トレジャーファクトリーの情報漏洩｜出張買取の案件管理システム746,277件の範囲と対応 2026

株式会社トレジャー・ファクトリーは、2026年10月23日、「出張買取」と「トレファク引越」の申込受付に使っている案件管理システムが第三者の不正アクセスを受け、お客様情報746,277件（メールアドレス。うち11件は氏名と住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が使う端末に関する氏名と端末識別情報1,000件が外部に不正に取得されたと発表しました。クレジットカード番号などの決済に関する情報は含まれず、店舗で預かる客の情報とアプリで管理する客の情報は別のシステムのため対象外です。出張買取や引越の申込に使ったメールアドレスに届く、同社や宅配業者、金融機関をかたるメールやSMSのリンクを開かないこと、同じアドレスで登録しているほかのサービスの二段階認証を確かめることが、利用者がまずすることです。

この記事では、2026年10月25日時点で同社が公式に発表している内容だけをもとに、公表の経緯、漏れた項目と対象外の項目、原因、会社の対応、自分が対象かの確かめ方、偽のメールや電話への備えを順番に整理します。2026年10月上旬に同社が公表した子会社カインドオルの事案とは別の件なので、混ぜずに読めるように、関係する部分だけを切り分けて書いています。在宅で仕事を受けていて、同じメールアドレスを仕事にも使っている人への注意点も後半に置きました。

トレジャー・ファクトリーの不正アクセスで何が起きたか（2026年10月25日時点）

最初に、発表の骨格を押さえます。株式会社トレジャー・ファクトリーは、総合リユースショップ「トレジャーファクトリー」を運営する会社で、店舗での買取のほかに、自宅まで出向いて品物を買い取る「出張買取」と、引越と買取を組み合わせた「トレファク引越」を提供しています。この2つのサービスの申込を受け付け、案件の進行を管理するためのシステムが、今回の不正アクセスを受けました。

同社の発表によると、2026年10月20日、案件管理システムのアクセスログを調べたところ、同日の未明から朝にかけて、第三者がシステムの脆弱性（プログラムやデータベースの弱点のこと）を悪用して不正にアクセスし、客の情報などを取得していたことが分かりました。同社は同日10時30分に案件管理システムへの外部からのアクセスを止め、11時05分には出張買取とトレファク引越などの申込フォームの受付を停止しています。

当社は同日10時30分に案件管理システムへの外部アクセスを停止し、11時05分には出張買取・トレファク引越等の申込フォームの受付を停止いたしました。 出典: treasure-f.com

不正に取得されたと確認された情報は、次の3つに分かれます。

区分	件数	対象の情報
お客様情報	746,277件	メールアドレス（このうち11件は氏名と住所を含む）
取引先業者・従業員等の情報	750件	氏名、メールアドレス
取引先業者・従業員等が利用する端末に関する情報	1,000件	氏名、端末識別情報

2026年10月25日時点で、同社は「本件に起因する個人情報の不正利用その他の具体的な二次被害は確認されておりません」と発表しています。一方で、取得されたメールアドレスなどがフィッシングメール（本物の会社をかたって偽のサイトに誘い、パスワードやカード番号を盗む手口）に使われる可能性があるとして、利用者に注意を呼びかけています。

公表の経緯：10月20日の確認から10月23日の公表まで

同社の発表は、2026年10月25日時点で、10月23日に出た2本と、同じ日に出たサービス停止のお知らせ1本です。それぞれで分かったことを並べます。

日付	発表	分かったこと
2026年10月20日	（公表なし）	アクセスログの調査で不正アクセスを確認。10時30分にシステムの外部アクセスを停止、11時05分に申込フォームの受付を停止
2026年10月23日	適時開示「当社システムへの不正アクセスによる個人情報漏えいに関するお知らせ」	件数と対象の情報、原因の見立て、再発防止、個人情報保護委員会と警察への報告、業績への影響は精査中
2026年10月23日	公式サイト「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」	上記に加えて、利用者へのお願い（不審なメール、SMS、電話への注意）と、専用の問い合わせ窓口を準備中であること
2026年10月23日	公式サイト「セキュリティ対応に伴う一部サービス停止のお知らせ」	システムの安全性向上とセキュリティ対策の適用のため緊急メンテナンスを実施し、一部のサービスと機能を一時停止

