カインドオルの情報漏洩｜13万6,464名で確定した範囲と偽メールの見分け方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓カインドオルの情報漏洩について
✓トレジャー・ファクトリーが2026年10月13日に出した第三報をもとに
✓13万6,464名で確定した対象

株式会社トレジャー・ファクトリーは2026年10月13日、連結子会社の株式会社カインドオルが運営するECサイトで起きた不正アクセスについて調査が終わったと発表し、個人情報が漏えいした対象者は136,464名（このうち住所情報を含むものは109,311名）で確定したと明らかにしました。漏えいした項目は8月28日の第一報から変わらず、氏名、住所、電話番号、生年月日、メールアドレス、購入回数や購入金額などで、クレジットカード情報とECサイトのログインパスワードは含まれていません。利用者がまずすることは、カインドオルを名乗るメール・SMS・電話のリンクや番号に応じないこと、そして他のサービスのパスワードの使い回しを見直しておくことです。

この記事では、2026年10月20日時点でトレジャー・ファクトリーの公式サイトに掲載されている第一報、専用窓口の開設のお知らせ（第二報）、第三報の3本をもとに、何が起きたのか、自分が対象かどうか、漏れた項目に合わせて具体的に何をすればよいかを順に説明します。ブランド古着の買い取りや購入でカインドオルのオンラインストアを使った人、会員登録をしたまま使っていない人のどちらにも関係する内容です。

カインドオルの情報漏洩で何が起きたか（2026年10月20日時点）

カインドオルは、ブランド古着の買い取りと販売を行う会社で、リユース事業を展開するトレジャー・ファクトリーの連結子会社です。店舗のほかに、ネットで商品を買えるECサイトを運営しています。このECサイトは、外部の会社が提供するECプラットフォーム（ネットショップを作って運営するための仕組み）の上で動いていました。

不正アクセスを受けたのは、このECプラットフォームにある「スタッフアカウント」です。スタッフアカウントとは、ショップを運営する側の従業員が、注文の確認や商品の登録、顧客情報の管理をするためにログインする管理用のアカウントのことです。お客様が買い物のためにログインする会員アカウントとは別物です。

第一報によると、第三者はこのスタッフアカウントに不正にログインし、登録されているメールアドレスを別のものに変えたうえで、お客様の情報を一括でファイルに書き出す操作（一括エクスポート）を2回実行しました。その後の追加調査で、書き出されたファイルが第三者によってダウンロードされていたことも確認されています。

漏えいした個人情報の対象者は136,464名で、このうち住所情報を含むものは109,311名です。8月28日の第一報の時点で示されていた人数が、10月13日の第三報で「確定」とされました。人数は変わっていませんが、第一報では「現時点で確認されている対象者」という書き方だったのが、調査の完了によって確定した数になったという違いがあります。

発表の言葉は「漏えいのおそれ」ではなく「漏えいした」です。ファイルのダウンロードまで確認されているため、情報が外に出たこと自体は事実として扱われています。一方で、2026年10月13日の第三報の時点で、本件に起因する個人情報の不正利用その他の具体的な二次被害は確認されていないとしています。二次被害とは、漏れた情報を使った詐欺や、なりすましの連絡など、元の漏えいとは別に起きる被害のことです。

公表の経緯：第一報（8月28日）から第三報（10月13日）まで

この件について、トレジャー・ファクトリーは公式サイトのニュースに3本の文書を出しています。日付と、それぞれの時点で分かったことを並べると次のとおりです。

日付	出来事	出典
2026年8月22日	第三者がスタッフアカウントに不正アクセス	第一報
2026年8月23日	スタッフアカウントのメールアドレスが変更され、顧客情報の一括エクスポートが2回実行される	第一報
2026年8月24日	通常業務で注文情報を書き出したとき、メールアドレスの変更に気づき、プラットフォームの運営会社に調査を依頼	第一報
2026年8月27日	個人情報保護委員会へ報告	第一報
2026年8月28日	第一報を公表（対象者136,464名、項目、原因）	第一報
2026年9月2日	専用の問い合わせ窓口を開設。書き出されたファイルが第三者にダウンロードされていたことを公表	第二報
2026年10月6日	個人情報保護委員会へ確報を提出	第三報
2026年10月13日	第三報を公表（調査の完了、対象者の確定、再発防止策）	第三報

第一報から第三報までの間に、分かったことは段階的に増えています。第一報では、不正アクセスの日時、書き出された項目、原因（フィッシングメール）、二段階認証が設定されていなかったことが公表されました。第二報では、問い合わせ窓口が開設され、書き出されたファイルがダウンロードされていたことが加わりました。第三報で調査が完了し、人数の確定、管理上の課題の整理、再発防止策が示されています。

第三報では、個人情報保護委員会への確報の提出に加えて、警察に相談しており、被害届の提出に向けた手続きを進めているとしています。確報とは、漏えいが起きたときに会社が個人情報保護委員会へ出す報告のうち、調査を終えてから出す最終的な報告のことです。

2026年10月20日時点で、トレジャー・ファクトリーのニュースの一覧に、第三報より後の続報は掲載されていません。第三報は「今後、開示すべき事項が生じた場合には、速やかにお知らせいたします」と結んでいます。

漏えいした項目と含まれない項目

第一報で示され、第三報で「変更はなく」とされた項目を、漏えいしたものと、含まれないと明記されたものに分けると次のとおりです。

区分	項目
漏えいした（対象となった可能性がある）	カスタマーID
同上	氏名
同上	住所
同上	電話番号
同上	生年月日
同上	メールアドレス
同上	メールマガジンの購読状況
同上	合計注文回数、合計購入金額
同上	ECプラットフォーム上で管理している顧客タグ情報
同上	ポイント情報の履歴（保有・失効・累計）
含まれないと明記	クレジットカード情報
含まれないと明記	ECサイトのログインパスワード

第一報には「対象となる情報項目はお客様によって異なります」と書かれています。たとえば、住所を登録していない人は住所が含まれていません。住所情報を含むものが109,311名とされているのはそのためです。

顧客タグ情報とは、ショップの運営側がお客様を分類するために付ける目印のことです。たとえば購入の傾向や会員の区分などが考えられますが、具体的に何のタグが付いていたかは発表されていません。

この項目の組み合わせで気をつけたいのは、氏名、住所、電話番号、生年月日、メールアドレスがそろっていることに加えて、合計の注文回数や購入金額まで含まれている点です。偽の連絡を作る側から見ると、「いつもご利用いただいているお客様へ」「累計購入額が一定を超えたお客様への特典」といった、本人の利用状況に合わせた文面が書けてしまいます。ポイントの保有や失効の履歴も、「失効間近のポイントがあります」という偽の案内に使われやすい情報です。

原因：フィッシングメールでスタッフアカウントの認証情報を取られた

第一報は、原因について社内調査の結果を次のように説明しています。

不正アクセスを受けたスタッフアカウントを利用する従業員に対し、ECプラットフォームの運営会社を装ったフィッシングメールが送信され、当該メールに記載されたリンク先において、当該スタッフアカウントの認証情報が入力されていたことを確認いたしました。出典: treasurefactory.co.jp

フィッシングとは、本物の会社を装ったメールやSMSで偽のサイトに誘い、IDやパスワードを入力させる手口のことです。今回は、お客様ではなくショップを運営する従業員が狙われました。プラットフォームの運営会社からの連絡に見せかけたメールが届き、そこから開いた偽のページに、管理用のアカウントのIDとパスワードが入力されてしまったという流れです。

パソコンのログなどを調べた結果、認証情報が入力された直後に最初の不正アクセスが起きていたことから、このフィッシングメールが原因だと判断したとしています。

時系列で見ると、8月22日の不正アクセスから、8月24日に気づくまでの間は2日ほどです。気づいたきっかけは、通常の業務で注文情報を書き出そうとしたときに、アカウントに登録されたメールアドレスが見覚えのないものに変わっていたことでした。攻撃者がメールアドレスを書き換えた目的は、発表では説明されていません。ただ、管理用のアカウントの登録情報が知らないうちに変わっていたら、それ自体が乗っ取りの合図になるということは、この経緯から読み取れます。

