パル：通販サイト「PAL CLOSET」にリスト型攻撃、172万件の試行のうち19万4,307件の不正ログインが成立

1. 2025-06-15

   外部で取得した認証情報を使うリスト型攻撃とみられる不正なログインが、16日にかけて行われた。 [1]

2. 2025-06-16

   全会員のパスワードを無効化した。 [1]

3. 2025-06-20

   公表し、不正ログインが確認された会員にメールで知らせ、個人情報保護委員会に報告した。 [1] [2]

不正ログインの試行は1,722,379件で、そのうち194,307件が成立した。会員情報ページには、氏名、カナ、性別、生年月日、郵便番号、住所、電話番号、バーコード番号が載っている。どの会員のページが閲覧されたかは、システムの仕様上特定できない。クレジットカード情報は載っておらず、保持もしていない。 [1] [3]

パスワードはハッシュ化して保存しており、IDとパスワードが社内から流出した痕跡はないという。公表時点で不正注文などの二次被害は確認されていない。 [1]