# FABRIC TOKYO、検証用システムから予約データ699名分流出か

- 分類: 漏洩情報
- 公開日: 2026年11月11日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-11-fabric-tokyo-test-system-leak/
- タグ: 不正アクセス、委託先

> FABRIC TOKYOは11月11日、社内の検証用システムが不正アクセスを受け、2021年5月から7月の予約データ699名分が閲覧、取得された可能性があると公表しました。原因は、外部委託先からアクセスキーが流出した可能性が高いとしています。

## この事故の概要

| 項目 | 内容 |
| --- | --- |
| 組織 | 株式会社FABRIC TOKYO（小売） |
| 公表日 | 2026年11月11日 |
| 流出の恐れがある件数 | 699名 |
| 原因 | 検証用システムのアクセスキーが外部委託先から流出した可能性 |
| 漏れた情報 | 予約時に入力された名前、予約日時、メールアドレスと電話番号（一部の人） |
| 発覚 | 2026年11月2日 |

オーダースーツなどを販売するFABRIC TOKYOは2026年11月11日、社内の検証用システムが第三者から不正アクセスを受け、そこに一時保管していた過去の予約データが閲覧、取得された可能性があると公表しました。対象は2021年5月から7月の予約データで、699名分です。お客様向けのサービスに使っている本番用のシステムへの侵入はないとしています。

## 何が起きたのか

同社によると、検証用システムにあった予約データが第三者に閲覧、取得された可能性があるのは2026年10月29日です。同社は11月2日にこの事象を確認し、その日のうちに、不正アクセスに使われたアクセスキーを無効にして遮断しました。公表は11月11日です。

原因について同社は、検証用システムで使っていたアクセスキーが外部委託先から流出した可能性が高いとしています。委託先の名前や業務の内容、キーがどのように流出したかは書かれておらず、流出の経路は調査中です。同社が事象にどう気づいたかも書かれていません。

アクセスキーは、プログラムや外部の作業者がクラウドなどのシステムに入るときに使う、鍵に当たる文字列です。IDとパスワードの組と同じ働きをしますが、人が画面で入力するものではないため、設定ファイルや作業用のパソコンに保存されたまま残りやすく、渡した先で漏れると、持ち主が気づかないうちに使われることがあります。

## 対象の情報

閲覧、取得された可能性があるのは、2021年5月から7月の予約データに含まれる次の情報です。

- 予約のときに入力された名前
- 予約日時
- メールアドレス（一部の人）
- 電話番号（一部の人）

メールアドレスと電話番号が含まれる人数は示されていません。何の予約かもお知らせには書かれていません。

クレジットカードなどの決済に関する情報、ログイン用のパスワード、採寸データや購入履歴などのアカウントの登録情報は含まれていません。通常の会員登録の情報と購入の情報は、今回の対象の外です。11月11日の時点で、流出した情報が悪用された事実は確認されていないとしています。

## 会社の対応

同社はアクセスキーを無効にして不正アクセスを遮断したうえで、個人情報保護委員会に速報を出しました。予約データにメールアドレスがあった人には、メールで個別に連絡しています。メールアドレスがなかった人への連絡の方法は書かれていません。

再発防止としては侵入の経路を詳しく検証すること、アクセス制御を強めること、監視を徹底することを挙げています。新しい事実や進展があれば、必要に応じて連絡するとのことです。問い合わせの窓口はカスタマーサポートの問い合わせフォームです。

同社は利用者に、同社や関係者を装った不審なメールが届いても、リンクを開いたり個人情報を入力したりしないよう呼びかけています。

## 中小企業が学べること

今回のデータは5年前の予約の記録で、置かれていたのは本番ではなく検証用のシステムでした。検証用の環境では、動作を試すために本番のデータを写して使うことがあります。お客様が使う画面ではないため、アクセスの制限や監視が本番より緩くなりやすく、写したデータが使い終わったあとも残りがちです。なぜ2021年のデータが検証用システムにあったのかは、同社のお知らせには書かれていません。

自社で確かめることは3つあります。

1つ目は検証やテストに本番のデータを使っているかどうかです。使っているなら、名前や連絡先を架空の値に置き換えたデータに切り替えられないかを、開発の担当者や委託先に相談します。本番のデータを写す必要があるときは、作業が終わったら消すことを手順に入れます。

2つ目は外の会社に渡しているアクセスキーです。どの会社に、どのシステムの、どこまで操作できるキーを渡しているかを一覧にします。契約が終わった会社のキーと、使っていないキーは無効にします。使い続けるキーも年に1回など時期を決めて新しいものに取り替えると、知らないうちに漏れていたキーが使えなくなります。

3つ目は古いデータの扱いです。残っていないデータは漏れません。予約や問い合わせの記録を何年残すかを決めて、期限を過ぎたものを消す作業を予定に入れておきます。

委託先に渡したアカウントの片づけは、[退職者のアカウント、片づけ漏れを防ぐ5つの手順](/articles/2026-11-06-offboarding-accounts/)と同じ考え方で進められます。委託先への確認の項目は[システムの委託先に聞くべき5つのこと](/articles/2026-11-05-vendor-five-questions/)にまとめています。

## 自社で確かめること

1. **検証用の環境にあるデータ**：テストや検証に使っているサーバーやクラウドに、本番のお客様のデータの写しが残っていないかを、担当者や開発の委託先に聞きます。
2. **委託先に渡しているキー**：外の会社に渡したアクセスキーやアカウントを一覧にして、使っていないものと、契約が終わった会社のものを無効にします。
3. **古いデータを消す決まり**：予約や問い合わせのデータを何年残すかを決め、期限を過ぎたものを消す作業を年に1回の予定に入れます。

## 出典

- [株式会社FABRIC TOKYO「一部システムへの不正アクセスに伴う個人情報流出の可能性について」（2026年11月11日）](https://fabric-tokyo.com/news/show/20261111-to-all-customers)