第一報では、被害を防げなかった要因として、スタッフアカウントに二段階認証が設定されておらず、メールアドレスとパスワードだけでログインできる状態だったこと、設定されていたパスワードも十分な強度ではなかったことを挙げています。二段階認証とは、パスワードに加えてスマートフォンに届く確認コードなど、もう1つの手段で本人かどうかを確かめる仕組みのことです。

第三報では、これに加えて、フィッシング攻撃を前提とした認証方式の選択とアカウントの保護、顧客情報を一括で書き出せる権限の設計、重要な操作を早く把握するための監視の体制が十分でなかったことを、管理上の課題として認識していると書いています。会社自身が課題をここまで具体的に整理して公表しているので、利用者としては、何が起きたのかを把握しやすい発表になっています。

カインドオルとトレジャー・ファクトリーの対応

第一報から第三報までに発表された対応を整理すると、次のとおりです。発表に書かれていない対応（お詫びの品や補償など）は、2026年10月20日時点では案内されていません。

判明直後の対応（第一報）

不正アクセスを受けたスタッフアカウントの削除
ほかのすべてのスタッフアカウントで、不審なアクセスや操作がないかの確認
ECプラットフォームの全スタッフアカウントで二段階認証を必須にする
書き出しの後にほかの操作が行われていないか、プラットフォームの運営会社に追加調査を依頼
2026年8月27日に個人情報保護委員会へ報告

調査完了後の再発防止策（第三報）

カインドオルでは、全スタッフアカウントにパスキー方式の二段階認証を導入したとしています。パスキーとは、パスワードの代わりにスマートフォンやパソコンの指紋認証・顔認証などを使ってログインする方式で、偽のサイトに入力させる手口に強いとされています。今回の原因がフィッシングだったことに合わせた対策です。

ほかに、アカウントの棚卸し（使っていないアカウントや不要な権限がないかの点検）、顧客情報を一括で書き出せる権限の限定、重要な操作の確認と社内への報告の流れの見直しを行い、情報セキュリティのマニュアルの整備、フィッシング対策の訓練を含む教育、権限の定期的な点検、監視の体制づくりを順に進めるとしています。

トレジャー・ファクトリーのグループ全体でも、個人情報を扱う外部のツールでの多要素認証の必須化などを定めたガイドラインの整備、全グループ会社での情報セキュリティ責任者の選任、CSIRT（サイバー攻撃などの事故に対応する社内のチーム）の運営方針の改正、外部ツールのアカウントと権限の定期的な棚卸しなどを行うと発表しています。初回の棚卸しは2026年9月に行い、高リスクと判定したものは是正を進めているとしています。

お客様への連絡

対象となるお客様には、順次、個別にメールで案内していると第二報に書かれています。登録したメールアドレスの状況や受信の設定によっては、案内のメールが届いていない場合があるとしています。

自分が対象かを確かめる方法

自分が対象かどうかは、次の順で確かめるのが確実です。

カインドオルのECサイトで会員登録や購入をしたことがあるかを思い出す。店舗だけを使っている人がECサイトの会員になっているかどうかは、登録に使ったメールアドレスの受信箱で「カインドオル」と検索すると分かることがあります
登録したメールアドレスに、カインドオルからの個別の案内メールが届いていないかを見る。迷惑メールのフォルダも確かめる
案内が届いていても、メールの中のリンクや電話番号は使わない。内容はトレジャー・ファクトリーのニュースに掲載されている発表と照らし合わせる
案内が見つからない、または不安が残るときは、後で紹介する専用の問い合わせ窓口に電話する

登録したときのメールアドレスを今は使っていない人は、案内のメールを受け取れていない可能性があります。第二報でも、登録メールアドレスの状況や受信の設定によって案内が届いていない場合があると書かれています。昔の携帯電話のメールアドレスで登録した、勤め先のアドレスで登録したまま退職した、といった心当たりがある人は、メールを待たずに専用窓口に問い合わせるほうが早く確かめられます。

