シチズン時計は2026年10月6日、問い合わせ受付業務の委託先であるスカラコミュニケーションズのサーバが不正アクセスを受け、約10万人分の個人情報が漏えいした可能性があると発表した。ITmediaなどの報道で明らかになった。同社は公式ECサイトや基幹システムへの影響はないとしている。
シチズン時計の問い合わせフォームから約10万人分の情報が流出した経緯
シチズン時計が10月6日に発表した内容によると、今回の不正アクセスの対象となったのは、「シチズン」「ブローバ」「フレデリック・コンスタント」の各Webサイトに設置された問い合わせフォームから送信された情報である。漏えいした可能性があるのは、10月3日時点で問い合わせ受付システムに保存されていた氏名、住所、電話番号、メールアドレスなどのデータだ。さらに、問い合わせ内容の欄にクレジットカード情報や銀行口座情報を記載していた場合、それらの機微な情報も含まれていた可能性があるという。自社システムへの不正アクセスは確認されていない。
委託先サーバへの不正ログインとシステムの稼働状況
不正アクセスを受けたのは、FAQシステム「i-ask」などを提供するスカラコミュニケーションズのサーバである。親会社のスカラが6日に公表した情報によると、10月2日午後8時30分頃から3日午前8時頃にかけて、第三者がi-askの管理サイトへ不正にログインし、サーバ上に不正プログラムを設置した。スカラコミュニケーションズ側は3日の朝に該当アクセスを遮断し、同日中に顧客企業への報告を実施した。シチズン時計ではすでに別のシステムへ問い合わせ受付業務の移行を進めており、今回被害を受けたシステムは新規の受付には使用していなかった。1月中旬に予定していた利用終了のスケジュールに合わせ、移行完了後に保存されている個人情報は全て削除される予定だった。
公式ECや会員サービスへの影響と二次被害の状況
シチズン時計は、今回のインシデントによる影響は委託先のシステム内に限定されると説明している。流出した可能性がある情報を用いて、公式ECサイトや会員制サービスである「MY CITIZEN」、「シチズン オーナーズクラブ」、生産システム、社内ネットワークへ侵入されることはないという。10月6日の発表時点で、今回の不正アクセスに起因する二次被害は確認されていない。同社は対象となった利用者に対して個別の連絡を進めるとともに、専用の問い合わせ窓口を設置している。
個人情報保護委員会への報告と今後の対応
事態を受け、シチズン時計は個人情報保護委員会への報告と警察署への相談をすでに完了した。同社は利用者に向けて、関係者を装った不審なメールに十分注意するよう呼び掛けている。具体的には、個人情報の提供、添付ファイルの開封、不審なURLへのアクセスを控えるよう求めており、被害の拡大防止に向けた警戒を強めている。