Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-giftyIT/クラウド最終確認 2026-10-27 11:07

ギフティグループへの不正アクセスによるeギフト不正発行（約5.5億円規模）

公表日

株式会社ギフティ（ギフティグループ株式会社） · 上場
続報あり不正アクセス脆弱性悪用

ギフティのシステムが脆弱性を突いた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、電子ギフト「eギフト」が約5億5000万円分不正に新規発行されました。利用者がすでに保有しているギフトの不正利用や個人情報の流出は確認されていません。

何が起きたのか

2026年10月25日、ギフティグループの子会社が運用するシステムの一部に、システムの弱点（脆弱性）を突いた第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生しました。攻撃者はシステムを経由して電子チケット「eギフト」を不正に新規発行しました。会社は判明した10月25日中に対象システムを停止して不正発行を遮断し、警察に相談を行いました。利用者が手元に持っていたギフトが勝手に使われたり、利用者の個人情報が漏えいしたりした被害は確認されていません。

なぜ起きたのか・なぜ広がったのか

運用していたシステムの一部に脆弱性が存在しており、それを第三者に悪用されてギフトの発行処理を行われてしまいました。なお、具体的な脆弱性の名称などは公表されていませんが、プログラミング言語「PHP」の脆弱性ではないと説明されています。

いまの状況2026-10-27 時点続報待ち

原因となったシステムは停止されており、今後は利用を再開しない方針が示されています。不正発行に伴う損失見込みは約5億5000万円で、特別損失として計上される見通しです。主要なサービスは通常通り稼働を続けており、今後はeギフト発行に関する管理体制や監視体制の強化が進められます。

企業として考えたいこと

自社が発行するポイントやクーポン、電子チケットなどの発行システムに、短時間での大量発行や不正な要求を自動で検知・停止する仕組みは整っていますか？

技術的な要約

2026年10月25日、ギフティグループの連結子会社ギフティが運用するシステムの一部に対し、脆弱性を悪用した第三者による不正アクセスが発生した。攻撃者はシステムを経由して電子チケット「eギフト」を不正に新規発行し、同社グループは約5億5000万円の損失を見込み特別損失として計上する方針を発表した。同社は判明した10月25日中に対象システムを停止して不正発行を遮断し、当該システムは今後再開しない方針としている。顧客が保有するギフト券の不正利用や個人情報の漏えいは確認されておらず、主要サービスは通常どおり稼働している。なお、これに先立ち情報発信で利用していた外部メール配信サービス「ブラストメール」の不正アクセスに伴う情報漏えい懸念も発表されたが、同社契約の流出対象への該当はないことが確認されている。

侵入
2026-10-25
被害発生
2026-10-25
検知
2026-10-25
第1報公表
2026-10-26
最新続報
2026-10-26
侵入 → 検知
0日
侵入日から算出
検知 → 公表
1日
データ（上限）
—
確定 0
波及先
—

攻撃の分類

侵入口
不明
報道ではシステムの脆弱性を悪用した不正アクセスとされているが、具体的な脆弱性の種別や製品名は公表されていない。なお、プログラミング言語PHPの脆弱性とは無関係と説明されている。
脆弱性
CVE 非公表報道・研究者
システムの脆弱性を悪用されたと報じられているが、具体的な製品名やCVE番号は非公表。PHPの脆弱性とは無関係と説明されている。
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1565 Data Manipulation

影響

業務停止
あり 不正アクセス発覚後に対象システムを停止したことに伴い、一部のeギフト交換サービスで一時的な支障が発生したが順次解消した。主要サービスは通常通り稼働している。
期間：一時的
データ
なし上限 —確定 0件
子会社システムへの不正アクセスにおいて顧客の個人情報漏えいは確認されていない。また、利用している外部メール配信サービス「ブラストメール」の不正アクセスにおいても、ギフティ関連の登録情報について漏えいの事実は確認されていない。
波及先
—
金銭影響
不正に発行されたeギフトによる損失見込みは約5億5000万円（最大約5.5億円）で、2026年12月期（第4四半期）に特別損失として計上する見通し。
サプライチェーン
eギフトの不正発行は子会社システムへの不正アクセスによるもの。一方で、情報発信で利用していた外部メール配信サービス「ブラストメール」でも不正アクセスが発生したが、同社の契約は漏えいが確認された対象には含まれていないことが確認されている。

時系列

  1. 2026-07-01
    株式会社ギフティが持株会社体制「ギフティグループ株式会社」へ移行し、コーポレートサイトを新規開設1
  2. 2026-10-21
    ギフティが情報発信で利用する外部メール配信サービス「ブラストメール」（ラクスライトクラウド提供）で不正アクセス・情報漏えいが公表されサービス停止239
  3. 2026-10-22
    ギフティがブラストメール不正アクセスに伴う個人情報漏えいの可能性について第1報を公表23
  4. 2026-10-24
    ラクスライトクラウドより漏えい確認件数が累計344件になったと公表されるが、ギフティの契約は含まれていないことを確認39
  5. 2026-10-25
    子会社ギフティのシステム脆弱性を悪用した不正アクセスが発生し、eギフトが不正発行されていたことが判明69101112
  6. 2026-10-25
    原因となった脆弱性を特定し、同日中に対象システムを停止して不正発行を遮断6101112
  7. 2026-10-26
    ギフティグループが子会社システムへの不正アクセスを受け、最大約5億5000万円分のeギフトが不正発行されたと発表4561112
  8. 2026-10-26
    ギフティがブラストメール不正アクセス事案に関する第3報を公表39