専用窓口の電話番号は、第二報と第三報の両方に載っています。案内メールに書かれた番号が発表の番号と違うときは、そのメールを疑ってください。

ECサイトのログインパスワードは今回の項目に含まれていないため、カインドオルのECサイトのパスワードを今すぐ変える必要があるとは発表されていません。ただし、心配な人がパスワードを変えるのは、公式サイトをブックマークや検索から自分でたどって開いたうえでなら問題ありません。メールのリンクから開いた画面でパスワードを入力するのは避けます。

利用者がすること：パスワードの見直しと住所・電話番号への備え

今回の項目には、カード情報もログインパスワードも含まれていません。そのため、この件だけを理由にカードを止めたり、銀行に連絡したりする必要は基本的にありません。やることは、氏名・住所・電話番号・メールアドレスを使った偽の連絡への備えと、アカウントの点検が中心です。

パスワードの使い回しを見直す

ログインパスワードは漏れていませんが、メールアドレスが知られている状態です。そのメールアドレスと同じパスワードの組み合わせを、ほかのサービスで使っている人は注意が必要です。どこか別のサービスからパスワードが漏れると、メールアドレスと組み合わせて不正ログインを試される危険が高まります。

パスワードの見直しは、次の順で進めると効率よく済みます。

メールアカウントのパスワードを、ほかで使っていない長いものに変える
ネット通販、ネットバンキング、スマートフォンの決済アプリのパスワードを、サービスごとに別々のものに変える
覚えきれないときは、パスワード管理のアプリやブラウザの保存機能に任せる
変えたサービスで、二段階認証が使えるなら有効にする

二段階認証の仕組みと選び方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。今回、会社の側が導入したパスキーも、個人のアカウントで使えるサービスが増えています。

自分のメールアドレスが他でも漏れていないか調べる

登録したメールアドレスがこれまでに別の漏えいに巻き込まれていないかを調べると、どのサービスから先にパスワードを変えるべきかの判断材料になります。調べ方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。

住所と電話番号が漏れたときの備え

109,311名については住所情報が含まれています。住所と氏名、電話番号がそろって漏れると、郵便物や電話を使った手口にも注意が必要になります。たとえば、カインドオルやトレジャー・ファクトリーを名乗る封書で「お詫びの返金手続き」を案内し、口座番号を書いて返送させる、あるいは電話で「本人確認のため」と称して生年月日やカード番号を聞き出す、といったものです。

住所が漏れたときに起きることと、防ぎ方の順番は個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で詳しく説明しています。

偽のメール・SMS・電話の見分け方

第三報には、利用者への注意の呼びかけは書かれていません。ただ、漏れた項目を見れば、どんな偽の連絡が来うるかは想像できます。気をつけたいのは次のような連絡です。

「不正アクセスのお詫びとしてポイントを付与します」としてリンクを開かせるメール
「ポイントの失効が近づいています」「累計購入額の特典があります」と利用状況に触れるメールやSMS
「返金の手続き」「補償の受け取り」を名乗り、口座番号やカード番号を入力させるページ
カインドオルの窓口を名乗り、本人確認と称して生年月日やカード番号を聞き出す電話

2026年10月20日時点で、トレジャー・ファクトリーもカインドオルも、ポイントの付与や返金、補償を配る案内は出していません。発表にない手続きを持ちかける連絡が来たら、その時点で偽物を疑ってよいでしょう。

見分けるときの基本は、届いた連絡の中のリンクや電話番号を使わないことです。本当に手続きが必要なら、トレジャー・ファクトリーのニュースにも同じ案内が出ます。差出人の名前やメールアドレスの表示は簡単に偽れます。電話の場合は、いったん切って、発表に載っている専用窓口の番号にかけ直します。

偽のサイトにパスワードを入力してしまった場合は、すぐにそのパスワードを使っているすべてのサービスでパスワードを変えます。カード番号を入力してしまった場合は、カードの裏面にある番号でカード会社に連絡します。判断に迷ったときは、消費者ホットライン（局番なしの188）で、近くの消費生活センターにつながります。消費者庁の消費者ホットラインのページに案内があります。

