カード番号は漏れていない。それでも危ないのは「下4桁と有効期限」

• 最大81万7,215人分のマイページ情報が閲覧された可能性
• カード番号の全桁・セキュリティコード・パスワードは漏れていない
• それでも下4桁・有効期限・カード名義の組み合わせは効いてしまう

化粧品アウトレットのアエナが10月14日、ECアプリへの不正アクセスを公表した。

この手の発表は「漏れていないもの」の書き方に目が行きがちだが、漏れたものの組み合わせを見たほうがいい。公式発表から整理する。

公表されている事実

公式によれば、システムログの解析により、2026年10月13日（火）5時58分に会員マイページが不正に閲覧されていたことが判明した。

対象は最大817,215人。アプリに個人情報を登録している会員が対象で、LINE会員や、Amazon・楽天などを経由した利用者は対象外とされている。

閲覧された可能性のある項目

閲覧されていないとされる情報

公式は「重要」と見出しを付けて、次を明記している。

• カード番号の全桁とセキュリティコード — そもそもデータベースおよびサーバー内で保持していない
• ログインパスワード — 閲覧・流出なし
• 会員情報の変更、退会手続き、購入の確定操作 — 行われていないことを確認

カード番号を自社で持たない作りになっていた点は、被害を小さくしている。ここは評価していい。

それでも軽くない理由

問題は、残った情報の組み合わせにある。

氏名・住所・電話番号・メールアドレスに加えて、カードの下4桁・有効期限・名義が揃っている。これは「本人確認のつもりで使われる情報」がほぼ全部だ。

下4桁は、普段どう使われているか

明細やレシートで、カードは下4桁だけ表示される。つまり日常的に「下4桁を言えるのは本人」という扱いになっている。

だから、こういう連絡が来ると本物に見える。

末尾1234のカード（有効期限〇〇/〇〇）でのお支払いが確認できませんでした

名前も住所も合っていて、カードの下4桁と有効期限まで合っている。この時点で疑う材料がない。そこで全桁とセキュリティコードを入力させれば、攻撃側の手元に揃う。

つまり漏れていない情報を取りに来るための材料として、漏れた情報が使われる。「全桁は漏れていないから安心」では終わらない理由がここにある。

公式も、そこを注意している

発表には、次の一文がある。

当社から、メール、SMS、電話でパスワードやクレジットカード情報をお伺いすることはございません。

聞かれた時点で偽物という判定になる。文面がどれだけ自然でも、情報がどれだけ合っていても、この一点で切れる。

同じ構造は履歴書が漏れた件でも書いた。届いた連絡の中のリンクを使わず、自分でサイトを開き直す。手順はこれだけでいい。

見落とされやすい「お届け先」

項目の中に、こう書かれている。

登録されているお届け先住所・氏名・電話番号（第三者宛を含む）

つまり自分がアエナを使っていなくても、誰かの贈り先として登録されていれば対象になりうる。

贈り物の宛先は、実家、友人、取引先のこともある。本人は登録した覚えがないのに情報が出ているという形で、個別の連絡も届かない。

該当しうる人にできるのは、身に覚えのない連絡を一律で疑うことくらいになる。心当たりが無いからこそ油断しやすいので、ここは書いておきたい。

原因について書かれていること

公式の「発生原因」はこうなっている。

不正アクセスを通じて、機械的な連続アクセスが行われたことが原因です。詳しいことは現在調査を進めております。

手口の種類は特定されていない。だから断定はできない。

ただ、アプリ経由で、機械的に、大量にという形は、前日の10月13日にNICTが注意喚起した公開アプリから裏のサーバーを狙う手口と、外から見える部分がよく似ている。

あちらで挙げられていた確認項目のうち、今回の形に効くのは2つになる。

• 番号を変えて他人のデータが見えないか — マイページが機械的に次々と読めた形と合う
• 短時間に大量の要求が来たとき、止まるか — 1件ずつは正常に見えても、回数で異常になる

2番目は日本郵便の件との違いでもある。あちらは攻撃なしで見えてしまう不具合、今回は機械的に繰り返されたという説明になっている。

利用していた人がすること

1. 個別メールを待つ。公式は対象となる可能性のある会員へ順次連絡している
2. その連絡を装った偽物に注意する。待っているところへ来るので通りやすい
3. カードの明細を見る。全桁は漏れていないが、見ておいて損はない
4. 同じパスワードを他で使っていないか確認する。今回は漏れていないが、使い回しは別の問題
5. 問い合わせは公式サイトの窓口から。専用のフリーダイヤルと窓口が設置されている

まとめ

• 最大81万7,215人分のマイページ情報が閲覧された可能性
• 対象はアプリ会員。LINE会員やAmazon・楽天経由は対象外
• カード番号の全桁とセキュリティコードは、そもそも保持していない
• それでも下4桁・有効期限・名義が揃うと、連絡が本物に見える
• 漏れた情報は、漏れていない情報を取りに来る材料になる
• お届け先は第三者宛を含む。登録した覚えがなくても対象になりうる
• 原因は機械的な連続アクセス。手口の種類は調査中

出典

• 株式会社アエナ「外部からの不正アクセスによるお客様情報流出の可能性について」（2026年10月14日）（判明時刻、対象人数、閲覧された可能性のある項目、閲覧されていない情報、発生原因、二次被害防止の注意喚起、問い合わせ窓口）

本記事は2026年10月14日時点で公表されている内容に基づく。原因は調査中とされており、手口については公式が特定していないため、本記事でも断定していない。本記事は法的な助言ではない。