株式会社ゼットンの不正アクセス｜forty three旧メールから1万8553件流出の可能性と経緯

飲食店を展開する株式会社ゼットンは2026年3月27日、岐阜県岐阜市の店舗「forty three」で過去に使っていた旧メールシステムのアカウントが不正アクセスを受け、1万8553件の個人情報が流出した可能性を否定できないと公表しました。店舗のPC1台のマルウェア感染で認証情報が盗まれ、約2か月後から海外からの不正ログインが続いていました。この記事では公表文に書かれていることと書かれていないことを分けて経緯を整理し、対象者が確かめる手順、ゼットンの会社概要と親会社の告知、個人情報保護法の報告義務と罰則、運用を終えたシステムのアカウントを洗い出す手順をまとめます。

まとめ：ゼットンの不正アクセスの公表事実と対象者・企業の対応

公表文によると、個人情報が公開された事実は確認されておらず、現行のシステムとグループ会社のシステムにも影響はありません。ただし、乗っ取られたアカウントから複数の宛先へメールが送られていたことは確認されています。該当期間にforty threeを予約した人や取引先は、ゼットンやforty threeを名乗る心当たりのないメールのリンクと添付ファイルを開かないことが最初の対策です。

企業側の教訓は、運用を終えたはずのシステムのアカウントが生きていたことにあります。2026年11月13日時点で、公表文に追記はなく、ゼットンのニュース一覧にも続報は出ていません。件数の確定や追加の調査結果は公表されていません。

ゼットンの旧メールシステムへの不正アクセスの経緯｜感染から公表までの時系列

2025年9月の感染から2026年3月27日の公表までの時系列

ゼットンの公表文に書かれた経緯は次のとおりです。

感染した端末で使っていたアカウントの認証情報が盗まれ、11月27日から海外からの不正ログインが続き、そのアカウントから複数の宛先へメールが送られていました。発覚のきっかけは、2026年2月18日に店舗の従業員が「不審なメールがメールボックスにある」と報告したことです。ゼットンは直ちに端末をネットワークから隔離し、外部のセキュリティ専門機関にデジタル・フォレンジック調査を依頼しました。感染から発覚まで約5か月、発覚から公表まで約5週間かかっています。

ゼットンが講じた初動と再発防止策：端末隔離・アカウント停止と従業員教育

公表文によると、初動として該当端末のネットワークからの完全隔離と証拠保全、旧メールシステムの全ユーザーのパスワードリセットとアカウントの完全停止、感染したPCで使っていたその他の関連サービスのパスワード変更を行いました。再発防止策は、旧メールシステムの遮断・廃止、グループ標準の高度なセキュリティソリューションの導入、従業員教育の再徹底の3つです。導入したソリューションの具体的な中身は書かれていません。

forty threeでの旧メールシステムの用途：予約・パーティー・取引先の連絡

該当店舗のforty threeは岐阜県岐阜市の店舗です。公表文によると、旧メールシステムは予約サイト経由の予約、店舗や従業員へのメールでの予約依頼、パーティーの依頼、取引先との連絡に使われていました。対象者は予約客から取引先・従業員まで及び、対象期間は約7年です。

2019年のノートPC遺失との比較：端末の遺失と認証情報の窃取の違い

ゼットンでは2019年9月にも、業務用ノートPCの遺失で顧客情報が流出した可能性を公表しています。2019年9月6日のゼットンの公表文によると、対象は最大6万7280件で、20店舗の予約客のうち、2017年12月以降の特定の期間に予約を依頼した人でした。公表文では、ノートPCの遺失日は2019年8月30日とされています。2019年は予約情報を保存した端末の遺失、今回は旧メールシステムの認証情報の窃取であり、情報の保管先と侵害された対象を分けて考える必要があります。

株式会社ゼットンの会社概要と親会社アンドエスティHDの告知

本社・代表者・設立：公式サイトの会社概要

ゼットンの会社概要に掲載されている内容は次のとおりです。

ハワイの子会社ZETTON, INC.はホノルルで海外の飲食店を経営しています。ゼットンはもともと名古屋に本店を置いていた会社で、2006年の名古屋証券取引所セントレックスの新規上場会社概要では、代表取締役社長は稲本健一氏、本店は名古屋市中区栄でした。代表者と本社はその後変わっているため、現在の情報は公式サイトの会社概要で確かめてください。

