東証プライム上場の小売り、アンドエスティＨＤ（2685）は10月23日、業務サーバーに第三者による不正アクセスがあり、顧客や取引先、従業員の情報が流出した可能性があると発表した。同日付の発表文で謝罪した。
流出の可能性がある情報
同社によると、流出した可能性がある顧客情報は約250万件で、氏名、生年月日、性別、住所、電話番号、メールアドレス、会員IDが対象となる。取引先情報は約1万件で、会社名、発注先・返品先住所、担当者氏名、電話番号、メールアドレスが含まれる。従業員の該当範囲は確認中としている。クレジットカードなどの決済情報や、顧客自身が設定したパスワードは含まれない。
これらの件数は流出した可能性があるデータの件数であり、対象者の確定人数ではない。同社は対象となる個人の人数を明らかにしていない。
経緯と営業状況
攻撃者は10月22日午前7時30分ごろから、複数のサーバーに対してログイン試行や侵入、データ抽出を行った。アンドエスティＨＤは午前10時ごろに不正な操作を検知し、サーバーを隔離。午後5時までにアクセス経路の遮断や社内業務システムの停止を行い、同経路からアクセスできないことを確認した。
10月23日には警察に相談し、個人情報保護委員会に報告した。
グループ店舗とWEBストアは営業を続けており、同社はWEBストアが今回の不正アクセスの影響を受けていないとしている。ただ、現在は店舗とWEBストアの双方で会員ポイントが利用できなくなっている。
今後の対応
アンドエスティＨＤは対象となる顧客と取引先への連絡を順次開始し、問い合わせ窓口を設置するとしている。当期業績への影響は精査中で、重大な影響が見込まれる場合は速やかに開示するとしている。