アンドエスティHDの情報漏えい、自分は対象？約250万件【10月23日公式発表】

グローバルワーク、ニコアンドなどのブランド公式通販が入るWEBストア「アンドエスティ（and ST）」や、グループの店舗を使っている方が「自分も対象？」「カードやパスワードは大丈夫？」と気になる点を、株式会社アンドエスティHDが2026年10月23日に公表した「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」と、WEBストア「アンドエスティ」に掲載された同日のお知らせの原文（2026年10月24日確認）だけで整理しました。書かれていないことは「公式発表に記載なし」とします。

公式発表でわかること早見表

公式発表は「流出した可能性がある」という表現で、件数には「約」が付いています。公表文の表現どおりに並べます。

知りたいこと	公式発表に書かれていること
公表日	2026年10月23日（株式会社アンドエスティHD「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」・東証の適時開示にも同じ内容）
何が起きたか	当社の業務サーバーに第三者による不正アクセスが発生し、お客さま情報、お取引先さま情報および従業員情報の一部が外部に流出した可能性があることが判明
お客さま	約250万件：氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID
お取引先さま	約1万件：会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス
従業員	該当範囲確認中
含まれていないもの	クレジットカード情報などの決済情報、お客さまご自身で設定されたパスワード
いつの時点の内容か	「10月23日時点で流出の可能性が判明した個人情報等の内容」
お店・WEBストア	当社グループ店舗およびWEBストアは引き続き利用可。ただし店舗およびWEBストアで、現在会員ポイントを利用できない
対象者への連絡	対象となるお客さま・お取引先さまへの連絡を順次開始（方法は記載なし）
お客さまの問い合わせ先	お問い合わせフォーム https://support.dot-st.com/hc/ja/requests/new（本件に関するお問い合わせ窓口も「設置してまいります」）
届け出	10月23日に警察への相談および個人情報保護委員会への報告を実施

公式発表の原文は、アンドエスティHD「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」（適時開示のPDF版）で読めます。WEBストア側の案内は、and ST（アンドエスティ）「当社業務サーバーへの不正アクセスに関するお詫びとお知らせ」（2026年10月23日 17:00）にまとめられています。

自分は対象？立場ごとの切り分け

公式発表は「お客さま」の件数と項目を示していますが、どのお店・どの会員サービスの利用者の情報なのか、自分が含まれるかを照会するページがあるかは書かれていません。公表文をもとに立場ごとに分けると次のとおりです。

立場	公式発表から読み取れること
WEBストア「アンドエスティ（and ST）」の会員	流出の可能性がある項目に「会員ID」が入っている。ただし、約250万件がどの会員の情報かは書かれていない。自分が含まれるかは、会社からの連絡とお問い合わせフォームで確かめる
お店（グループ店舗）で買い物をした	「お客さま」の範囲は書かれていない。店舗は引き続き利用できるが、会員ポイントは現在利用できない
クレジットカードで支払った	クレジットカード情報などの決済情報は「含まれておりません」。WEBストアのお知らせは、カード決済に外部の決済サービスを使い、当社サーバー内にカード情報を保持していないとしている
お取引先さま（事業者）	約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）。対象となるお取引先さまにも連絡を順次開始
従業員	該当範囲確認中

グローバルワーク、ニコアンドなどのブランドの公式通販ページ（WEBストア「アンドエスティ」内）にも、2026年10月23日付で「当社業務サーバーへの不正アクセスに関するお詫びとお知らせ」が掲載されています。ブランドごとの件数は公式発表に書かれていません。

会社からの連絡と問い合わせ先

公式発表は「対象となるお客さま・お取引先さまへのご連絡を順次開始する」としていますが、連絡の方法（メール・郵送など）は書かれていません。WEBストアのお知らせは、会社を装った不審なメールやSMSへの注意を呼びかけているため、アンドエスティを名乗る連絡が届いたら、メールやSMSのリンクではなく、自分で開いた公式サイトや下の窓口で確かめるのが安全です（一般的な注意。公式の案内ではありません）。

相手	公式発表の問い合わせ先
お客さま	【お客さま問い合わせ窓口】お問い合わせフォーム：https://support.dot-st.com/hc/ja/requests/new（WEBストアのお知らせでは窓口名「アンドエスティ カスタマーサポート」）
報道関係者	株式会社アンドエスティHD 取材/問い合わせフォーム（公式発表に記載）

公式発表に電話の窓口は書かれていません。本件専用の「お問い合わせ窓口」は「設置してまいります」とされており、2026年10月24日に確認した時点で、その窓口の詳細は掲載されていません。

流出の可能性がある項目と、気をつけたいこと

公式発表は「流出した可能性がある」としており、実際に外部へ出たと確定した、という発表ではありません。お客さまの項目ごとに、一般的に考えられる影響と、satimo.org の関連記事を並べます（影響の説明は一般論で、公式発表の記載ではありません）。