アダストリアによる完全子会社化と2024年5月30日の上場廃止

ゼットンは株式会社アンドエスティHDの連結子会社です。ゼットンの開示によると、当時のアダストリアとの株式交換により、2024年5月30日に名古屋証券取引所ネクスト市場で上場廃止となりました。アダストリアは2025年9月1日に持株会社体制へ移り、商号をアンドエスティHDに変えました。衣料品の販売事業は、新たに設けた子会社の株式会社アダストリアが引き継いでいます。

親会社の告知：アンドエスティHDへの影響は無く業績影響は軽微

アンドエスティHDも同じ2026年3月27日に連結子会社における不正アクセスのお知らせを出しています。本件はゼットンの旧システム環境で起きたもので、アンドエスティHDのシステム環境への影響と、同社が保有する個人情報への不正アクセスの事実は無いとしています。連結業績への影響は軽微です。

なお、アンドエスティHDは2026年10月23日に、自社の業務サーバーへの不正アクセスで顧客の個人情報約250万件が流出した可能性を別途公表し、11月4日の続報で対象を約274万件に改めています。ゼットンの件とは時期も侵害されたシステムも異なる別の事案で、経緯と対象の確かめ方はアンドエスティ不正アクセスの対象確認と偽メールの注意点で整理しています。

流出の可能性がある1万8553件の範囲と、対象外とされた情報

対象となる人と期間：予約客・取引先・従業員とパーティー参加者

公表文によると、流出の可能性を否定できない個人情報は総数18,553件で、対象は次のとおりです。

• 2018年6月〜2025年9月に予約サイトを通じて該当店舗を予約した客
• 同期間に該当店舗や同店舗の従業員へメールで予約を依頼した客
• 同期間に該当店舗の従業員とメールで連絡していた取引先
• 旧メールシステムを利用していたゼットンの従業員
• 2022年12月〜2025年9月に該当店舗でパーティーを依頼した客と参加予定だった客

項目は「氏名」「住所」「電話番号」「メールアドレス」「アレルギー情報」「予約内容等」の6つです。公表文は2アカウントごとの情報の内訳や保存状況を示しておらず、件数が膨らんだ理由までは判断できません。どの人にどの項目が含まれるかも書かれていません。

カード情報・マイナンバーの対象外範囲とアレルギー情報の取扱上のリスク

クレジットカードなどの決済情報とマイナンバー情報は、流出の可能性がある情報に含まれていません。一方で、アレルギー情報が含まれる点は軽く見られません。個人情報保護法2条3項は「病歴」を要配慮個人情報に含めています。アレルギー情報も、特定の病気に罹患していることを示す内容であれば該当し得ます。本件では記録内容の詳細が公表されていないため、該当性は断定できません。予約内容の詳細によっては、来店予定日や同伴者などの情報が推測されるおそれもあります。

1万8553件の規模：2025年の上場企業の漏えい事故との比較

東京商工リサーチの調査（2026年1月30日公表）によると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件で、原因別では「ウイルス感染・不正アクセス」が116件と6割超を占めました。この原因の事故の漏えい人数の平均は56万3,637人分で、2025年の最多は快活CLUBを運営するAOKIホールディングスの729万87人分です。同じく外食・飲料の分野では、アサヒグループホールディングスが2026年7月17日の追加調査で、漏えいのおそれがある個人情報を区分別の合計で約228.9万件としています。経緯はアサヒのサイバー攻撃の時系列まとめで扱っています。

これらと比べればゼットンの件数は小さいものの、1店舗の2アカウントから約1.9万件という点は、メールボックスにデータを溜め続けることの危うさを示しています。

対象者が確かめる手順と、不審なメールを開いてしまったときの初動

自分が対象かを確かめる：個別連絡の有無とお問い合わせフォーム

ゼットンは対象者へ順次、メールまたは郵送で個別に連絡しています。連絡先が分からない人には、公表をもって案内に代えるとしています。forty threeを予約した覚えがあれば、次の順で確かめてください。

1. 2018年6月〜2025年9月に予約サイトやメールでforty threeを予約したか、2022年12月〜2025年9月にパーティーを依頼または参加予定だったかを思い出す
2. ゼットンからのメールと郵便が届いていないかを確かめる（迷惑メールフォルダも見る）
3. 分からなければ、公表文が窓口として示すゼットンのお問い合わせフォームから問い合わせる

窓口はフォームだけで、専用の電話窓口は公表文に書かれていません。届いた連絡が本物か迷ったときは、メール内のリンクではなく、自分で開いた公式サイトのお知らせと内容を照らし合わせます。