不正アクセスの確認から公表までは3日です。適時開示とは、上場している会社が投資家の判断に関わる事実を証券取引所の仕組みを通じて知らせる文書のことで、同社は東証プライムに上場しているため、公式サイトのお知らせと同じ日に適時開示も出しています。

適時開示の方には、利用者向けの発表にはない項目が2つあります。1つは業績への影響で、「現在精査中」とされています。もう1つは、2026年8月に子会社の株式会社カインドオルで起きた不正アクセスの事案を受けて、グループ全体で点検と強化を進めていた途中だったという説明です。同社は、前回の事案はフィッシングで従業員のアカウント情報が取られたことが原因で、今回はデータベースへのアクセスに関する脆弱性が悪用されたものと、原因と侵入の経路が違うと説明しています。この2つは別の事案なので、件数や漏れた項目を混ぜて読まないようにしてください。

続報で確かめたい点

2026年10月25日時点で、同社は「調査の進展により新たにお知らせすべき事項が判明した場合には、速やかに当社ホームページにてお知らせいたします」としています。続報が出たときに特に見ておきたいのは、次の3つです。

• 件数や対象の情報に変更や追加があるか（現時点の数字は「現時点で確認している影響範囲」として示されたもの）
• 専用の問い合わせ窓口の名称、電話番号、受付時間
• 外部のセキュリティ専門機関と連携した調査の結果と、原因の確定

発表は、同社公式サイトのお知らせ一覧から読めます。SNSや掲示板の要約ではなく、お知らせの原文で日付と数字を確かめる習慣をつけておくと、古い情報や誤った情報に振り回されません。

漏れた項目と、含まれないと明記された項目

ここが、利用者にとって一番気になる部分です。同社の発表を、「不正に取得されたと確認された項目」と「含まれないと明記された項目」に分けて整理します。

分類	項目
不正に取得されたと確認された項目（お客様情報）	メールアドレス746,277件。このうち11件は氏名と住所を含む
不正に取得されたと確認された項目（取引先業者・従業員等）	氏名とメールアドレス750件、氏名と端末識別情報1,000件
含まれないと明記された項目	クレジットカード番号、セキュリティコード、その他の決済に関する情報
対象外と明記された情報	店舗で預かっている客の情報、アプリで管理している客の情報（別のシステムで管理）

お客様情報の大部分は、メールアドレスだけです。発表では「このうち11件については、氏名及び住所を含みます」とあり、氏名と住所まで含まれるのは11件に限られます。つまり、出張買取や引越を申し込んだ人の大多数は、メールアドレスが取得されたという状態です。

発表に書かれていない項目についても触れておきます。パスワード、電話番号、生年月日、買取の品物や金額、口座番号は、不正に取得された項目として発表されていません。ただし、発表はクレジットカードなどの決済情報については「含まれていないことを確認」と明記していますが、電話番号や買取の内容については「含まれる」とも「含まれない」とも書いていません。発表に無い項目は「漏れた」とも「漏れていない」とも決めつけず、続報で確かめるのが正しい読み方です。

また、取引先業者・従業員等の氏名・メールアドレス750件、及び取引先業者・従業員等が利用する端末に関する氏名・端末識別情報1,000件についても、不正取得を確認しております。 出典: treasure-f.com

対象となるサービスと、対象外のサービス

今回の対象は、「出張買取」と「トレファク引越」の申込受付や関連業務に使っている案件管理システムに記録されていた情報です。発表では、どの期間に申し込んだ人が対象かは示されていません。したがって、2026年10月25日時点では、過去に一度でも出張買取やトレファク引越を申し込んだことがある人は、自分も対象になりうると考えて行動するのが安全です。

一方、次の情報は対象外と明記されています。

• 店舗で買取や販売のときに預かっている客の情報
• トレファク公式アプリで管理している客の情報

これらは、今回不正アクセスを受けた案件管理システムとは別のシステムで管理されているためです。店舗で買取をしただけの人や、アプリだけを使っている人の情報は、今回の発表の対象には含まれていません。

ただし、注意が要るのは「店舗でも売ったし、出張買取も頼んだ」という人です。店舗の情報は対象外でも、出張買取の申込で入力したメールアドレスは対象になります。自分がどの経路で同社のサービスを使ったかを思い出し、出張買取か引越の申込フォームにメールアドレスを入れたことがあるなら、この記事の後半の対処を進めてください。

