セキュリティ

ザラ19万7000人分流出、Anodot経由で侵害

スペインのファストファッション大手ザラ（Zara）の顧客およそ19万7000人分のデータが、攻撃者の手で外部に流出している。漏洩したのはメールアドレスや購入履歴、サポートチケット情報など。侵害経路は同社ではなく外部のサードパーティだった。

情報の灯台

2026年5月8日 20:2500

19万7000という数字の重み

事案の核心は、ザラ本体のシステムが侵入されたのではなく、外部のテクノロジー提供企業が踏み台になったという構図だ。それでも、その先につながる顧客データは吸い上げられている。漏れた情報は名前や住所、決済情報といった機微なものではないものの、メールアドレスとSKU（商品識別コード）、注文ID、サポートチケットの発行国・地域が組み合わさって流出している点は軽くない。

データ侵害の通知サービスであるHave I Been Pwnedは、流出データの分析結果を公開している。それによれば、ユニークなメールアドレスは19万7000件で、ジオロケーション情報や購入履歴、サポート関連の問い合わせ内容も含まれていた。メール単体ならフィッシング業者の名簿に1行追加される程度の話だが、購入履歴やサポート履歴とひも付くと様相が変わる。「先日のお問い合わせの件で」と切り出されるなりすましメールに、人はどれほど抗えるだろうか。

ザラを傘下に持つインディテックス（Inditex）は世界最大級のファッション流通グループで、ベルシュカやPull&Bear、Massimo Dutti、Stradivariusなど複数のブランドを束ねる。ザラ単体でも世界に2000店舗超を展開する旗艦ブランドだ。それだけ顧客接点が広いということは、ひとたびデータが漏れたときの影響範囲も比例して広がるということでもある。

「BigQueryのデータがやられた」という主張

データを盗み出したと主張しているのは、近年の大型データ侵害で名前が頻出する恐喝集団ShinyHuntersだ。同集団はダークウェブ上のリークサイトに「あなたのBigQueryインスタンスのデータはAnodot経由で侵害された」と明記したエントリを公開した。

掲載されたアーカイブは約140GB規模。圧縮された状態でもこのサイズなら、展開後はさらに膨らむ。19万7000人分のメールアドレスと購買履歴を抱えるには、十分すぎる容れ物だ。

ここで登場するAnodotは、AIを使った異常検知やビジネスモニタリングを提供するイスラエルのデータ分析企業だ。多くの大企業が自社のデータ基盤に組み込んでおり、そこに認証トークンが渡されている。ShinyHuntersはこのトークンを盗み、正規の連携を装って顧客企業側のBigQueryインスタンスにアクセスしていたとみられる。

サードパーティ侵害の怖さは、攻撃者が「正規の経路」を装って入ってこられる点にある。守る側から見れば、Anodotから来るアクセスは普段どおりのアクセスにしか映らない。

同じ経路でやられた企業は他にもある。Rockstar GamesではSnowflake環境への侵入と社内データの流出が起きた。動画サービスのVimeoでも、SnowflakeとBigQueryの両方からデータが抜かれている。Anodot1社への侵害が、複数のSaaS顧客企業に波及した可能性をセキュリティ研究者は指摘している。

インディテックスが認めた「外部委託先」の正体

インディテックスは4月15日付の声明で、グループのデータベースへの不正アクセスを検知したことを公表した。重要なのは、その不正アクセスが「過去に取引のあったテクノロジー提供企業へのセキュリティインシデントに端を発し、国際的に事業を行う複数の企業に影響を及ぼしている」という説明だ。Anodotという固有名詞は出していないものの、文脈はぴたりと一致する。

同社は、流出したのは商取引関係の情報に限られ、顧客の氏名・連絡先・パスワード・決済情報は含まれていないと強調した。GDPRの適用下にある欧州企業として、当然ながらこの線引きは明確にしておきたいところだろう。自社の運用には影響なく、安全に利用できるという案内も併せて出している。

自社のシステムは無傷でも、顧客から見れば自分のデータが漏れた事実は変わらない。第三者経由であっても、責任は完全には外に押し出せない。

ただ、この線引きで安心していいのかは別の問いだ。流出した「商取引関係の情報」のなかに、メールアドレスとSKU、注文ID、サポートチケットが入っている。氏名と決済情報がなければそれでいい、とは言いきれない。攻撃者にとって、メールアドレスと購入履歴は標的型フィッシングを精密化する材料そのものだからだ。

サプライチェーン攻撃という「定石」

ShinyHuntersは2025年から2026年にかけて、Salesforce環境を狙ったキャンペーンで多数の企業侵害を主張してきた。Google、Cisco、Match Group、Vimeo、Rockstar Games、ADT、欧州委員会、McGraw Hill、Medtronic、Carnival、7-Eleven、Udemy。並べてみると、業種を問わず「クラウドの裏側で同じ部品を共有していた」企業が一気に巻き込まれていることがわかる。

一社のSaaSベンダーを落とせば、その先にいる顧客企業全員のデータに手が届く。攻撃者にとって、これほどコスパの良い攻撃面はない。

スペインのファッション業界では、同業のMANGOも10月にマーケティングベンダー経由でのデータ侵害を顧客に通知している。MANGOの件はランサムウェアグループが名乗り出ておらず、攻撃者は不明なままだ。これらの事案を並べると、ファッション小売業がデータ分析やマーケティングのSaaSを通じて、共通のリスクポイントを抱えていることが浮かび上がる。