リンクや添付ファイルを開いてしまったとき：パスワード変更と端末の切り離し

乗っ取られたアカウントから送られたメールのリンクを開き、IDやパスワードを入力してしまった場合は、そのサービスのパスワードをすぐに変え、同じパスワードを使い回している他のサービスも変えます。二段階認証を設定できるサービスなら有効にします。添付ファイルを開いてしまった場合は、そのPCやスマートフォンをWi-Fiや有線LANから外し、セキュリティソフトでスキャンしてください。会社の端末なら、自分で操作を続けずに社内の情報システム担当へ報告します。対処に迷う個人は、IPAの情報セキュリティ安心相談窓口に相談できます。

流出の可能性がある項目に住所と電話番号が含まれるため、メールだけでなく、ゼットンや予約サイトを名乗る電話やSMSにも注意が要ります。返金や確認を口実に、カード番号や口座番号を聞いてくる連絡には応じないでください。パーティーの幹事だった人は、参加者の連絡先も対象になりえるので、参加者にも一声かけておくと安全です。

公表文に書かれていない点：感染経路・認証方式・旧システムの終了日

マルウェアの種類と感染経路、乗っ取り後に送られたメールの中身

マルウェアの種類、感染の経路（メールの添付ファイルか、Webサイトか）、盗まれた認証情報がパスワードだけだったのかは書かれていません。乗っ取られたアカウントから送られたメールの宛先数や内容も示されていません。

推定として読むべき点：MFA・ログイン監視・アカウントが残った理由

旧メールシステムに多要素認証（MFA）が設定されていたかは公表されていません。盗まれたのがパスワードだけならMFAで防げた可能性がありますが、マルウェアがログイン済みのセッション情報を盗んだ場合は、MFAがあっても入られることがあります。また、11月27日から約3か月、海外からのログインが気付かれなかったことから、旧システムのログイン監視が働いていなかった可能性もあります。ただし、どちらも公表文には書かれておらず、推定の域を出ません。

公表文は「過去に使用しておりました旧メールシステムのアカウント」「既に運用を終了していた旧システムでの事象」と書いています。マルウェア感染は2025年9月で、流出の可能性がある情報の対象期間も同月までですが、旧システムの運用終了日や終了後のメール受信状況は示されていません。運用を終えたはずのシステムで、いつまで、なぜアカウントが使える状態だったのかは公表されていません。

個人情報保護法の報告義務と罰則｜漏えい等報告と命令・報告徴収の条文

漏えい等報告の対象となる4類型と、不正アクセス時の速報・確報の期限

個人情報保護法26条は、個人の権利利益を害するおそれが大きい漏えい等が起きたとき、個人情報保護委員会への報告と本人への通知を義務付けています。個人情報保護委員会の案内では、対象は要配慮個人情報、財産的被害のおそれ、不正の目的による漏えい等、本人の数が1,000人超の4類型です。速報は発覚から概ね3〜5日以内、確報は30日以内（不正の目的によるものは60日以内）です。

今回は外部からの不正アクセスによる漏えいのおそれがあるため、報告対象となる事案です。公表された18,553件は情報の件数であり、重複を除いた本人の人数は示されていません。ゼットンは発覚後即時に委員会へ報告したとしています。類型の見分け方と書き方は個人情報保護委員会への報告義務で詳しく解説しています。

報告義務違反そのものに直接の罰則は無い：勧告・命令と命令違反の罰則

漏えい等報告を怠ったこと自体に、直接の罰則はありません。e-Gov法令検索で2026年11月13日時点の現行条文（2026年11月2日施行版）を確認すると、罰則は次の段階で効いてきます。

26条に違反すると、委員会は148条により違反を是正する措置を勧告でき、正当な理由なく勧告に従わず重大な権利利益の侵害が切迫していると認めるときは、命令を出せます。この命令に違反すると、178条により「1年以下の拘禁刑又は100万円以下の罰金」です。刑法の改正で、2025年6月1日から「懲役」は「拘禁刑」に変わっています。法人には184条1項1号により1億円以下の罰金が科されます。

50万円以下の罰金（182条1号）は、委員会が146条1項で報告や資料の提出を求めたのに応じない、虚偽の報告をした、立入検査を拒んだといった場合の罰則です。漏えい等報告を出さなかったことに直接掛かる罰則ではありません。