取引先業者・従業員等の情報が含まれていることの意味

お客様情報とは別に、取引先業者・従業員等の氏名とメールアドレス750件、端末に関する氏名と端末識別情報1,000件も不正に取得されています。端末識別情報とは、業務で使うスマートフォンやタブレットなどを見分けるための番号や記号のことです。出張買取は現地で査定をするため、業務用の端末を使う場面があり、その管理情報が同じシステムに記録されていたと読めます。

同社の協力会社や個人で業務を受けている人は、お客様とは別の立場で対象になっている可能性があります。この場合、同社から個別の案内が来るとされていますが、業務用のメールアドレスに、取引先や同社の担当者をかたる「業務連絡」の形の偽メールが届くことを想定しておく必要があります。この点は、後半の「在宅で仕事をする人が気をつけること」でも触れます。

原因として発表されていること

同社は、原因について次のように説明しています。2026年10月25日時点の調査では、「データベースへのアクセスに関する脆弱性が第三者に悪用されたことが原因とみております」とし、詳しい原因と影響範囲は外部のセキュリティ専門機関とも連携して調査を続けるとしています。つまり、原因は「見立て」の段階で、確定した結論として書かれているわけではありません。

発表には、もう1つ目立つ記述があります。2026年10月に公表されて話題になったPHP（Webサイトを動かすプログラム言語)の脆弱性との関係です。同社は「直近で公表されているPHPに関する脆弱性を悪用したものではなく、当該脆弱性との関連はないことを確認しております」と明記しています。報道や解説でPHPの脆弱性と結び付けて語られることがありますが、同社の発表はそれを否定しています。

また、同社は適時開示の中で、前回の子会社の事案との違いを説明しています。前回はフィッシングによってスタッフのアカウントの認証情報（ログインに使うIDとパスワード)が取られたのが原因で、今回はデータベースへのアクセスに関する脆弱性が悪用されたもので、原因と侵入の経路が異なるとしています。

発表に書かれていないこともはっきりさせておきます。どの製品やどの仕組みの脆弱性だったのか、不正アクセスがどの経路から来たのか、取得された情報がその後どこへ渡ったのかは、2026年10月25日時点では発表されていません。これらは「調査中と発表」されている事項であり、この記事でも推測して書くことはしません。

トレジャー・ファクトリーの対応と、10月28日を目途とした再開

同社が発表している対応を、時系列と項目で整理します。

• 2026年10月20日10時30分、案件管理システムへの外部からのアクセスを停止
• 同日11時05分、出張買取とトレファク引越などの申込フォームの受付を停止
• 関連するアカウントのパスワード変更などを実施
• 悪用された脆弱性への対策、ログイン機能のセキュリティ強化、不審なアクセスの監視強化を進行中
• 個人情報保護委員会への報告と、警察などの関係機関への相談と報告を進行中
• 対象となる客などに対して、本件の内容と注意事項を個別に案内する予定
• 専用の問い合わせ窓口を設置準備中。体制が整い次第、公式サイトで案内
• システムと申込フォームは、必要な安全対策と確認を実施したうえで、2026年10月28日を目途に再開する予定

グループ全体の再発防止としては、2026年8月の子会社の事案を受けて進めてきた二段階認証の設定状況、アカウントとアクセス権限の管理、情報の出力権限、セキュリティ監視体制の点検と強化に加えて、外部に公開しているシステムの脆弱性管理、脆弱性診断、WAF（Webサイトへの不正な通信を防ぐ仕組み）などによる防御、アプリケーションとデータベースのセキュリティ対策を改めて点検するとしています。

利用者の立場で押さえておきたいのは、次の3点です。1つ目は、申込フォームは2026年10月25日時点で止まっており、再開は10月28日を目途とされていること。2つ目は、対象者への個別の案内が「予定」であり、まだ届いていなくても対象外とは言えないこと。3つ目は、補償やお詫びの品については、2026年10月25日時点の発表に記載が無いことです。発表に無いことは、この記事でも「ある」とも「ない」とも書きません。