問い合わせ窓口

第二報と第三報で案内されている専用の問い合わせ窓口は次のとおりです。

項目	内容
窓口の名称	株式会社カインドオル専用お問い合わせ窓口
電話番号	0120-721-616
受付時間	平日 9時から18時

第三報では、この窓口は「当面の間」受け付けるとされています。電話をかけるときは、発表に載っているこの番号を自分で入力します。メールやSMSに書かれた番号には、かけないようにします。

第一報から第三報までの全文は、トレジャー・ファクトリーのニュース一覧から開けます。会社の対応について一般的な相談をしたいときは、個人情報保護委員会の個人情報保護法相談ダイヤルも使えます。受付は平日の9時30分から17時30分（土日祝日と年末年始を除く）で、電話での相談のみ受け付けています。

これから数か月の過ごし方：届く連絡を減らし、見分けやすくする

漏れた情報は、発表から時間がたってから悪用されることがあります。第三報の時点で二次被害は確認されていないとされていますが、氏名、住所、電話番号、生年月日、メールアドレスは、一度外に出ると取り戻せません。しばらくの間は、届く連絡を減らし、本物と偽物を見分けやすくしておくのが現実的な備えです。

カインドオルからのメールの受け取り方を決めておく

今回の項目には、メールマガジンの購読状況も含まれています。メールマガジンを受け取っている人のところには、本物のお知らせと偽のメールが同じ受信箱に並ぶことになります。見分けに自信がないなら、公式サイトから自分でたどってメールマガジンの配信を止めておくのも1つの方法です。配信を止めておけば、それ以降にカインドオルを名乗る宣伝のメールが届いたときに、まず疑ってかかる判断ができます。

止める操作も、メールの下にある配信停止のリンクからではなく、公式サイトのマイページなどから行います。偽のメールにも「配信停止はこちら」というリンクが付いていることがあり、そこを開くと偽のログイン画面に誘導されることがあるからです。

使わなくなったアカウントは退会を考える

しばらくECサイトで買い物をしていないなら、会員を続けるかどうかを考える機会にもなります。会員でいる限り、登録した情報は運営する側に残ります。退会の手続きや、退会後に情報がどう扱われるかは、カインドオルの公式サイトの案内で確かめてください。今回の発表には、退会した人の情報の扱いについての記載はありません。

家族の分も確かめる

家族の誰かがカインドオルのECサイトを使っていた場合、本人が発表を知らないこともあります。とくに、ふだんネットのニュースを見ない家族は、偽のメールや電話に気づきにくいものです。登録の心当たりがある家族には、案内のメールが届いていないか、専用窓口の番号はどれか、メールのリンクは開かないこと、の3つを伝えておくと安心です。

業績への影響と、今後の発表の見通し

第三報では、専用の問い合わせ窓口の運営などで対応の費用が出ているものの、グループの連結業績への影響は軽微で、2027年2月期の連結業績予想に変更はないとしています。業績の見通しに関する記載で、利用者への補償の有無を示すものではありません。今後、新たに知らせるべきことが出たときはニュースで公表するとしているので、気になる人はトレジャー・ファクトリーのニュースの一覧をときどき確かめてください。

在宅で仕事をする人が気をつけること：管理画面のアカウントを守る

今回の件は、ショップの管理用のアカウントがフィッシングで乗っ取られたことが原因です。これは、在宅で仕事を請けている人にとって他人事ではありません。ネットショップの運営代行、商品登録、受注処理、顧客対応、メールマガジンの配信などを業務委託で請けている人は、取引先のショップの管理画面にログインするアカウントを渡されていることが多いからです。

取引先の管理アカウントを預かる人の備え

取引先から渡された管理用のアカウントは、取引先のお客様の情報に直接つながっています。そのアカウントが乗っ取られると、今回のように顧客情報を一括で書き出されるおそれがあります。受け手として最低限やっておきたいのは次のことです。

取引先の管理アカウントには、二段階認証を必ず設定してもらう。自分で設定できないなら、取引先に設定を頼む
プラットフォームの運営会社を名乗るメールのリンクからは、ログインしない。ブックマークから管理画面を開く
共有のIDではなく、自分専用のスタッフアカウントを発行してもらう。誰が何をしたか記録が残るようにするため
顧客情報の一括書き出しの権限は、仕事で必要な場合だけ付けてもらう
契約が終わったら、アカウントの削除を取引先に依頼する

