シチズンへの問い合わせ約10万人分が漏えいのおそれ 委託先の受付システムに不正アクセス

シチズン時計は2026年10月6日、Webサイトの問い合わせフォームで受け付けた約10万人分の個人情報が、外部に漏えいした可能性があると発表した。問い合わせの受け付けに使っていたシステムを提供する委託先、スカラコミュニケーションズのサーバーが不正アクセスを受けた。

何があったのか

対象は、シチズン、ブローバ、フレデリック・コンスタントの各ブランドのWebサイトにある問い合わせフォームから届いた情報で、10月3日時点でこのシステムに保存されていたもの。氏名、住所、電話番号、メールアドレスなどが含まれる。問い合わせ内容の欄に銀行口座やクレジットカードの情報を書いていた場合は、それらも漏えいした可能性があるという。

不正アクセスは、10月2日20時33分ごろから10月3日8時1分ごろにかけて起きた。シチズン自身のシステム、たとえば公式の通販サイトや会員制サービス「MY CITIZEN」「シチズン オーナーズクラブ」へのアクセスは確認されておらず、漏えいした可能性のある情報でそれらに入ることもできないとしている。現時点で二次被害は確認されていない。

かんたんに言うと

会社のWebサイトにある問い合わせフォームは、裏側で別の会社のサービスを使っていることが多い。今回はその「受付窓口を任されていた会社」が狙われた。

スカラコミュニケーションズの親会社であるスカラの発表によると、第三者がFAQシステム「i-ask」の管理サイトに不正にログインし、サーバーに不正なプログラムを置いたうえで、同じサーバーで動いていた利用企業のデータベースから問い合わせ情報を取得した可能性がある。対象の利用企業は最大5社で、問い合わせ情報は延べ最大71万3,126件。同じ人が何度も問い合わせた分も重ねて数えた件数で、実際の人数は確かめている最中だという。利用企業の名前は公表していない。

問い合わせた人がやること

シチズンは、対象の人に順次、個別に連絡する。シチズンや関係者を装った不審なメール、SMS、電話には注意し、個人情報を伝えたり、添付ファイルやURLを開いたりしないよう呼びかけている。専用の問い合わせフォームも設けた。

まとめ

問い合わせの文章は、送ったあとも委託先のシステムに残り続けることがある。カード番号や口座番号のような大切な情報は、問い合わせ欄に書かないようにしたい。シチズンは、このシステムの利用を2026年10月中旬で終え、その後は保存された個人情報をすべて削除する予定だ。