自分が対象かを確かめる方法

対象かどうかを確かめる方法は、2026年10月25日時点で次の2つです。

1. 自分の記憶と記録で確かめる。出張買取か、トレファク引越の申込フォームにメールアドレスを入力したことがあるかを思い出します。申込をしたときに届いた受付の確認メールが残っていれば、そのメールの宛先が、今回対象になっているメールアドレスです。メールの検索で「出張買取」「トレファク」と入れて探すと見つけやすくなります。
2. 同社からの個別の案内を待つ。同社は対象となる客などに対して、本件の内容と注意事項を個別に案内すると発表しています。案内の形（メールか郵送か）、件名、差出人のアドレスは、2026年10月25日時点では発表されていません。

ここで注意したいのが、2つ目の「個別の案内」を装った偽のメールです。漏えいが公表された直後は、「お詫びとお知らせ」「対象者の確認」「補償の手続き」といった件名で、本物に見せかけたメールが出回りやすい時期です。同社は専用の問い合わせ窓口を準備中としており、2026年10月25日時点では電話番号も専用のフォームも公表されていません。したがって、「以下のリンクから対象かどうかを確認してください」「補償金の受け取りに口座を登録してください」と求めるメールやSMSは、同社の発表の内容と合わないと判断できます。

自分のメールアドレスが、今回の件に限らず過去の漏えいに含まれているかを調べたい人は、海外の照会サイトの使い方をHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。ただし、照会サイトに今回の件がすぐ反映されるとは限らないので、「載っていないから対象ではない」とは考えないでください。

メールアドレスが漏れたときに起きうること

漏れた項目の大多数がメールアドレスだけと聞くと、「名前も住所も漏れていないなら大したことはない」と感じるかもしれません。同社も現時点で具体的な二次被害は確認していないと発表しています。それでも同社が注意を呼びかけているのは、メールアドレスがあれば次のようなことが起こせるからです。

• 同社をかたる「お詫び」「対象者確認」「補償手続き」の偽メールを、実際に同社を使った人だけに向けて送れる。利用した実績のある人に届くため、信じやすい
• 宅配業者、金融機関、通信会社など、同社と関係のない会社をかたる偽メールの送り先の名簿になる
• そのメールアドレスをIDとして使っているほかのサービスに対し、よく使われるパスワードや、別の漏えいで出回ったパスワードを機械的に試すログインが行われる

3つ目は、「リスト型攻撃」と呼ばれる手口です。メールアドレスとパスワードの組み合わせを、別のサービスでそのまま試すもので、同じパスワードを複数のサービスで使い回している人ほど被害に遭いやすくなります。今回の発表でパスワードが取得されたとはされていませんが、メールアドレスが出回ることで、ほかの場所で漏れたパスワードと組み合わせて試される入口になります。

警察庁は、フィッシング対策のページで、電子メールの「送信元名称」や「送信元メールアドレス」は仕様上、受信者から見える表示を変えることが容易で、実在の会社になりすませるため、表示だけで真偽を判断するのは困難だと説明しています。差出人の表示が「トレジャーファクトリー」になっていても、本物とは限らないということです。

偽のメール、SMS、電話の見分け方

同社は、不審なメール、SMS、電話を受け取った場合の注意点として、次の4点を挙げています。

1. 送信元に心当たりのないメールやSMSに記載されたURLへ安易にアクセスしない
2. 不審な添付ファイルを開かない
3. 不審なWebサイトでパスワード、クレジットカード情報、その他の重要な情報を入力しない
4. 不審な電話を受けた場合は、相手が名乗った組織の公式な連絡先を自分で確かめて問い合わせる

これに、警察庁のフィッシング対策のページに書かれている対策を重ねると、日常の行動として次の形になります。

• メールやSMSの中のリンクは開かず、あらかじめブックマークしておいた公式サイトか、公式アプリから入る
• 「個人情報の漏えい」「不正アクセスを検知」「取引の停止」など、切迫感をあおる文面ほど、いったん閉じて公式サイトのお知らせで確かめる
• 金融機関がIDやパスワードをメールやSMSで尋ねることはない
• OSやアプリを最新の状態に保ち、携帯電話会社が提供する迷惑メッセージのブロック機能を使う

今回の件に当てはめると、「トレジャーファクトリーからのお詫び」という件名のメールが届いたとき、本物かどうかを本文や差出人の表示で判断しようとしないのが基本です。メールは開いても、中のリンクは押さず、ブラウザで同社の公式サイトのお知らせ一覧を開いて、同じ内容が載っているかを見ます。2026年10月25日時点で、同社は個別の案内の差出人や件名を公表していないので、「正しい差出人」を知る手段がそもそもありません。だからこそ、メールの中からではなく、公式サイトから入る動きを徹底してください。

