HACKING CASE ・ 続報中 ・ 2026年10月29日の公式発表時点
root@se-curity:~/hacking$ cat ./jirei/treasure-factory.md
株式会社トレジャー・ファクトリー ・ リユースショップ（買取・販売）
出張買取・引越の案件管理システムに不正アクセスし、メールアドレス74万件を取得。子会社2社も外部システム経由で注文情報が流出
使っていた人が、いますぐやること
同社を名乗るメールやSMSのURLは開かず、公式サイトや公式アプリから確かめる
返金を装って、LINEへの登録やカード・口座情報の入力を求めるメールに応じない。問い合わせはワサビの購入者向け窓口へ
専用窓口（0120-007-074、平日10時〜18時）に問い合わせる
氏名、住所、電話番号、メールアドレス、注文内容、注文金額・購入金額、支払方法など（買取情報に住所は含まない）
クレジットカード番号・セキュリティコードなど決済の情報。店舗と公式アプリのお客様情報は別のシステムで対象外
システムと申込フォームは、10月28日を目途に再開する予定としていた。二次被害は確認されていない（10月23日時点）
2026年10月、トレジャー・ファクトリーは、「出張買取」と「トレファク引越」の案件管理システムが脆弱性（作りの弱点）を悪用されて不正アクセスを受け、お客様のメールアドレス746,277件などが取られたと発表しました。10月29日には、子会社のピックアップジャパンとGKファクトリーがECサイトの受注などに使う外部システム「WASABI SWITCH」への不正アクセスで、両社のお客様の注文情報が流出したと発表しました。2件は別の事案で、グループでは8月にも子会社のカインドオルでフィッシングによる不正アクセスがありました。
データベースへのアクセスに関する脆弱性が悪用された
お客様のメールアドレス746,277件などが取られた
10時30分にシステムへの外部アクセスを、11時05分に申込フォームを止めた
10月14日〜16日、ワサビの「WASABI SWITCH」に第三者が不正アクセス
システムに保存されていた注文情報などが外に流出した
流出した注文情報を使い、返金手続きを装う不審なメールが送られた
手口10月20日の未明から朝にかけて、第三者が、データベースへのアクセスに関する脆弱性を悪用して不正アクセスしました。会社は、直近で公表されたPHPの脆弱性とは関係がないと確認しています。くわしい原因は調査中です。
手口子会社2社がECサイトの受注・在庫管理に使っていた外部システム「WASABI SWITCH」に、第三者が不正アクセスし、保存されていた注文情報などが外に流出しました。10月23日に、2社の情報が流出の対象に含まれるとワサビから報告を受けています。案件管理システムの件とは別の事案です。
フィッシングによる不正アクセスで個人情報が漏えい。グループ全体で点検と強化を進める
外部システムに第三者が不正アクセスし、注文情報などが流出
未明から朝に不正アクセス。アクセスログで確認し、10時30分に外部アクセス、11時05分に申込フォームを止める
適時開示で公表
子会社2社の情報が流出の対象に含まれると、ワサビから報告を受ける
システムと申込フォームを再開する目途としていた日
専用のお問い合わせ窓口を開設
子会社2社の注文情報の流出を公表
案件管理システムへの外部アクセスと申込フォームを止め、関係するアカウントのパスワードを変えた
悪用された脆弱性への対策、ログインの守りの強化、不審なアクセスの監視を強めた
外部に公開しているシステムの脆弱性管理、脆弱性診断、WAFなどによる守りも改めて点検する
0120-007-074（平日10時〜18時）
対象システムのパスワード変更、二段階認証の導入、アクセス権限の見直し
個人情報保護委員会への報告、警察などへの相談・報告
リユース（中古品の買取・販売）事業をはじめ、オークション、トレファク引越、終活・生前整理サービス「Regacy」、ECドレスレンタル「Cariru」を運営している会社です。カインドオル、ピックアップジャパン、GKファクトリーなどがグループ会社です。
事業
今回の事故が起きたグループの会社
出典：会社の公式サイト「会社概要」
このページは、会社の公式発表と適時開示だけをもとに作っています（2026年10月29日の公式発表時点、2026年11月4日更新）。被害を受けた会社を責めるものではありません。誤りに気づいたらお問い合わせからお知らせください。
何から始めればいいか分からないときは