ファンケルとアテニアは2026年10月16日、両社のECサイトが10月3日から10日にかけて不正アクセスを受け、会員情報の一部が漏えいしたと公表しました。対象はファンケル会員368,184名、アテニア会員417,312名です。本記事の前半では、自分は対象か、届いたメールは本物か、パスワードは変えるべきかという会員の疑問に、公式発表の文言に沿って答えます。後半では、漏えいした「本人認証質問項目」と「ハッシュ化された2次パスワード」が何を意味するかと、発表にある「原因となった機能を停止」の考え方を、Pythonのコードで確かめます。
まとめ：ファンケルとアテニアの不正アクセスで漏えいしたのは会員約78万人の登録情報
漏えいしたのは、メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとその2次パスワード（ハッシュ化されたもの）、本人認証質問項目（回答は含まない）、ポイントや会員ステージなどの登録情報です。クレジットカードなどの決済情報と、メインのパスワードは対象外とされています。10月16日時点で、不正利用や二次被害は確認されていません。
会員がやることは2つです。ファンケルやアテニアを名乗るメール、SMS、電話のリンクや添付ファイルを開かないこと。両社はパスワードやカード情報を尋ねないと明言しています。もう1つは、本人認証の質問に使っている答えやパスワードを、他のサービスで使い回していないかを点検することです。運営する側への教訓は、漏れた項目から逆算すると見えてきます。秘密の質問は質問の種類が分かるだけで答えの候補が絞られ、短い値はハッシュ化していても総当たりで戻せるという点です。
| 項目 | 公表されている内容（2026年10月21日時点） |
|---|---|
| 不正アクセスの期間 | 2026年10月3日〜10月10日（ECサイト） |
| ファンケル会員 | 393,785件・368,184名 |
| アテニア会員 | 441,162件・417,312名 |
| 漏えいした情報 | 氏名・住所・生年月日・質問項目など |
| 対象外 | 決済情報・メインのパスワード |
| 対象者への連絡 | 10月17日中に登録メールアドレス宛に送信済み |
| 専用ダイヤル（9時〜17時） | 0120-333-600（土日祝日を含む） |
| 未公表 | 原因となった機能・手口・補償 |
ファンケル・アテニア会員が最初に確かめること：対象か、届いたメール、パスワード
漏えいした項目と対象外：決済情報とメインのパスワードは含まれない
ファンケルとアテニアのお詫びとお知らせによると、漏えいした項目は両社で同じです。メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号に加え、サブメールアドレスとそのパスワード、本人認証質問項目、その他の会員登録情報が並びます。最後の項目の中身は、ポイント情報、会員ステージ情報、メールマガジン配信希望の有無、店舗でのご購入の有無の4つです。
サブメールアドレスのパスワードは、一部の会員が設定している2次パスワードで、ハッシュ化されているため「そのままでは読み取りできない情報」と説明されています。本人認証質問項目は、どの質問を選んだかという情報で、回答は含まれません。メインのパスワードと、クレジットカードなどの決済情報は対象外です。同じ文書はアテニアのサイトにも掲載されています。
対象者へ10月17日中に連絡済み：@fancl.co.jpの表示だけで信じない理由
ファンケルの本件のよくあるご質問は、対象となる会員には10月17日（土）中に、登録のメールアドレス宛に連絡したとしています。10月18日以降に届いた「対象者へのお知らせ」は、両社が追加で送ると公表していない限り、まず疑ってかかるのが安全です。
送信元のアドレスだけでは見分けられません。ファンケルは本件の前から、社名や@fancl.co.jpを送信元とする不審なメールが確認されているとして、2026年5月に注意を呼びかけていました。送信元の表示は偽装できるからです。判断の基準は中身です。パスワードやカード番号の入力を求めるメールは、送信元が何であれ偽物と判断してかまいません。確かめるときは、メールのリンクではなく、自分でブラウザに入力した公式サイトかメンバーズアプリを開きます。誘導の手口はフィッシング詐欺の仕組みと技術的な対策で解説しています。
会員のパスワードの変更と、本人認証の質問に使っている答えの見直し
メインのパスワードは漏えいの対象外ですが、両社は会員に「定期的なパスワードの更新」を求めています。変更に使うのは、ログイン後の登録情報の変更画面です。ファンケルと同じメールアドレスとパスワードを他のサービスで使っているなら、そちらも変えておく価値があります。
見直したいのは、本人認証の質問の答えです。漏れたのは質問の種類だけですが、生年月日や住所も同時に漏れています。出身地や生まれた月を答えにしている場合、他の漏えい情報と組み合わせると答えが推測されやすくなります。同じ質問と答えを他のサービスにも登録しているなら、そちらの答えを変えておくと安心です。
店舗やドラッグストアで買うだけの人は対象か：会員登録の有無で分かれる