電話についても同じです。「漏えいの件で補償の手続きをご案内します」と電話がかかってきたら、その場で話を進めず、いったん切ります。そのうえで、同社の公式サイトに載っている連絡先（2026年10月25日時点では専用窓口は準備中で、公式サイトのお問い合わせページが入口）に自分からかけ直して確かめます。相手が告げた電話番号にかけ直すのではなく、自分で公式サイトを開いて調べた番号にかけるのがポイントです。

社内や家族への教育という形でこの手口を学びたい人には、企業向けの模擬訓練の仕組みを解説した社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドも参考になります。

パスワードの使い回しの見直しと二段階認証

今回の発表では、パスワードは不正に取得された項目に含まれていません。したがって、「トレジャーファクトリーのパスワードを急いで変えなければならない」という状況ではありません。むしろ、ここで優先するのは、出張買取や引越の申込に使ったメールアドレスを、ほかのどのサービスのログインに使っているかを洗い出すことです。

やることは次の3つです。

1. そのメールアドレスをIDにしているサービスを一覧にする。ネット通販、フリマアプリ、SNS、クラウドストレージ、銀行やカードのサイトが候補です。
2. 一覧にしたサービスの中で、同じパスワードを使い回しているものがあれば、サービスごとに違うパスワードに変える。覚えられない場合は、パスワード管理アプリに作らせて保存します。
3. 対応しているサービスでは、二段階認証（パスワードに加えて、スマートフォンに届く番号や認証アプリの番号を入力しないとログインできない仕組み）を有効にする。

警察庁も、複数のサイトで同じIDとパスワードを登録していると、1つ盗まれただけで銀行、SNS、通販などすべてのサービスが乗っ取られる被害に遭うとして、サイトごとに違うパスワードを登録すること、ワンタイムパスワードや指紋、顔認証などを活用することを勧めています。

優先順位をつけるなら、お金に直結するサービス（銀行、クレジットカード、決済アプリ、フリマアプリの売上金）から始めてください。次に、そのメールアドレスのメールサービス自体のパスワードと二段階認証です。メールアカウントが乗っ取られると、ほかのサービスの「パスワードを忘れた」機能からすべてを取られてしまうため、メール自体の守りが土台になります。

認証の方式には、SMSで届く番号、認証アプリ、物理的なキー、パスキーなどがあり、それぞれ使い勝手と安全性が違います。方式の違いと選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で比べているので、どれを選べばよいか迷う人はそちらを読んでください。

氏名と住所が含まれる11件に当たる人がすること

お客様情報746,277件のうち、氏名と住所まで含まれるのは11件です。この11件に当たる人には、同社からの個別の案内が特に重要になります。メールアドレスだけの場合と違って、氏名と住所が組み合わされると、次のようなことが起きる可能性があるからです。

• 実名と住所を正しく書いた郵便物やメールで、本物らしさを高めた偽の連絡が届く
• 住所を知っていることを前提にした「出張買取の再訪」「査定の追加」を装った訪問や電話

自分が11件に当たるかどうかは、2026年10月25日時点で同社の発表からは分かりません。同社は対象となる客などに個別に案内するとしているので、案内が届いた場合は、そこに書かれている自分の情報の範囲を確かめてください。住所が漏れたときの具体的な備え（郵便物の扱い、訪問への対応、相談先）は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番にまとめています。

なお、同社の発表には氏名と住所が含まれる11件に対する個別の補償や特別な対応の記載はありません。発表に無いことは書きませんが、個別の案内が届いた場合に「案内に書かれている連絡先が公式サイトの連絡先と一致するか」を確かめることは、11件に当たる人ほど徹底してください。

問い合わせ窓口（2026年10月25日時点）

同社は、本件に関する専用の問い合わせ窓口について、「現在設置準備を進めております。体制が整い次第、速やかに当社ホームページにてご案内申し上げます」と発表しています。つまり、2026年10月25日時点では、専用窓口の名称、電話番号、受付時間は公表されていません。

