チャーム通販サイトに不正アクセス、23万件の情報流出か　パスワードハッシュも対象

23万件のパスワードハッシュも流出 #

ペット用品通販サイト「チャーム」を運営する株式会社チャームが、本店1号店・2号店への不正アクセスを受け、約23万件の顧客情報が外部に流出した可能性があると発表した。対象は2026年7月1日〜8月12日の期間に利用した顧客で、氏名・住所・電話番号・生年月日・性別・メールアドレス・保有ポイント数に加え、パスワードのハッシュ値も含まれる。8月12日にアクセスを検知し即座に関連サーバを遮断、翌々日には受注・出荷業務を再開させたスピード対応は評価できるが、流出範囲の大きさは見過ごせない。

「ハッシュ化されているから安全」とは言えない理由 #

企業の発表では「パスワードは平文ではなくハッシュ値」という点が強調されがちだが、これは免罪符にならない。ハッシュ化アルゴリズムが古い方式（MD5やSHA-1、ソルトなし運用など）であれば、レインボーテーブルや総当たりで比較的容易に解読される。仮に強固なアルゴリズムでも、時間をかければ弱いパスワードから順に破られていく。

さらに深刻なのは、このサイト限定の被害では終わらない点だ。多くの利用者は複数サービスで同じパスワードを使い回している。攻撃者がここで得たメールアドレスとパスワードの組み合わせを、ネットバンキングやSNS、他の通販サイトへクレデンシャルスタッフィングとして流用すれば、被害はチャーム一社にとどまらず連鎖的に拡大する。氏名・住所・生年月日まで揃っているため、なりすましやフィッシングの精度も上がってしまう。

EC事業者に問われる「検知から遮断まで」の速さ #

今回チャームは検知から遮断まで即日、業務再開まで2日というスピード対応だった。これは第三者製ソフトの脆弱性を突かれた「うんこミュージアム」の事例(発覚から復旧まで約18時間)と並び、初動対応の速さが被害拡大を防ぐ鍵であることを改めて示している。一方で、パスワードのハッシュ方式や保存期間の見直し、通知の個別化といった再発防止の中身は今後の発表待ちだ。ECサイトを運営する企業にとって、決済情報を扱わない会員サイトであっても、氏名・住所・パスワードのセットは十分に高価値な攻撃対象になるという認識が問われている。