トレジャー・ファクトリー（3093）は、連結子会社で起きた個人情報漏えいについて調査が完了し、対象者が13万6464人で確定したと発表した。このうち住所情報を含むのは10万9311人。東証プライム上場の小売企業である同社が2026年10月13日付の第三報で公表した。
情報が持ち出された経緯
子会社は、フィッシングメール、同メールを受信した従業員のPCのログ、ECプラットフォームの運営会社が持つアクセス・操作履歴を突き合わせて調べた。これにより、不正アクセスの経路と情報が持ち出された経緯を特定したという。
原因は、第一報で示したとおり、フィッシングメールによるスタッフアカウントの認証情報の窃取だった。子会社は管理上の課題として、二段階認証が設定されていなかったことに加え、フィッシング攻撃を前提とした認証方式の選択とアカウント保護、顧客情報を一括でエクスポートする権限の設計、重要な操作を早期に把握するための監視体制がいずれも不十分だったことを挙げている。
漏えいした情報の項目は2026年8月28日の公表内容から変わっていない。クレジットカード情報とECサイトのログインパスワードは含まれていない。
講じた再発防止策
子会社は全スタッフアカウントに、フィッシング耐性を考慮したとするパスキー方式の二段階認証を導入した。このほか、アカウントの棚卸し、顧客情報の一括エクスポート権限の限定、重要な操作に関する確認と社内エスカレーションの運用見直しも実施した。情報セキュリティマニュアルの整備、フィッシング対策訓練を含む教育、権限の定期的な棚卸し、監視体制の整備は順次進めており、実施途上にある。
グループ全体では、全グループ会社に適用する情報セキュリティ対策ガイドラインを整備した。個人情報を保持する外部ツールでの多要素認証の必須化、顧客データの一括エクスポート権限の制限、標的型攻撃メール対策訓練の実施などを定めている。各グループ会社で情報セキュリティ責任者を選任した。CSIRT（サイバーセキュリティインシデント対策チーム）の運営方針も改正して全社を対象とし、責任者による連絡協議会を設置した。グループ全体の外部ツールについて、アカウント、権限、認証の状況の初回の棚卸しを9月に実施し、高リスクと判定したものは是正を進めている。
個人情報保護委員会と警察
子会社は2026年10月6日付で個人情報保護委員会に確報を提出した。警察にも相談し、被害届の提出に向けた手続きを進めている。第三報は、この提出を会社の対応として記載しており、同委員会の判断や処分は記していない。
トレジャー・ファクトリーは、現時点で個人情報の不正利用その他の具体的な二次被害は確認されていないとしている。専用問い合わせ窓口の運営費用が発生しているが、グループの業績への影響は軽微で、2027年2月期の業績予想は変更しないという。費用の金額は第三報に記載がない。