漏えいしたのは「ファンケル会員情報」と「アテニア会員情報」で、項目には「店舗でのご購入の有無」も含まれます。会員登録をしたうえで直営店舗で買い物をしている人は、対象になりえます。一方、会員登録をせずにドラッグストアやコンビニエンスストアで商品を買っているだけの人が含まれるかは、発表に書かれていません。会員登録の覚えがあり、10月17日のメールが見当たらない場合は、迷惑メールのフォルダを確かめたうえで専用ダイヤルに問い合わせてください。
公式発表で追う経緯：10月3日からの不正アクセスと10月16日の公表、未公表の事項
10月3日から10日の不正アクセスを10月15日の内部調査で把握、翌日に公表
- 10月3日（土）〜10月10日（土）：ファンケルとアテニアのECサイトが不正アクセスを受ける
- 10月15日（木）：内部調査で判明。当日、緊急対策本部を設置し、原因となった機能を特定して停止
- 10月16日（金）：個人情報保護委員会と警察へ報告・相談し、お詫びとお知らせを公表
- 10月17日（土）：9時に専用ダイヤルを開設。対象の会員へ登録メールアドレス宛に連絡
不正アクセスの最終日から判明までは5日、判明から公表までは1日です。発表は、本件以外の不正アクセスとマルウェア感染は確認されておらず、事業活動とサービスへの影響は無いとしています。ECサイトは止まらず、原因となった機能だけが止められたと読めます。
10月21日時点で未公表の原因となった機能・手口・補償と攻撃の詳細
どの機能が使われたのか、どのように会員情報が取り出されたのかは公表されていません。発表は「さらなる被害の拡大を防止するため、サイバー攻撃の詳細については開示を差し控えさせていただきます」としています。漏えいした情報が不特定多数に公開された事実や、不正に使われた事実も、10月16日時点では確認されていません。補償やお詫びの品についての記載も見当たりません。
本記事はこれらを推測で補いません。以降の技術章は本件の原因を特定するものではなく、発表に出てくる「機能の停止」と、漏れた項目の性質から、ECサイトの運営者が点検できることを整理したものです。新たな事実は判明した時点で両社が知らせるとしています。
原因となった機能だけを止める設計：ECサイトを開けたまま被害を断つ機能単位の停止
サイト全体を止めずに済んだ発表の読み方：本件以外の不正アクセスは確認されず
不正アクセスへの初動では、サイトやシステムの全体を止める判断もよく取られます。ファンケルとアテニアは、原因となった機能を特定して止め、ECサイトの営業は続けました。これができるのは、機能ごとに止める手段が用意され、どの機能から情報が出たかをログで追えた場合です。どちらかが欠けると、止める範囲はサイト全体まで広がります。
機能ごとの停止は、新機能の段階公開に使う機能フラグと同じ仕組みで作れます。種類と運用はフィーチャートグル（機能フラグ）の使い分けと実装例で扱いました。事故対応で使うのは、外部からの呼び出しを機能単位で即座に断つ「キルスイッチ」です。止めたい機能がAPIとして外に開いているなら、認可やレート制限と組み合わせます。その方式はAPI不正アクセス対策の実装手順にまとめています。
機能ごとの停止スイッチと2次パスワード・秘密の質問を試すPythonコード
次の例は、機能ごとの停止スイッチと、短い値の保管方式による差を1つにまとめたものです。停止する機能は例として口コミ投稿にしており、本件の機能ではありません。後半では、4桁の2次パスワードを塩なしのSHA-256で保管した場合と、Python標準のhashlib.scryptで保管した場合の総当たり時間を測ります。2次パスワードの桁数や両社の保管方式は公表されていないため、4桁は仮の条件です。追加のインストールなしで動きます。
# ECサイトの機能単位の停止と、2次パスワード・秘密の質問の保管を確かめる最小例（Python 3.10以上・標準ライブラリのみ）
import hashlib
import os
import time
# 1) 機能ごとの停止スイッチ。止めた機能だけが503を返し、ほかの機能は動き続ける
FEATURES = {"login": True, "cart": True, "order": True, "mypage": True, "review": True}
def handle(feature):
if feature not in FEATURES:
return 404
return 200 if FEATURES[feature] else 503
FEATURES["review"] = False # 不審な通信が出た機能だけを止める（例として口コミ投稿）
print("機能ごとの応答:", {f: handle(f) for f in FEATURES})
# 2) 4桁の2次パスワードを、塩なしSHA-256で保管した場合の総当たり
pin = "4821"
leaked = hashlib.sha256(pin.encode()).hexdigest()
t = time.perf_counter()
