トレファクに不正アクセス 出張買取と引越のお客様のメールアドレス746,277件が流出

リサイクルショップ「トレジャーファクトリー」などを展開するトレジャー・ファクトリーは2026年10月23日、「出張買取」と「トレファク引越」の案件管理システムが第三者の不正アクセスを受けたと発表した。お客様の情報746,277件が外に取られた。中身はメールアドレスで、このうち11件は氏名と住所も含む。

何が起きたのか

会社は10月20日にこのシステムのアクセスの記録を調べ、同じ日の未明から朝にかけて不正アクセスがあったことを確かめた。会社は同じ日の10時30分に、システムへの外からのアクセスを止めた。11時05分には、出張買取や引越などの申込フォームの受付を止めた。

原因は、今の調べでは「データベースへのアクセスに関する脆弱性」が悪用されたことだとみている。データベースは情報をためておく仕組み、脆弱性はプログラムの弱点のことだ。詳しい原因と範囲は、外部のセキュリティの専門機関と調べ続ける。

会社は、最近公表されたPHP(Webのシステムを作るのに広く使われるプログラムの言語)の脆弱性を悪用したものではなく、関連はないことを確かめたとしている。

取られた情報

会社はこれらを「不正に取得されたことを確認」したとしている。クレジットカード番号、セキュリティコードなどの決済に関する情報は含まれていない。

店舗で預かったお客様の情報と、トレファクのアプリで管理しているお客様の情報は、別のシステムにあり、対象ではないという。今のところ、情報の不正な利用などの二次被害は確認されていない。

サービスの停止と再開

システムと申込フォームは、安全対策と確認をしたうえで、10月28日をめどに再開する予定だ。10月23日の18時ごろには、「総合出張買取」と「トレファク引越」のサイトが、どちらも「ただいま緊急メンテナンス中です」と表示し、閲覧もできなかった。

会社の対応

会社は、関係するアカウントのパスワードを変えるなどした。悪用された脆弱性への対策、ログインの機能の強化、不審なアクセスの見張りの強化も進めている。

グループでは2026年8月にも、子会社のカインドオルで不正アクセスによる個人情報の漏えいがあった。そのときはフィッシング(本物を装ったメールなどでIDやパスワードをだまし取る手口)が原因で、今回とは原因も入り口も違うという。

個人情報保護委員会への報告と、警察などへの相談・報告を進めている。業績への影響は、いま詳しく調べている。

利用者への案内

会社は、対象のお客様などに必要な情報を個別に知らせるとしている。専用の問い合わせ窓口を準備していて、整い次第、ホームページで案内する。10月23日の発表には、パスワードの変更など、利用者に向けた具体的な呼びかけは書かれていない。発表の文書に書かれた問い合わせ先は、経営企画室(03-3880-8822)だ。

まとめ

トレファクの出張買取とトレファク引越のシステムから、お客様のメールアドレス746,277件が取られた。決済の情報は含まれない。申込は10月28日をめどに再開する予定で、対象の人には会社から個別に案内がある。