いま問い合わせたい人の入口は、公式サイトのお問い合わせページです。公式サイトのフッターにある「お問い合わせ」から、個人の客向けと法人の客向けの窓口に分かれています。適時開示の文書には、株主や投資家向けの問い合わせ先として執行役員経営企画室長の名前と電話番号（03-3880-8822）が載っていますが、これは適時開示に関する問い合わせ先であり、利用者向けの窓口として案内されているものではありません。

専用窓口が開設されたときは、公式サイトのお知らせ一覧に案内が載るはずです。メールやSMSで「専用窓口はこちら」と知らされても、その番号やリンクを使わず、公式サイトのお知らせで同じ番号が載っていることを確かめてからかけてください。

同社以外の相談先として、次の公的な窓口があります。

• 個人情報保護委員会 個人情報保護法相談ダイヤル 03-6457-9849（受付時間 9時30分から17時30分、土日祝日と年末年始を除く）。事業者の個人情報の取り扱いについての質問や苦情を受け付けています
• 警察相談専用電話 #9110。偽のメールや電話で金銭の被害に遭いそうなとき、遭ったときの相談先です。実際に被害に遭った場合は、最寄りの警察署か、警察庁のサイバー事案に関する通報等のオンライン受付窓口へ
• IPA（情報処理推進機構）情報セキュリティ安心相談窓口。ウイルスや不正アクセスなど、情報セキュリティの技術的な相談にアドバイスを提供する窓口です。詳細はIPAの案内ページで確かめられます

利用者がすることの優先順位

ここまでの内容を、やる順番に並べ直します。漏れた項目がメールアドレス中心であることを踏まえて、必要なものだけに絞っています。

1. 出張買取かトレファク引越の申込に使ったメールアドレスを特定する（受付確認メールの宛先を見る）
2. そのメールアドレスを使っているメールサービス自体のパスワードが使い回しでないかを確かめ、二段階認証を有効にする
3. 同じメールアドレスをIDにしている、お金に直結するサービスから順に、パスワードの使い回しを解消し、二段階認証を有効にする
4. 同社、宅配業者、金融機関をかたるメール、SMS、電話が来ても、中のリンクや告げられた番号は使わず、公式サイトから確かめる
5. 同社からの個別の案内が届いたら、公式サイトのお知らせと内容を照らし合わせ、自分の情報の範囲（メールアドレスだけか、氏名と住所も含むか）を確かめる
6. 2026年10月28日を目途とされている申込フォームの再開と、専用窓口の開設の続報を、公式サイトのお知らせ一覧で確かめる

逆に、やらなくてよいことも書いておきます。クレジットカードの再発行は、同社の発表でカード番号などの決済情報は含まれないと明記されているため、今回の件を理由に急ぐ必要はありません。ただ、同社をかたる偽サイトにカード番号を入力してしまった場合は別で、その場合はカード会社にすぐ連絡してください。また、店舗での買取だけを使った人、アプリだけを使っている人は、今回の対象には含まれていないので、通常の注意で足ります。

在宅で仕事をする人が気をつけること

在宅で仕事を受けている人の中には、自宅の事務所の机や棚、使わなくなった機材を出張買取に出したことがある人もいるはずです。そのときに申込フォームへ入れたのが仕事用のメールアドレスなら、仕事の連絡先が今回の対象になっている可能性があります。

仕事用のメールアドレスに偽メールが届く場合、「取引先からの請求書の確認」「振込先の変更」「ファイル共有の案内」など、業務の形を取ったものが混ざります。振込先の変更やファイルの共有を求める連絡が来たときは、メールに返信するのではなく、普段使っている別の経路（電話、チャットツール）で相手に確かめる習慣をつけておくと安心です。

自分が取引先の個人情報を預かっている立場なら、もう一歩考えておくことがあります。今回の件で漏れたのは、あなた自身のメールアドレスであって、あなたが預かっている取引先の情報ではありません。したがって、今回の発表だけを理由に、取引先へ知らせたり、報告をしたりする義務が生じるわけではありません。報告する立場にあるのは同社です。

ただし、今回出回ったメールアドレスへの偽メールをきっかけに、仕事用のメールやクラウドに不正なログインが起きた場合は話が別です。個人情報保護委員会は、事業者が委員会への報告を義務づけられる場合として、要配慮個人情報（病歴など、特に慎重に扱う情報）を含む漏えい、不正に使われるとお金の被害が出るおそれがある漏えい、不正アクセスのように不正な目的で行われたおそれがある漏えい、本人の数が1,000人を超える漏えいの4つを挙げています。不正な目的で行われたおそれがある場合は、人数に関係なく対象で、発覚した日から60日以内という報告の期限も示されています。個人で仕事を受けている人も、取引先の個人データを扱っていれば個人情報取扱事業者に当たり、この決まりの対象です。