流出の可能性がある項目	一般的に考えられること
電話番号	知らない番号からの電話やSMSが届くことがある。心当たりのない番号には出ない・折り返さない
メールアドレス	会社や決済代行会社を装ったメールが届くことがある（WEBストアのお知らせが注意を呼びかけている）
氏名・住所・生年月日・性別	名前や住所が書かれていても、本物の連絡とは限らない。郵便物や電話でも、支払い・個人情報の再入力を求められたら公式窓口で確かめる
会員ID	パスワードは含まれていないとされている。WEBストアは念のためのパスワード再設定と使い回しの防止を呼びかけている

電話番号が流出した可能性がある場合、番号の見分け方は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方、うっかり出てしまった・折り返してしまった場合は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否の申し込み手順にまとめています。

今やること

アンドエスティのお願い（公式のお知らせのとおり）

WEBストア「アンドエスティ」のお知らせには、次の案内があります。上から順に確かめると迷いにくくなります。

1. 不審なメール・SMSのリンクを開かない：「当社から、メールやSMS等でクレジットカード情報の再登録・再決済や、パスワードの入力を求めることは一切ございません。」「不審な連絡を受信された場合は、メッセージ内に記載されたリンク（URL）は絶対に開かず、速やかに削除していただきますようお願い申し上げます。」
2. パスワードを再設定し、使い回しをやめる：「当サイトのパスワード漏洩は発生しておりませんが、万全を期した安全確保のため、マイページよりパスワードの再設定をお願い申し上げます。」また、他社サービスと同じID・パスワードの組み合わせ（使い回し）を避け、推測されにくい文字列への変更を推奨するとしています
3. ログイン通知・登録変更の通知を確かめる：「身に覚えのないログイン通知や、会員登録情報（メールアドレス・配送先住所等）の変更通知が届いていないかをご確認ください。」不審な点があれば、カスタマーサポート（お問い合わせフォーム）へ連絡するよう案内しています

パスワードの再設定は、メールやSMSのリンクからではなく、自分でブックマークした公式サイトやアプリからマイページを開いて行ってください（一般的な注意）。

公的機関の一般的な注意（アンドエスティの案内ではありません）

• メールのリンクから開かない：警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください。」としています。また「メールソフトに表示される「送信元名称」や「送信元メールアドレス」だけを見てメールの真偽を判断することは困難です。」としています（警察庁「フィッシング対策」）
• 同じパスワードを使い回さない：同じページで警察庁は「ＩＤ、パスワードはサイトごとに違うものを登録するようにしてください。」とし、IPA（情報処理推進機構）も「パスワード設定はできる限り長く、複雑にし、絶対に使い回さないことです。」としています（IPA「不正ログイン被害の原因となるパスワードの使い回しはNG」）。パスワードの考え方はパスワード流出の真相と今すぐできる安全対策でも整理しています
• パスワードが変えられてログインできないとき：警察庁は、パスワードが変更されてログインできなくなった場合は「サービス等を提供している会社等に連絡してください。」としています（警察庁「不正アクセス対策」）。今回の件の連絡先は、上のお問い合わせフォームです
• 個人情報の扱いへの苦情・制度の質問：個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849・受付時間 9:30～17:30、土日祝日及び年末年始を除く）が、事業者の個人情報の取扱いに関する苦情や制度の質問を受け付けています

お店・WEBストア・ポイントへの影響

公式発表は、当社グループ店舗およびWEBストアは引き続き利用できるとしたうえで、「店舗およびWEBストアにおいて、現在会員ポイントをご利用いただけなくなっています」としています。また、WEBストア「アンドエスティ」については「今回の不正アクセスの影響を受けておりません」としています。

WEBストアのお知らせは、2026年10月22日(木)17時頃からシステムメンテナンスを実施しており、サイト全体の閉鎖は行っていないものの、次の影響が続いているとしています。

• ポイント利用での注文ができない
• 保有ポイントが正しく表示されない（「お客様の保有ポイントが無くなることはございません」）
• 一部商品での注文ができない
• 店舗受取サービス・試着サービスの利用停止
• ID連携ができない場合がある（dアカウント＆楽天ID）
• 注文商品の発送・お届けに遅れが生じる可能性がある

復旧と通常運用の再開は「本サイト上にて順次お知らせいたします」とされています。WEBストアのお知らせは、ECサイト（アンドエスティ）のシステムサーバーへの不正アクセスは確認されていないこと、当サイトのクレジットカード情報とログインパスワードが今回の事象で外部に漏えいした事実はないことも説明しています。

アンドエスティHDの対応と経緯（公表文どおり）

• 2026年10月22日（木）午前7時30分頃：外部からの不正アクセスにより、当社の複数サーバーに対して順次ログイン試行、侵入、およびデータ抽出が行われた
• 同日 午前10時00分頃：不正な操作を検知し、当該サーバーを隔離
• 同日 17時00分まで：不正アクセス経路の遮断を実施し、社内業務システムの停止などの対応を行い、遮断後に当該経路からアクセスできないことを確認（WEBストアは同日17時頃からシステムメンテナンス）
• 2026年10月23日：警察への相談および個人情報保護委員会への報告を実施。公表

