人の買い物や趣味で登録したサービスから始まることが少なくありません。通販や会員サイトに登録したメールアドレスとパスワードを、そのまま仕事のメールやクラウドでも使っていて、個人で使うサービスの漏えいをきっかけに仕事のアカウントまで危うくなる、という流れです。

在宅で仕事を受ける人は、会社員のように情報システムの担当者が守ってくれるわけではありません。取引先から預かった資料や個人情報を守るのは、自分自身です。今回のように決済情報やメインのパスワードが漏れていない事案でも、「自分には関係ない」と流さず、使い回しと偽の連絡への備えを見直すきっかけにすると、取引先からの信頼を保つことにつながります。

在宅ワークの仲介サイトである@SOHOでも、受注者と発注者が直接やり取りする以上、アカウントを守ることは仕事の基本です。セキュリティの知識は、自分を守るだけでなく、仕事の幅を広げる材料にもなります。AI・マーケティング・セキュリティのお仕事では、セキュリティの知識を生かせる在宅の仕事の種類を紹介しています。取引先とのやり取りで、漏えいの連絡や注意喚起の文面を正確に書く力を身につけたい人には、ビジネス文書検定も参考になります。