found = next(c for c in (f"{i:04d}" for i in range(10_000))
if hashlib.sha256(c.encode()).hexdigest() == leaked)
print(f"塩なしSHA-256: {found} を {time.perf_counter() - t:.4f}秒で特定")
# 3) 同じ4桁をscrypt（OWASPの最小推奨 N=2^17, r=8, p=1）で保管した場合の1回あたりの計算時間
salt = os.urandom(16)
params = dict(salt=salt, n=2**17, r=8, p=1, maxmem=256 * 1024 * 1024, dklen=32)
t = time.perf_counter()
for i in range(5):
hashlib.scrypt(f"{i:04d}".encode(), **params)
per = (time.perf_counter() - t) / 5
print(f"scrypt: 1回 {per:.3f}秒 / 4桁1万通りで約{per * 10_000 / 60:.0f}分（1コア）")
# 4) 秘密の質問は答えの候補が少ない。質問が「出身の都道府県」と分かれば候補は47通り
answers = {"出身の都道府県": 47, "生まれた月": 12, "4桁の2次パスワード": 10_000}
for q, n in answers.items():
print(f"{q}: 候補{n:>6}通り / scryptでも約{per * n:.0f}秒で全候補を試せる")Python 3.14.7で測る総当たり時間：塩なしSHA-256とscryptの差
機能ごとの応答: {'login': 200, 'cart': 200, 'order': 200, 'mypage': 200, 'review': 503}
塩なしSHA-256: 4821 を 0.0100秒で特定
scrypt: 1回 0.799秒 / 4桁1万通りで約133分（1コア）
出身の都道府県: 候補 47通り / scryptでも約38秒で全候補を試せる
生まれた月: 候補 12通り / scryptでも約10秒で全候補を試せる
4桁の2次パスワード: 候補 10000通り / scryptでも約7986秒で全候補を試せるPython 3.14.7の実行では、塩なしSHA-256は0.01秒、scryptでも47通りは38秒という結果でした。1行目では、止めた口コミ投稿だけが503を返し、ログインや注文は200のまま動いています。2行目は、4桁の値を塩なしのSHA-256で保管していた場合です。1万通りを順に試して、0.01秒で元の値に戻りました。ハッシュ化は「そのままでは読み取れない」ものの、候補が少なければ計算で戻せます。
scryptにすると、1回の計算に約0.8秒かかり、4桁の総当たりは1コアで約2時間に延びます。それでも、候補が47通りなら38秒、12通りなら10秒です。数字は手元のWindows機での実測で、攻撃者が並列に計算すればさらに縮みます。強いハッシュは時間を稼ぐ手段で、答えの候補が少ない値を守り切る手段ではありません。
本人認証の質問と2次パスワードの保管：漏れた項目から逆算する運営者の点検
NIST SP 800-63B-4が秘密の質問を促さない理由：質問項目と候補数
米国の認証ガイドラインNIST SP 800-63B-4は、パスワードの要件を定めた3.1.1.2節で、パスワードを決める際に知識ベース認証（KBA）や秘密の質問の利用を利用者に促してはならない（SHALL NOT）としています。答えが他の情報から調べられたり、候補が少なかったりするためです。今回のように生年月日や住所と一緒に質問項目が漏れると、「どの質問に、どの範囲の答えが入っているか」まで攻撃者に分かります。
パスワード再設定の設計では、OWASPのForgot Password Cheat Sheetも、秘密の質問を再設定の唯一の手段にしないよう求めています。登録メールアドレスに送る期限付きのリンクを主にして、秘密の質問は残すとしても補助に回すのが筋です。再設定の実装例はCognitoのパスワードリセット実装で、要件の全体はNIST SP 800-63B-4に沿ったパスワード管理で整理しました。
ハッシュ化済みでも安全とは限らない2次パスワード：OWASPの推奨値と短い値の弱さ
OWASPのPassword Storage Cheat Sheetは、パスワードの保管にArgon2idを第一に挙げ、scryptなら最小でN=2^17、r=8、p=1を推奨しています。NIST SP 800-63B-4は、32ビット以上のソルトを付けたハッシュ化を要件とし、計算コストは性能が許す限り高く、という立場です。高速なSHA-256を塩なしで1回かけただけの値は、上の実行結果のとおり、短ければ一瞬で戻ります。
点検では、まず保管方式を確かめ、その後で値の長さを調べてください。古い会員機能の2次パスワードや暗証番号は、メインのパスワードより後回しにされやすく、方式が古いまま残りがちです。保管方式を変えるときは、次回ログイン時に新しい方式で保存し直す移行が一般的です。ハッシュ化と暗号化の違いはハッシュ化とパスワード保管の仕組みで解説しています。
