シチズン時計は、問い合わせ業務の委託先であるスカラコミュニケーションズから、サーバーへの不正アクセスにより約10万人分の顧客情報が取得された可能性があると報告を受けました。対象は各ブランドの問い合わせフォームに入力され、委託先のシステムに保存されていた情報です。シチズン時計のシステムへの不正アクセスは確認されていないとしています。
委託先のサーバーで約11時間半の不正アクセス
スカラコミュニケーションズによると、不正アクセスは2026年10月2日20時33分ごろから、翌3日8時1分ごろにかけて発生しました。同社はアクセス経路を遮断するなどの緊急対応を実施し、シチズン時計は10月3日に報告を受けました。
漏えいした可能性があるのは、10月3日時点でシステムに保存されていた問い合わせ情報です。約10万人分の氏名、住所、電話番号、メールアドレスなどが対象です。問い合わせ内容に銀行口座やクレジットカードの情報が記載されていた場合、それらも漏えいした可能性があります。
今回、アクセスが確認されたのは委託先のシステムです。シチズン時計の公式サイトやオンラインストア、会員制サービス、生産システム、社内ネットワークなどへのアクセスは確認されておらず、漏えいの可能性がある情報を使って同社システムへアクセスすることもできないと説明しています。発表時点で、事案に起因すると考えられる二次被害も確認されていません。
問い合わせ受付の移行と対象者への案内
シチズン時計は、対象となる顧客へ順次個別に案内し、専用の問い合わせ窓口を設けています。専用フォームでは氏名、電話番号、メールアドレスが必須項目で、住所欄もあります。回答は「citizen.co.jp」から送られると案内しています。
ブランドの問い合わせ受付業務は別のシステムへの移行が進んでおり、スカラコミュニケーションズのシステムは2026年10月中旬に終了する予定です。移行期間の終了後、システムにある個人情報はすべて削除するとしています。
シチズン時計は委託先や外部専門機関と原因を調べ、再発防止に取り組む方針です。個人情報保護委員会への報告と、所轄の警察署への相談も行ったとしています。調査で新たな事実が判明した場合は、速やかに知らせるとしています。
不審な連絡に関する注意喚起
シチズン時計は、関係者を装った不審なメール、SMS、電話を受けた場合、個人情報を伝えず、添付ファイルを開いたりURLにアクセスしたりしないよう呼びかけています。漏えいした可能性がある情報には連絡先が含まれるため、事案に関連するように見える連絡にも注意するよう案内しています。
セキュリティ対策Labは、氏名や住所、電話番号などが複数そろうと、実際の利用者しか知らない情報を含むフィッシングメールや電話が作られやすくなると説明しています。漏えいの連絡を装い、正規企業からの案内に見せかけたメールやSMSが送られる場合もあるとしています。
セキュリティ対策Labは、メールやSMS内のURLから手続きを始めず、企業の公式サイトや公式アプリを自分で開いて窓口を確認する方法を挙げています。また、相手が氏名や住所などを知っていても、それだけで正規の連絡とは判断できないと説明しています。シチズン時計が案内する専用窓口も、公式サイトから開けます。