対応状況について、公式発表は「緊急対策の実施および不正アクセス手段の特定と対応を完了」したとしています。不正アクセスの手口や侵入経路は書かれていません。業績への影響は「現在精査中」とし、補償についての記載はありません。

公式発表に記載がないこと（2026年10月24日確認）

次のことは、公式発表とWEBストアのお知らせに書かれていません。推測では埋めず、記載なしとして扱います。

• 約250万件の「お客さま」が、どの会員サービス・どのブランドの利用者か
• 不正アクセスの手口・侵入経路
• 対象者への連絡の方法（メール・郵送など）と、連絡が届くまでの期間
• 自分が対象かどうかを照会するページの有無
• 本件専用の問い合わせ窓口の詳細（「設置してまいります」とされている）と、電話の窓口
• 会員ポイントが使えるようになる時期
• 不審な連絡などの二次被害が確認されているかどうか
• 補償

続報の見方

公式発表は「本件に関して、さらなる詳細な調査の結果、新たに報告すべき事項が判明した場合には、速やかにお知らせいたします。」としています。続報を確かめるときは、アンドエスティHD「重要なお知らせ」一覧を見てください。2026年10月24日に確認した時点で、一覧の最新は2026年10月23日の本件で、続報は掲載されていません。ポイントや注文の復旧はWEBストア「アンドエスティ」のお知らせで案内される予定です。

調査が続いているため、続報で件数や項目が変わる可能性があります。SNSや転載より、アンドエスティHDの公式サイトの内容を優先してください。

ほかの事案

前日の10月22日に公表された事案はカプコン（CAPCOM ID）の情報漏えい、小売の会員情報の事案は阪急阪神百貨店の情報漏えいでも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）で確認できます。

よくある質問

アンドエスティHDの不正アクセスで、どんな情報が流出した可能性がありますか？

A. 2026年10月23日の公式発表では、お客さま約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID）と、お取引先さま約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）が、外部に流出した可能性があるとしています。従業員は該当範囲確認中です。

クレジットカード情報やパスワードは流出しましたか？

A. 公式発表は、クレジットカード情報などの決済情報と、お客さまご自身で設定されたパスワードは含まれていないとしています。WEBストア「アンドエスティ」のお知らせも、当サイトのクレジットカード情報とログインパスワードが今回の事象で外部に漏えいした事実はないとしています。

自分が対象かどうかはどうやって確かめますか？

A. 公式発表は、対象となるお客さまへの連絡を順次開始するとしています。連絡の方法と照会ページの有無は書かれていません。お客さまの問い合わせ先は、お問い合わせフォーム（https://support.dot-st.com/hc/ja/requests/new）です。

and ST（アンドエスティ）のパスワードは変えたほうがいいですか？

A. WEBストア「アンドエスティ」のお知らせは、パスワードの漏洩は発生していないとしたうえで、万全を期すためにマイページからのパスワード再設定を求めています。あわせて、他社サービスと同じID・パスワードの使い回しを避けるよう呼びかけています。

お店やWEBストアは使えますか？ポイントはどうなりますか？

A. 公式発表は、当社グループ店舗およびWEBストアは引き続き利用できるが、現在会員ポイントは利用できないとしています。WEBストアのお知らせは、保有ポイントが正しく表示されない場合でも、保有ポイントが無くなることはないとしています。

まとめ

• アンドエスティHDは2026年10月23日、業務サーバーへの不正アクセスで、お客さま約250万件・お取引先さま約1万件の個人情報等が外部に流出した可能性があると公表した（従業員は該当範囲確認中）
• お客さまの項目は氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID。クレジットカード情報などの決済情報と、お客さまが設定したパスワードは含まれていない
• 対象者への連絡は順次開始。お客さまの問い合わせ先はお問い合わせフォーム。店舗とWEBストアは使えるが、会員ポイントは現在使えない（保有ポイントは無くならない）
• 会社や決済代行会社を装ったメール・SMSのリンクは開かない、マイページからパスワードを再設定し使い回しを避ける（WEBストアのお願い）。心当たりのない番号の電話には出ない・折り返さない（一般的な注意）

この記事は、2026年10月23日の公式発表までの情報（2026年10月24日確認）で書いています。調査は続いているため、続報が出た場合はアンドエスティHDの公式のお知らせを優先してください。

出典

• 株式会社アンドエスティHD「当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ」（2026年10月23日・適時開示PDF・2026年10月24日確認）
• and ST（アンドエスティ）「当社業務サーバーへの不正アクセスに関するお詫びとお知らせ」（2026年10月23日 17:00・2026年10月24日確認）
• 株式会社アンドエスティHD「重要なお知らせ」一覧（2026年10月24日確認）
• 警察庁「フィッシング対策」／警察庁「不正アクセス対策」（2026年10月24日確認）
• IPA「不正ログイン被害の原因となるパスワードの使い回しはNG」／個人情報保護委員会「個人情報保護法相談ダイヤル」（2026年10月24日確認）