2026年7月17日に公布された改正個人情報保護法（令和8年法律第56号）は、課徴金制度の導入などを段階的に施行します。条文の番号や罰則が変わる可能性があるため、施行後は改めて確認してください。改正の全体像は令和8年改正個人情報保護法で企業対応がどう変わるかで整理しています。

運用を終えたシステムのアカウントを残さないための点検手順と停止判断

放置アカウントと海外からのログインを洗い出す読み取り専用のPython

今回の入口は、運用を終えたはずの旧メールシステムのアカウントでした。同じ穴を探すには、メールシステムの管理画面からアカウント一覧とサインインのログをCSVで書き出し、「有効なのに長く使われていないアカウント」と「業務で使わない国からのログイン」を洗い出します。次のPythonは2つのCSVを読むだけで、システムには接続しません。列名は書き出したCSVに合わせて読み替えてください。日時はISO 8601形式（例：2026-10-08T12:00:00+09:00）で渡します。タイムゾーンの無い日時はUTCとして扱うので、日本時間で書き出したCSVなら末尾に+09:00を付けてください。

# メールシステムから書き出した2つのCSVを読み、放置アカウントと海外からのログインを洗い出す（読み取りのみ）
#   accounts.csv : account,status,last_login        （status は active / disabled）
#   signins.csv  : account,time,country             （country は ISO の2文字。JP など）
# 使い方：python stale_accounts.py accounts.csv signins.csv
import csv
import sys
from datetime import datetime, timedelta, timezone

DAYS = 90                 # この日数ログインが無い有効アカウントを「放置」とみなす
ALLOWED = {"JP"}          # 業務でログインする国。海外拠点があれば足す


def parse(ts):
    """ISO 8601 の日時を UTC の aware datetime にする（タイムゾーン無しは UTC とみなす）"""
    dt = datetime.fromisoformat(ts.strip().replace("Z", "+00:00"))
    return dt.astimezone(timezone.utc) if dt.tzinfo else dt.replace(tzinfo=timezone.utc)


limit = datetime.now(timezone.utc) - timedelta(days=DAYS)
active = set()
with open(sys.argv[1], encoding="utf-8-sig", newline="") as f:
    for row in csv.DictReader(f):
        if row["status"].strip().lower() != "active":
            continue
        active.add(row["account"])
        last = row["last_login"].strip()
        if not last:
            print(f"[放置] {row['account']}：ログイン記録が無いのに有効")
        elif parse(last) < limit:
            print(f"[放置] {row['account']}：最終ログイン {parse(last):%Y-%m-%d}")

with open(sys.argv[2], encoding="utf-8-sig", newline="") as f:
    for row in csv.DictReader(f):
        if row["account"] in active and row["country"].strip().upper() not in ALLOWED:
            print(f"[要確認] {row['account']}：{parse(row['time']):%Y-%m-%d %H:%M} UTC に {row['country']} からログイン")

このコードは、有効アカウントの最終ログインが90日より前の場合、またはログイン記録が空の場合に「放置」と表示します。有効アカウントについて、許可した国以外からのログインを「要確認」と表示します。現在無効なアカウントの過去のログインは対象外なので、侵害後に停止したアカウントを調べる事故調査では、無効化前のログを別に確かめてください。標準ライブラリだけで動き、Python 3.9以降で実行できます。有効3件・無効1件のアカウントと、海外からのログイン3件（うち1件は無効アカウント）を入れた次のサンプルで確かめられます。

# accounts.csv
account,status,last_login
[email protected],active,2026-10-01T09:00:00+09:00
[email protected],active,2026-05-01T09:00:00Z
[email protected],active,
[email protected],disabled,2025-01-01T00:00:00

# signins.csv
account,time,country
[email protected],2026-10-01T00:00:00Z,JP
[email protected],2026-10-02T03:04:00Z,NL
[email protected],2026-10-03T00:00:00Z,US
[email protected],2026-10-08T12:00:00+09:00,US

2026年11月13日に実行した出力は次のとおりです。「放置」の判定は実行日から90日前を境にするので、実行日が変わると結果も変わります。無効アカウントdのログインは表示されません。

[放置] [email protected]：最終ログイン 2026-05-01
[放置] [email protected]：ログイン記録が無いのに有効
[要確認] [email protected]：2026-10-02 03:04 UTC に NL からログイン
[要確認] [email protected]：2026-10-08 03:00 UTC に US からログイン