技術解説

不正アクセスの発生とeギフト不正発行の経緯 事実

ギフティグループは2026年10月26日、連結子会社ギフティが運用するシステムの一部が第三者による不正アクセスを受け、デジタルギフト「eギフト」が不正に新規発行されたと発表した。発表および報道によると、不正アクセスは2026年10月25日に発生し、攻撃者はシステムの脆弱性を悪用してシステムを経由しeギフトを発行した。同社は同日中に対象のシステムを停止して不正発行を遮断した。損失見込みは約5億5000万円（最大約5.5億円）に上り、2026年12月期第4四半期に特別損失として計上する方針としている。一方で、発行されたギフト券は第三者により新規発行されたものであり、利用者が保有していたeギフトが不正利用された形跡や、顧客の保有資産の減少・毀損、個人情報の漏えいは確認されていない。主要サービスは通常稼働を継続しており、悪用された脆弱性について同社はプログラミング言語PHPの脆弱性とは無関係と説明している。

金銭的価値を持つコード生成機能における統制の重要性 解釈

本事案の特徴は、顧客の個人情報や認証情報を窃取して悪用する手口ではなく、システム自体の脆弱性を突いて金銭的価値を持つeギフトコードを直接新規生成・不正発行させた点にある。デジタルギフトや各種ポイントのような換金性の高いトークンを扱うシステムでは、一度発行権限や発行APIが侵害されると、攻撃者によって短時間で多額のコードが発行され、直接的な金銭的損失につながるリスクを抱えている。今回ギフティは発覚同日に対象システムを停止し、さらに「今後も利用を再開しない」という判断を下したことで、同一経路からの被害拡大を断ち切った。しかし、被害想定額が約5億5000万円規模に達したことから、発行処理における1件あたりの発行閾値や短期間での発行総額上限、通常とは異なる発行リクエストパターンを即時に検知・保留するサーキットブレーカーのような多層的な防御機構の重要性が浮き彫りとなったといえる。

外部SaaS障害との重複下における迅速な切り分けと公表対応 解釈

本件が発生した直前には、同社が情報発信に利用していた外部メール配信サービス「ブラストメール」における不正アクセスと情報漏えい懸念（10月21日公表）が重なっており、ギフティ側でも10月22日から26日にかけて継続的な影響確認と適時報の開示が行われていた。ブラストメール側では契約者情報流出の対象にギフティが含まれていないことが確認されていたが、その渦中において自社管理システムへの不正アクセスとeギフト不正発行が発生した。外部委託先（サプライチェーン）に起因するインシデントと、自社システムに起因するダイレクトな経済被害インシデントという性質の異なる2つの事案が同時期に発生した中で、同社は顧客保有資産の保全状況や個人情報漏えいの有無を明確に区別して公表し、主要サービスの稼働状況を発信することで、顧客や市場への過度な混乱拡大を抑制したと評価できる。

対応

封じ込め
2026年10月25日の発覚同日中に対象システムを停止してeギフトの不正発行を遮断した。停止したシステムについては今後も利用を再開しない方針としている。また、ブラストメールへの新たなデータ登録・連携の停止状況を確認した。
公表の仕方
ブラストメールの事案について2026年10月22日に第1報、10月26日に第3報を公表した。子会社システムへの不正アクセスおよびeギフト不正発行については2026年10月26日に公表した。
当局対応
  • 警察

教訓と対策

教訓具体的な対策
金銭的価値を持つコードやチケットの発行APIに対する上限統制と異常検知デジタルギフト、クーポン、ポイント等の発行処理において、単位時間あたりの発行数・発行総額にハードリミットを設けるとともに、通常と異なる頻度やパターンの発行要求を即時遮断する異常検知・サーキットブレーカー機能を実装する。
不正アクセスを受けたシステムの恒久停止と資産整理による再発防止侵害を受けた周辺システムやレガシーコンポーネントについて、パッチ適用による暫定復旧にとどまらず、必要性を見直して恒久停止や機能統合を行うことで、組織全体のアタックサーフェス（攻撃対象領域）を根本から削減する。
不正発行されたトークンやコードの利用停止・無効化トレーサビリティの確保不正に生成された電子チケットやギフトコードについて、発行ログと利用トランザクションを即時に突合・追跡し、加盟店や交換先サービス側で利用される前にフラグを立てて無効化できる失効管理API・仕組みを整備する。
外部委託先SaaSインシデントと自社インシデントの並行管理・切り分け体制利用中の外部サービスでインシデントが発生した際の影響調査フローをあらかじめ策定し、自社システムの監視ログやアラートと混同・見落としが生じないよう、セキュリティ運用体制の役割分担を明確化しておく。

自組織などでの確認項目

  1. 自社のサービスで金銭的価値（ポイント、クーポン、ギフトコード等）を新規発行する機能に、異常な発行量や不正リクエストを自動検知して一時停止する安全装置が備わっているか。
  2. 運用中のWebシステムや周辺サブシステムにおいて、不要になった機能や古い仕様のAPIが放置されず、定期的に棚卸しや廃止が行われているか。
  3. 利用している外部SaaSでセキュリティ事故が公表された際、自社アカウントや登録データの影響有無を速やかに確認し、対外的な説明責任を果たせる手順が整備されているか。

未解明点

  • 攻撃者に悪用された「脆弱性」の具体的な技術的詳細（Webアプリケーションの認可・入力検証不備なのか、公開サーバミドルウェアの脆弱性なのか）はどのようなものであったか。
  • 不正発行された最大約5億5000万円分のeギフトのうち、実際に外部や加盟店で利用・換金された金額と、同社による取り消し・無効化措置によって利用が阻止された金額の内訳はどうなっているか。

出典

  1. 1
    ギフティグループ株式会社
    ギフティグループ株式会社2026-07-01公式本文確認済
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
    デジタルギフトに不正アクセス　５・５億円分を発行
    デイリースポーツ online2026-10-26報道本文確認済
  11. 11
  12. 12