酒類販売の株式会社いまでや（千葉市中央区）は2026年8月21日、同社が管理する顧客の注文情報が外部の第三者に流出した可能性が高いことが判明したと、第1報として公表した。同社は事実関係の確定を待たず、現時点で判明している内容を報告している。
本物の注文内容を記した不審メールが約30件
経緯について同社は、2026年8月20日夜に同社を装った不審なメール（フィッシングメール）を受信したとの問い合わせが顧客から約30件寄せられたと説明している。これらのメールには、受信した顧客本人の氏名・注文番号・注文金額が正確に記載されていた。同社は無作為に送信されたものではなく、同社が保有する注文情報を第三者が取得した可能性が高いと判断し、同日から調査と対応を開始した。
流出の可能性がある情報と対象者
現時点で流出した可能性が高いとされるのは、顧客の氏名、メールアドレス、注文番号、注文金額だ。対象には、同社オンラインストアで購入した顧客に加え、実店舗で会員情報を提示して購入した顧客も含まれる。対象となる実店舗は、千葉本店、GINZA SIX、錦糸町PARCO、千葉エキナカ、清澄白河、軽井沢、松坂屋名古屋の7店だ。同社が保有する飲食店情報や取引先・生産者情報は本件の対象外とみている。
クレジットカード情報について同社は、今回のフィッシングサイトが顧客にカード情報の入力を求める内容だったことから、カード情報そのものは第三者に取得されていない可能性があると推定している。ただし確定ではなく、引き続き調査するとしている。一方で同社は、フィッシングサイト上でクレジットカード情報などを入力した顧客が現時点で2名いることを確認し、当該の顧客には個別に連絡して対応を進めている。
原因は未特定、Shopifyの購入履歴を調査中
原因は現時点で特定できていない。同社は、自社が利用するシステムのほか、スマレジやクロスモールといった外部連携サービスへの不正アクセスの可能性も含めて調査を開始した。同社が利用するプラットフォームであるShopifyで管理する購入履歴のうち、実際に流出した範囲については、外部の専門調査機関による調査を進めている。確認できているフィッシングメールは、いずれも直近数日以内に購入した顧客に送られているが、影響の範囲は特定できていない。
オンラインストア停止などの対応を実施
同社が実施済みとする対応は次の通りだ。
- IMADEYA ONLINE STOREの一時停止（コーポレートサイトも傘下のため一時クローズ）
- システム管理権限の縮小、全管理者のパスワード変更と二段階認証の設定
- 外部システムとのデータ連携の停止
- 利用システム提供事業者への事象共有と調査依頼
- 直近の購入者やメールマガジン会員への注意喚起メールの送信
- ウェブサイトと公式SNSでの注意喚起の掲示
- フィッシングサイトの停止に向けた関係機関への通報
外部の専門調査機関による原因究明、個人情報保護委員会への報告、影響範囲の特定は実施中としている。
同社が顧客に呼びかける注意点
同社は顧客に対し、次の点を呼びかけている。フィッシングサイトでクレジットカード情報を入力した顧客は、至急カード裏面記載の番号からカード会社に連絡し、利用停止と再発行の手続きを取るよう求めている。利用明細に身に覚えのない請求がないかの確認も促している。
不審なメールを受信した顧客には、本文中のリンクを開かずメールを削除するよう求めている。リンクを開いた場合でも、情報を入力していなければ直ちに被害が生じるものではないとしている。同社の公式ドメインは imadeya.co.jp であり、これ以外のドメインからの送信メールは同社の発信ではないと明言している。「配送ラベル発行のため、お届け先の確認が必要」といった内容でカード情報の入力を求めるメールは、すべて同社と無関係だとしている。
同社は調査の進捗に応じて、対象顧客の範囲、流出情報の項目、原因と再発防止策をあらためて報告するとしている。不審なメールを受け取った購入者は、リンクを開かず削除し、カード情報を入力してしまった場合は直ちにカード会社へ連絡してほしい。
出典
- お客様情報の外部流出の可能性に関するお詫びとお知らせ（第1報）（株式会社いまでや、PR TIMES、2026年8月21日）
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。