「放置」と出たアカウントは、持ち主と用途を確かめて停止します。「要確認」と出たログインは、出張やVPN利用など本人の操作かをまず確かめます。身に覚えがなければ、パスワードを変えてログイン中のセッションも失効させ、送信済みメールを調べます。ログの見方は不正アクセスのログ確認・解析方法で扱っています。

旧システムの停止日に行うアカウント無効化と保存期限に応じたデータ削除

システムの運用を終えたら、その日のうちに全アカウントを停止し、保存期間を過ぎたメールとデータを消すべきです。「念のため残しておく」アカウントは、誰も見ていないので、乗っ取られても気付かれません。今回も、従業員が不審なメールに気付くまで約3か月、海外からのログインが続きました。

法令や契約で保存が必要なメールがある場合でも、アカウントを生かしたまま残す必要はありません。保存用の領域へ書き出してアカウント自体は止めるか、どうしても残すなら多要素認証を掛け、ログインの通知を管理者に届く設定にします。店舗ごとにアカウントを作る運用では、アカウントの発行と停止を本部の台帳で管理し、退職や閉店、システム移行のたびに台帳と実際のアカウントを突き合わせます。台帳と実アカウントの突き合わせを手作業で続けられない規模なら、認証基盤・ID管理システム開発で発行・停止を1か所にまとめる方法があります。方式の違いは認証・ID管理の方式と選び方、MFAの実装は多要素認証（MFA）の実装方式を参照してください。

店舗PCの感染を早く見つけるためのEDR導入判断

今回の起点は店舗のPC1台の感染でした。店舗PCが本部の端末管理や監視の対象から外れている場合は、感染の検知や隔離が遅れるおそれがあります。店舗PCまでEDRを入れて感染時に隔離できるようにするかは、店舗数と、店舗PCで扱う個人情報の量で決めます。予約やパーティーの依頼をメールで受けている店舗は、優先して対象にすべきです。店舗PCで顧客の連絡先を扱っていない場合でも、端末で盗まれた認証情報からメールやクラウドに入られる経路は残ります。メールとクラウドサービスのMFAはログインを、EDRは端末での感染と認証情報の窃取を見張る対策で、守る段階が違うため、どちらか一方で済ませずに両方を検討します。EDRの導入判断はEDRとEPP・XDRの違いで整理しています。

よくある質問

ゼットンの不正アクセスについて、予約客と企業の担当者から出やすい質問をまとめました。

forty threeを予約したことがあれば、自分の情報も対象ですか？

2018年6月〜2025年9月に予約サイトやメールでforty threeを予約した人、2022年12月〜2025年9月にパーティーを依頼した人や参加予定だった人は対象になりえます。ゼットンからのメールや郵便が届いていなければ、公表文にあるお問い合わせフォームで確かめてください。

どんな情報が流出した可能性がありますか？

氏名、住所、電話番号、メールアドレス、アレルギー情報、予約内容等の6項目で、総数は18,553件です。クレジットカードなどの決済情報とマイナンバー情報は含まれていません。公表時点で、個人情報が公開された事実は確認されていないとされています。

株式会社ゼットンの社長は誰で、親会社はどこですか？

公式サイトの会社概要では、代表取締役社長は菊地大輔氏です。親会社は株式会社アンドエスティHD（旧アダストリア）で、ゼットンは2024年5月30日に名古屋証券取引所ネクスト市場で上場廃止になっています。

漏えい等の報告をしないと罰金が科されますか？

報告をしなかったこと自体に直接の罰則はありません。個人情報保護委員会が148条で勧告・命令を出し、その命令に違反すると178条で1年以下の拘禁刑又は100万円以下の罰金、法人は184条で1億円以下の罰金です。50万円以下の罰金（182条）は、委員会の報告徴収（146条）に応じない・虚偽の報告をした場合の罰則です。

運用を終えたメールシステムで何を確認すべきですか？

まず、運用を終えたシステムに有効なアカウントが残っていないかを一覧で確かめます。残っていれば停止し、必要なメールは保存用の領域へ移してください。あわせて、直近のサインインのログに業務で使わない国からのログインが無いか、送信済みのメールに覚えのないものが無いかを調べます。

関連記事

• アンドエスティ不正アクセス：約250万件流出の可能性と対象確認、ポイント・店舗受取の再開と偽メール
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる
• アサヒ サイバー攻撃の時系列まとめ
• EDRとは？EPP・XDRとの違いと検知の仕組み・導入判断を実装者向けに解説