不正な目的のおそれがある漏えいは発覚から60日以内に確報：報告と本人通知
両社は判明の翌日に、個人情報保護委員会と警察へ報告・相談したとしています。個人情報保護委員会の案内は、漏えいが発覚したらまず速やかに報告し、不正な目的で行われたおそれがある場合は発覚日から60日以内に確報を出すよう求めています。不正アクセスによる漏えいは、件数にかかわらずこの対象です。本人への通知も必要で、両社が10月17日中に対象者へメールを送ったのはこの流れに沿った対応です。報告書の書き方は個人情報保護委員会への報告義務の実務で整理しています。
会員制ECサイトの運営者が確かめる4項目と、作り込みが要らない場合
判断は言い切れます。会員制のECサイトを自社で運営しているなら、確かめる項目は4つです。
- ログイン、注文、マイページ、会員情報の照会など、外に開いた機能を個別に止める手段があるか
- 機能ごとに、誰が、どの会員の情報を、何件読んだかをログで追えるか
- パスワード、2次パスワード、秘密の質問の答えを、ソルト付きのArgon2idやscryptなどで保管しているか
- パスワードの再設定が、秘密の質問だけで通る作りになっていないか
1と2が欠けていれば、事故のときにサイト全体を止めるしかなくなります。3と4が欠けていれば、漏れた情報がそのまま次の不正ログインの材料になります。長年の機能追加で、どの機能が会員情報に触れているか把握しきれていないなら、外部の目で洗い出す時期です。脆弱性診断・セキュリティ診断では、機能ごとの入口と認証まわりの保管方式の点検から相談を受け付けています。
逆に、ShopifyなどのSaaS型カートで会員機能を提供元に任せ、独自の会員機能を持っていないなら、ここまでの作り込みは要りません。その場合は、提供元の管理画面で連携アプリの権限と、管理者アカウントの多要素認証を確かめれば足ります。
よくある質問
ファンケルとアテニアの不正アクセスと会員情報の漏えいについて、会員から出やすい質問をまとめました。
自分がファンケル・アテニアの対象か、確認する方法はありますか？
10月21日時点で、会員が自分で対象かを調べる照会ページは案内されていません。公式のよくあるご質問によると、対象の会員には10月17日中に登録のメールアドレス宛に連絡が送られています。会員登録の覚えがあるのにメールが見当たらない場合は、迷惑メールのフォルダを確かめ、ファンケル／アテニア共通専用ダイヤルに問い合わせてください。
ファンケルを名乗るメールが届きました。本物ですか？
送信元が@fancl.co.jpでも、それだけでは本物と判断できません。ファンケルは2026年5月から、同じドメインを送信元とする不審なメールに注意を呼びかけています。両社はメールやSMSでパスワードやクレジットカード情報を尋ねることは無いとしています。入力を求められたら偽物と考え、リンクは押さずに、自分で開いた公式サイトで確かめてください。
ファンケルのパスワードは変えたほうがいいですか？
メインのパスワードは漏えいの対象外です。それでも両社は定期的なパスワードの更新を求めています。ログイン後の登録情報の変更画面から変更できます。同じメールアドレスとパスワードを他のサービスで使っているなら、そちらも変えておくと安心です。サブメールアドレスの2次パスワードを設定している人は、その値を他で使っていないかも確かめてください。
クレジットカードは止めたほうがいいですか？
発表は、クレジットカードなどの決済情報は今回の対象に含まれていないとしています。カードを止める必要は、本件の発表からは読み取れません。ただし、氏名や住所を使ってカード会社を装う偽の連絡が来る可能性はあります。明細に見覚えのない請求が無いかを確かめ、あればカード裏面の番号からカード会社に連絡してください。
問い合わせ先はどこですか？補償はありますか？
本件の窓口は、ファンケル／アテニア共通専用ダイヤル（0120-333-600）で、受付は9時から17時、土日祝日も受け付けています。メールは [email protected] です。補償やお詫びの品については、10月21日時点で公表がありません。補償を名目に振込やカード番号の入力を求める連絡には応じないでください。
関連記事
- ワラウ不正アクセスで口座・秘密の質問も取得の可能性｜会員のパスワード再設定手順：同じ月に秘密の質問と答えまで取得された事案と、全会員の再設定の進め方
- パスワード管理のベストプラクティス：NIST SP 800-63B-4の要件と総務省・NISCの推奨、企業ポリシーの決め方：パスワードと秘密の質問の要件の全体像
- フィーチャートグル（機能フラグ）とは？4種類の使い分けと実装例・削除までの運用：機能単位で止める仕組みの作り方
- Cognitoのパスワードリセット実装：ForgotPasswordと管理者リセット・ロックアウト設計：秘密の質問に頼らない再設定の実装
- 不正アクセス対策とは：IPA・JPCERTの2026年10月注意喚起に沿った企業の点検手順：運営者として点検する範囲の全体像