取引先にすぐ知らせるべきか、報告が必要かは、契約の内容や預かっている情報の種類によって変わります。個人で決めつけず、取引先と相談し、迷ったら個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849、平日9時30分から17時30分）で確かめてください。

2004年から在宅ワークとフリーランスの仲介を続けてきた運営者として見てきた傾向では、長く仕事が続く人ほど、仕事用とそれ以外のメールアドレスを分け、買取や通販などの私用のサービスには仕事用のアドレスを登録していません。今回のように私用のサービスで漏えいが起きても、仕事の連絡が偽メールに巻き込まれないのは、こうした分け方ができている人です。アカウントの管理は、仕事の信用の一部と考えておくとよいでしょう。

漏えいの公表に慌てないための、日ごろのアカウントの整え方

今回のように、一度しか使っていないかもしれないサービスで漏えいが起きると、「どのアドレスで申し込んだか」を思い出すところから始めることになります。日ごろから次の3つを整えておくと、発表を読んだその日のうちに対処を終えられます。

• 登録したサービスと、そのときに使ったメールアドレスを、パスワード管理アプリに一覧で記録しておく。申込だけで会員登録がないサービスも、受付確認メールを捨てずに残しておく
• 通販や買取などの私用のサービスには私用のアドレス、取引先とのやり取りには仕事用のアドレスと、用途でメールアドレスを分ける
• パスワードはサービスごとに違うものにし、管理アプリに作らせる。二段階認証に対応しているサービスでは必ず有効にする

同社の案件管理システムのように、会員登録を伴わない申込フォームに入れた情報は、自分でも登録した記憶が薄れやすい情報です。それでも会社側のシステムには残っていて、今回のように不正アクセスの対象になります。「どこに何を預けたか」を自分の側で記録しておくことが、漏えいの公表を読んだときに慌てないための一番の備えです。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や、不正アクセスを防ぐ仕組みづくりを支援する仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。手数料をかけずに直接取引できる在宅の仕事を探すなら、@SOHO 求人一覧から、仕事用のアカウントを整えたうえで応募するのがおすすめです。

よくある質問

Q. 店舗で買取をしてもらっただけですが、対象になりますか？

2026年10月25日時点の発表では、店舗で預かっている客の情報とアプリで管理している客の情報は、今回不正アクセスを受けた案件管理システムとは別のシステムで管理されており、対象には含まれないと明記されています。対象は「出張買取」と「トレファク引越」の申込受付や関連業務に使っている案件管理システムの情報です。出張買取や引越の申込フォームにメールアドレスを入力したことがある人が、対象になりうる人です。

Q. クレジットカードの番号も漏れたのですか？

同社は、不正に取得されたお客様情報にクレジットカード番号、セキュリティコード、その他の決済に関する情報は含まれていないことを確認したと発表しています。お客様情報746,277件の対象はメールアドレスで、うち11件に氏名と住所が含まれます。カードの再発行を急ぐ必要はありませんが、同社をかたる偽サイトにカード情報を入力してしまった場合は、すぐにカード会社へ連絡してください。

Q. 届いたお詫びのメールが本物か、どう見分ければよいですか？

2026年10月25日時点で、同社は個別の案内の差出人や件名、専用の問い合わせ窓口を公表していません。したがって、メールの表示だけで本物と判断する手段はありません。メールの中のリンクは押さず、ブラウザで同社の公式サイトのお知らせ一覧を開いて、同じ内容が載っているかを確かめてください。「リンクから対象確認」「口座を登録して補償を受け取る」と求めるものは、発表の内容と合いません。

Q. パスワードは変えなくてよいのですか？

今回の発表で、パスワードは不正に取得された項目に含まれていません。急いで変えるべきものがあるとすれば、申込に使ったメールアドレスをIDにしているほかのサービスで、同じパスワードを使い回しているものです。メールアドレスが出回ると、別の漏えいで出たパスワードと組み合わせて試される入口になります。サービスごとに違うパスワードにし、二段階認証を有効にしてください。