取引先に知らせる必要はあるか

今回のカインドオルの件で漏れたのは、利用者自身の情報です。取引先の情報を預けていたわけではないので、この件だけを理由に取引先へ報告する義務が生じるわけではありません。

一方で、自分が預かっている取引先の管理アカウントで不審なログインがあった、フィッシングのページにIDとパスワードを入力してしまった、という場合は話が別です。個人情報保護委員会の漏えい等の対応とお役立ち資料では、不正アクセスのように不正な目的で行われたおそれがある漏えいや、1,000人を超える人の情報の漏えいは、事業者が委員会に報告しなければならない場合として挙げられています。報告するのは基本的に情報を持っている取引先ですが、その判断には受け手からのすぐの連絡が欠かせません。気づいた時点で、何が起きたかを事実のまま取引先に伝えることが、受け手としての責任です。細かな扱いは契約の中身や情報の種類で変わるので、迷ったときは取引先と相談し、必要なら個人情報保護委員会の相談ダイヤルで確かめます。

フィッシングで管理画面が狙われる流れを知っておく

今回の件は、会社の中の1人の従業員に届いた1通のメールから始まっています。プラットフォームの運営会社を装ったメールのリンクを開き、偽のログイン画面にIDとパスワードを入力した。それだけで、13万人を超えるお客様の情報が外に出る結果になりました。

管理画面を狙うフィッシングは、ふつうの利用者を狙うものよりも巧妙なことがあります。「アカウントの確認が必要です」「お支払い情報の更新をお願いします」「セキュリティの設定が変わりました」といった、管理者なら日常的に目にする件名が使われるからです。本物のプラットフォームから届くお知らせと見分けがつかないほど、文面も画面もよく似せてあります。

被害を防ぐうえで効くのは、二段階認証、とくにパスキーのように偽のサイトでは使えない方式を設定しておくことです。今回の件では、二段階認証が設定されていなかったことが要因の1つとして挙げられ、再発防止策でパスキー方式が導入されました。もう1つは、怪しいかどうかを毎回判断するのではなく、「メールのリンクからは管理画面に入らない」と決めておくことです。

偽メールを見抜く力は、訓練で身につきます。訓練の進め方と効果は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで整理しています。規模の小さな会社が取り組める対策と使える補助金は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で紹介しています。

アカウントを守ることは仕事の信用になる

フリーランスと在宅ワークの仲介を2004年から続けてきた@SOHOの運営で見てきた範囲では、取引が長く続く人ほど、取引先から預かったアカウントの扱いを仕事の信用の一部として考えています。二段階認証を自分から提案する、使わなくなったアカウントの削除を契約の終わりに依頼する、怪しいメールが来たら取引先に共有する。こうした小さな習慣が、「この人になら管理画面を任せられる」という評価につながります。セキュリティの知識を生かせる在宅の仕事の種類はAI・マーケティング・セキュリティのお仕事で紹介しています。

2026年10月20日時点で、カインドオルの件は調査が完了し、対象者は136,464名で確定しています。続報や新たな案内は、トレジャー・ファクトリーのニュースで確かめ、メールで届いたリンクではなく自分でたどったページの情報を基準にしてください。

よくある質問

Q. カインドオルの情報漏洩でクレジットカード情報は漏れましたか？

トレジャー・ファクトリーの発表では、書き出されたデータにクレジットカード情報とECサイトのログインパスワードは含まれていないことを確認したとしています。2026年10月13日の第三報でも、この点に変更はありません。この件だけを理由にカードを止める必要は基本的にありませんが、補償や返金を装ってカード番号を聞き出す連絡には注意してください。

Q. カインドオルのECサイトのパスワードは変えたほうがよいですか？

ログインパスワードは漏えいした項目に含まれていません。ただし、メールアドレスは漏れているため、同じメールアドレスとパスワードの組み合わせを他のサービスで使っているなら、そちらは別のものに変えておくのが安全です。カインドオルのパスワードを変えるときは、メールのリンクではなく自分でたどった公式サイトから操作します。