仏高級ブランド「クリスチャン・ディオール」は2025年5月7日に不審アクセスを検知し、調査で同年1月26日に顧客データベースへの侵入を確認した。氏名・住所・連絡先・生年月日に加え一部でパスポートや社会保障番号が流出し、決済情報は含まれない。テキサス州とワシントン州の届出では被害者が9,716人と10,878人で、世界全体ではさらに多い可能性がある。ハッカー集団ShinyHuntersによる犯行とみられ、同じLVMH傘下のルイ・ヴィトンでも2025年7月2日に香港で約41万9,000人へ影響する漏洩が判明した。ラグジュアリー各社を狙う連続攻撃が疑われている。
From:
Eau no! Dior tells customers their data was swiped in cyber snafu
【編集部解説】
ディオールが被ったサイバー攻撃は、高級ブランド業界が直面する”デジタル化の両刃の剣”を示しています。購買履歴や個人属性を詳細に蓄積するCRMは顧客体験を向上させる一方で、攻撃者にとっては高い転売価値を持つ「富裕層リスト」でもあります。
ShinyHuntersはGitHub認証情報の搾取やサプライチェーン経由の潜伏で知られ、今回も第三者ベンダーの脆弱性を足掛かりにした可能性が高いと指摘されています。
検知まで３か月を要したディオール、約３週間で気付いたルイ・ヴィトン──いずれも被害の把握に時間を要し、監視体制の限界を露呈しました。GDPRや各国プライバシー法の罰金は売上高に連動するため、ラグジュアリー企業はブランド価値だけでなく財務面でも大きなリスクを背負います。
一方で今回、決済情報が守られていた事実は「ゼロトラスト設計が部分的に機能した」ことを示唆します。機密データを細分化して隔離し、万一の侵害でも被害を局所化するアプローチは、分散化が進むラグジュアリー小売のサイバー衛生に今後不可欠となるでしょう。
【用語解説】
サプライチェーン攻撃
取引先や委託先の弱点を経由し最終ターゲットに侵入する手法。
ゼロトラストネットワーク内外を問わず全アクセスを検証し続けるセキュリティモデル。
ダークウェブ
特殊ソフトでのみ到達できる匿名性の高いネット領域。違法取引が多い。
二要素認証（2FA）
パスワード＋別手段で身元確認を行い、不正ログインを抑止する。
OAuth
外部サービスに権限を委譲する認可方式。設定不備は侵入口となりうる。
GDPREU
一般データ保護規則。売上高の最大4％または2,000万ユーロの罰金を科す。
【参考リンク】
Christian Dior 公式サイト（外部）
オートクチュールからフレグランスまで展開する仏ラグジュアリーメゾン。
Louis Vuitton 公式サイト（外部）
LVMH傘下、革製品とファッションの世界的ブランド。
LVMH Group（外部）
75のメゾンを抱える世界最大のラグジュアリーコングロマリット。
【参考記事】
ルイ・ヴィトン、顧客約41.9万人の情報漏えい 香港当局が調査（外部）
香港PCPDが調査中とする被害規模と時系列を詳細に解説。
Dior Says Personal Information Stolen in Cyberattack（外部）
通知書全文を基に漏洩データ項目と封じ込め状況を分析。
Christian Dior Suffers Data Breach Exposing U.S. Customers（外部）
ディオールのデータ漏洩事件について詳細な経緯と影響範囲を報告。
Global Louis Vuitton data breach impacts UK, South Korea and Turkey（外部）
ルイ・ヴィトンで発生した同時期のデータ漏洩事件について報告。
Dark Web Profile: ShinyHunters（外部）
ShinyHuntersの詳細なプロファイル分析と攻撃手法の解説。
Actor Spotlight: ShinyHunters（外部）
ShinyHuntersの攻撃手法の技術的分析と収益化手法を詳述。
Was luxury brand Dior hacked?（外部）
ディオール事件の被害者向け対策ガイドと業界への影響分析。
【編集部後記】
高級ブランドであってもサイバーリスクを完全に排除するのは難しい現実が浮き彫りになりました。
皆さんはオンライン購入時、パスワード管理や2FAの設定をどうされていますか？
もし今回のような通知を受け取ったら、どのような行動を取るかもぜひ考えてみてください。
SNSで経験や工夫を共有し合い、安心してテクノロジーを楽しめるヒントを広げられれば嬉しいです。
