シチズン時計、問い合わせシステムの委託先に不正アクセス約10万人分

シチズン時計は、問い合わせの受付に使うシステムの提供元である委託先が不正アクセスを受け、約10万人分の個人情報が漏えいした可能性があると公表しました。同社のシステムへの不正アクセスは確認されていません。

この事故の概要

流出の恐れがある件数約10万人分

何が起きたのか

シチズン時計は2026年10月6日、問い合わせの受付に使うシステムの委託先が不正アクセスを受け、顧客の情報が漏れた可能性があると公表しました。委託先はシステムの提供元である株式会社スカラコミュニケーションズです。

対象はシチズン、ブローバ、フレデリック・コンスタントの各ブランドのサイトにある問い合わせフォームの受付に使っていたシステムです。

時系列は次のとおりです。

侵入の手口は、このお知らせには書かれていません。

対象は、各ブランドのサイトの問い合わせフォームから問い合わせた人で、10月3日の時点でこのシステムに保存されていた問い合わせ情報です。約10万人分で、これは漏えいの可能性がある人数で、確定した数ではありません。

項目は氏名、住所、電話番号、メールアドレスなどです。問い合わせの内容を書く欄に銀行口座やクレジットカードの情報を書いていた場合は、それらも対象になる可能性があります。

同社のシステムへの不正アクセスは確認されていません。ECサイト、会員制サービス（MY CITIZENやシチズンオーナーズクラブ）、生産システム、社内ネットワークは対象外で、今回漏れた可能性のある情報ではこれらにアクセスできないとしています。二次被害も確認されていません。

シチズンと委託先は個人情報保護委員会へ報告し、シチズンは警察に相談しました。委託先と外部の専門機関と連携して、影響範囲の確認と原因究明を進めています。

対象者には順次個別に連絡するほか、この件の専用の問い合わせフォームも設けました。電話の窓口は発表にありません。同社は、会社や関係者を装った不審なメール、SMS、電話に注意し、個人情報を渡さず、添付ファイルを開かず、URLにアクセスしないよう呼びかけています。

このシステムは別のものへの移行を進めていて、新しい問い合わせには使っていません。10月中旬に利用を終え、移行期間のあとに保管している個人情報をすべて消す予定です。再発防止として、個人情報を扱う委託先の管理を強化するとしていますが、具体的な内容は書かれていません。

問い合わせフォームには、利用者が自由に書いた情報もたまります。この件では、使い終わるシステムにも顧客の情報が残っていました。次の作業が対策になります。

自社で確かめること

問い合わせ内容の保管期間問い合わせフォームの内容を委託先のシステムにいつまで残すかを決め、対応が終わったものは定期的に消します。

自由記入欄の注意書きフォームの自由記入欄に、口座番号やカード番号を書かないよう案内を入れます。

使い終わったシステムの後始末乗り換えたあとの古いシステムに顧客の情報が残っていないかを確かめ、消した記録も委託先からもらいます。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）