株式会社フラウ・インターナショナルは8月3日、7月7日に公表した業務委託先への不正アクセスについて、第二報を発表した。
同社では6月30日に、メールでの問い合わせ対応の管理に利用している外部サービスの運営会社から、同運営会社が管理するサーバへの第三者からの不正アクセスを確認した旨の報告があり、当該委託先および外部専門家と連携し、詳細な調査を進めていた。
当該委託先では7月9日から、第三者機関による調査を開始した結果、第三者が外部メールサービスの管理画面に対し多数のログイン試行を行い、不正ログインし、その後、当該サービスの正規のデータ出力機能を利用して、フラウ・インターナショナルが運営するサイト宛に問い合わせのあった2026年6月29日以前の一定期間のメール本文がダウンロードされ、当該メール本文に記載されている個人情報が漏えいした可能性が判明している。また、2025年にフラウ・インターナショナル管理アカウントが不正利用されていたことが、新たに判明している。
なお、外部メールサービスの管理画面への不正ログインは認められたものの、調査対象サーバのOSへの不正ログイン、マルウェア感染、不審な自動起動設定または明確に不審なコマンド実行の痕跡は検出されていない。
漏えいした可能性があるのは、フラウ・インターナショナルが運営する各Webサイト宛に問い合わせのあった下記のメール情報。
1.2026年6月29日以前の不正アクセスによる個人情報3,560件。
項目：氏名、メールアドレス、電話番号、住所（勤務先含む）、生年月日、会員番号、口座情報、取引情報（問い合わせ内容等）、ログインパスワード、クレジットカード情報（1件）。
2.2025年10月の不正アクセスによる取得もしくは閲覧の可能性
2025年10月に不正アクセスがあり、上記3,560件には含まれないメール2通が検索・閲覧された可能性が高いことが判明している。対象メールはその後の通常業務で削除されており、送信者のメールアドレスおよび本文情報を復元できないため、含まれていた個人情報の有無および対象者を特定できない。
フラウ・インターナショナルでは8月3日から、対象者にメールで連絡を行う。
フラウ・インターナショナルでは今後、委託先のPマーク・ISMS等の認証取得状況の確認に加え、個人データの性質・量・リスクに応じて、具体的な安全管理措置と個人データの取扱状況をより詳細に確認し、監督を強化するとのこと。
