株式会社いまでやは8月21日、同社が管理する顧客の注文情報が外部流出した可能性について発表した。同社ウェブサイトを一時停止したため、PR TIMESで公表している。
同社では8月20日夜に、同社を装った不審なメール（フィッシングメール）を受信したとの問い合わせが30件ほどあり、不審メールには受信した顧客本人の氏名、注文番号、注文金額が正確に記載されていたことから、無作為に送信されたものではなく、同社保有の注文情報が第三者に取得された可能性が高いと判断している。
流出した可能性があるのは、同社オンラインストアで購入した顧客に加え、実店舗（千葉本店、GINZA SIX、錦糸町PARCO、千葉エキナカ、清澄白河、軽井沢、松坂屋名古屋）で会員情報を提示のうえ購入した顧客の名前、メールアドレス、注文番号、注文金額。なお、今回のフィッシングサイトが顧客に対しクレジットカード情報の入力を求める内容であったことから、カード情報そのものは第三者に取得されていない可能性があると同社では考えている。
同社では現時点で、フィッシングサイト上でクレジットカード情報等を入力した顧客が2名いることを確認している。
現時点で確認しているフィッシングメールは、いずれも直近数日以内に購入した顧客に送信されているが、影響が及ぶ範囲は特定できていない。同社が使用するプラットフォーム Shopify で管理する購入履歴の内、実際に流出した範囲については、外部の専門調査機関による調査を進めている。
同社では現時点で原因は特定できておらず、同社が利用するシステムおよびスマレジ、クロスモールなど外部連携サービスへの不正アクセスの可能性を含めて調査を行っている。
同社では下記の対応を実施している。
・IMADEYA ONLINE STOREを一時停止
（コーポレートサイトもONLINE STOREの傘下にあるため一時的にクローズしている）
・システム管理権限の縮小、全管理者のパスワード変更および二段階認証の設定
・外部システムとのデータ連携の停止
・利用システム提供事業者への事象共有および調査依頼
・直近に購入のあった顧客およびメールマガジン会員への注意喚起メールの送信
・同社ウェブサイトおよび公式SNSでの注意喚起の掲示
・フィッシングサイトの停止に向けた関係機関への通報
同社では調査の進捗に応じて、対象となる顧客の範囲、流出した情報の項目、原因および再発防止策について、あらためて報告するとのこと。
