RAGTAG運営元に不正アクセス、会員情報のべ約120万件が漏えいのおそれ

要点

ワールドの2026年10月30日の発表によると、子会社のティンパンアレイが使う業務サーバーに第三者が入り込んだ。会員情報がのべ約120万件、外に漏れたおそれがある。

発表にある流れは次のとおりだ（時刻は日本時間）。

侵入されてから気づくまでに、11日ほどたっていたことになる。どうやって入られたか、なぜ気づくのが遅れたかは、発表に書かれていない。

漏れたおそれがある項目は、氏名、住所、電話番号、生年月日、性別、メールアドレスだ。ワールドは、クレジットカードなどの決済情報と顔の情報は、漏れたことが確認されていないとしている。

「のべ約120万件」は、件数を足し合わせた数で、120万人分と決まったわけではない。同じ人の情報が何件か重なっていることもありうる。どの会員が当たるか、件数がいくつかは、まだ調べている最中とされる。

RAGTAG は、ブランド古着を買い取って売る国内のサービスで、店とネット通販の両方がある。対象は日本の会員が中心とみられる。

ティンパンアレイは RAGTAG のほかにもサービスを運営している。ただ、10月30日の時点で、どのサービスの会員がどこまで当たるかは公表されていない。RAGTAG で買い物をした人や、品物を売った（買い取りを頼んだ）人は、自分も当たるかもしれないと考えておくのがよい。

ワールドは、ホームページでのお知らせと、会員への個別のメールで、おわびと注意を伝える予定としている。日にちは「準備が整い次第」で、まだ決まっていない。

ワールドと RAGTAG の公式サイトのお知らせを見る。 自分が当たるか、問い合わせ先はどこかは、公式サイトで確かめる。メールの中のリンクから確かめない。
「買い取り金額のご案内」「配送の確認」のような連絡を疑う。 本物の名前と住所が書いてあっても、本物とは限らない。リンクは開かず、自分でブックマークした公式サイトやアプリから開き直す。
電話で個人情報や口座番号を聞かれても答えない。 電話番号と生年月日も漏れたおそれがある。「本人確認」と言って生年月日や口座番号を聞く電話は、いったん切って、公式の窓口にかけ直す。
パスワードを使い回しているなら変える。 今回の項目にパスワードは入っていない。ただ、同じパスワードをほかのサイトにも使っているなら、それぞれ別のものに変えておくと安心だ。
カードの明細を、しばらく見ておく。 決済情報が漏れたことは確認されていないが、身に覚えのない請求がないかを見ておけば、早く気づける。

ティンパンアレイが不正アクセスを受けたのは、今回が初めてではない。2013年5月にも RAGTAG のネット通販のサーバーに侵入され、3万568人分のメールアドレスとパスワードなどが漏れたおそれがあると発表された。

ネット通販の会員情報には、届け先の住所や電話番号がそろっている。こうした情報が漏れると、宛名の入った偽のメールや SMS、電話に使われやすい。とくに、品物を送る・お金を払うといった場面が多い売り買いのサービスでは、「配送」や「入金」を名目にした偽の連絡がもっともらしく見える。

日本では2026年も、ネット通販や会員サービスの情報が漏れた話が続いている。会社が侵入に気づくまでに何日もかかり、そのあいだにデータが抜き出されていた、という流れも珍しくない。

技術者向けの詳細

被害を受けたもの: ティンパンアレイが使う業務サーバー（ネット通販のサイトそのものかどうかは、発表からは分からない）
侵入とデータを抜き出す操作: 2026-10-17 14:51 ごろ（日本時間）
気づいた時刻: 2026-10-28 12:08 ごろ。同じ日の 21:36 までにサーバーを切り離し、侵入の経路をふさいだ。経路をふさいだあと、その経路から入れないことを確かめたとしている
気づくまでの時間: 約11日
漏れたおそれがある項目: 氏名、住所、電話番号、生年月日、性別、メールアドレス（のべ約120万件）
漏れたことが確認されていないもの: 決済情報（クレジットカードなど）、顔の情報
入られた手口、攻撃した者の名前、ランサムウェアかどうか: 公表されていない
これから: 外部のセキュリティ専門家に調べてもらい、その結果をもとに再発防止策を決める。業績への影響は精査中
会社の窓口でできる見張り: RAGTAG を名乗る送り元のドメインや SMS を、メールの受け取りフィルターで見張る。社員が個人で会員になっている会社なら、なりすましのメールに気をつけるよう伝えておく

記事は、運営者が生成 AI を活用して作成し、内容を確かめたうえで公開しています。誤りに気づいたら編集方針の連絡先へ。