トレファク（出張買取・引越）74万6,277件の情報漏えい、漏れたメールアドレスで何をされるのかまとめました

2026年10月23日、リユースショップ「トレジャーファクトリー」を運営する株式会社トレジャー・ファクトリーは、「出張買取」と「トレファク引越」の申込受付などに使う案件管理システムが不正アクセスを受け、お客様情報等の一部が外部に不正に取得されたことを確認したと公表しました[1]。対象はお客様のメールアドレス74万6,277件で、うち11件は氏名・住所も含むとしています。このほか、取引先業者・従業員等の氏名・メールアドレス750件と、取引先業者・従業員等が使う端末に関する氏名・端末識別情報1,000件の取得も確認されています。クレジットカード番号やセキュリティコードなどの決済に関する情報は含まれず、店舗で預かっている情報やアプリで管理している情報は別のシステムのため対象外としています。漏れたのは「ほぼメールアドレスだけ」ですが、それで安心とは言い切れません。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、サービスの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 「出張買取」「トレファク引越」の申込を名乗る、本物らしいメールやSMSが届きやすくなります。同社も、取得されたメールアドレス等がフィッシングなどに使われる可能性があるとしています。
• メールに書かれたリンクからではなく、自分で公式サイトやアプリを開いて確かめるのが安全です。
• 会社側がまず見直したいのは、メールアドレスがそのままIDになっている会員ログインと、申込受付などの業務に使う案件管理システムへのログインです。

なお、本記事は公表文や公式サイトなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は8月にも、連結子会社の株式会社カインドオルで、フィッシングによってスタッフアカウントの認証情報が取得される事案があったと書いています。今回は原因と侵入経路が異なるとしたうえで、グループ全体の対策を強めるとしています[1]。

漏れた情報で、何ができてしまうか

今回の特徴は、漏れたのがほぼメールアドレスだけで、しかも「出張買取かトレファク引越を申し込んだ人のアドレス」だと分かる形で漏れたことです。同社も、不審なメール・SMS・電話への注意を呼びかけています[1]。

なお、送り主を偽ったSMSが、本物の事業者と同じ画面（スレッド）に並んで表示される手口も知られています[6]。電話番号は今回の対象項目に挙がっていませんが、「SMSなら本物」とは言えない点は覚えておきたいところです。

このサービスで認証が使われる場所

公開情報で確認できた機能から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、悪用された脆弱性への対策、ログイン機能のセキュリティ強化、不審なアクセスの監視強化を進めるとしています[1]。8月の事案を受けて「二段階認証の設定状況」をグループ全体で点検してきたとの記載もあります。ただ、今回の対策として、どのログインにどんな確認を足すのかまでは書かれていません。そのうえで、次の順で見直すことが考えられます。

1. 案件管理システムなど業務側のログインに、パスワード以外の確認を足す。業務側の情報も取得されており、8月にはスタッフアカウントの認証情報がフィッシングで取られています[1]。ここが通れば、多くの申込者の情報に届きます。
2. メールアドレスがそのままIDになっている会員ログインに、「本人の端末かどうか」の確認を足す。申込と同じアドレスで会員登録している人は、IDにあたる情報が漏れたことになり、パスワードだけで本人と見なす形は弱くなっています。
3. 対象者への案内の出し方を先に決めて公表する。送信元や件名を公式サイトで知らせ、メールのリンクから手続きさせない形にすれば、偽の「お詫びメール」との見分けがつきやすくなります。

認証の観点から：「アドレスを知っている」と「その電話を持っている」は違う

今回、74万件を超えるメールアドレスが、出張買取や引越を申し込んだ人のものだと分かる形で取得されました。メールアドレスは、多くのサービスでログインIDや本人確認の連絡先を兼ねています。ここで分けて考えたいのは、「IDやアドレスを知っていること」と「本人の電話回線を実際に持っていること」は別物だという点です。

前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。公表文にある「ログイン機能のセキュリティ強化」を考えるときも、確認の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる考え方です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら