IDARE（Fivot）への不正アクセス（退会済み含む12万9,659人の個人情報漏えい）
公表日
プリペイド式キャッシュレスサービス「IDARE」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、退会済みを含む12万9,659人の個人情報が外部に漏えいしました（2026年10月13日発表）。
対象者は？
2026年9月27日までにIDAREに登録した、退会済みを含む129,659人。全員分として電話番号、メールアドレス、生年月日、残高情報、取引履歴などが含まれます。一部の人では氏名、住所、本人確認書類の番号、クレジットカード番号の先頭6桁と下4桁なども含まれます。ログインパスワード、カード番号の全桁、本人確認書類の画像、マイナンバーは含まれないとされています。
対象の方には、漏えいした情報の範囲がメールで個別に案内されます。詳しくは運営会社の公式お知らせを確認してください。
いますぐできること
- IDAREや運営会社からのメールが届いていないか確認する。
- IDAREや同社を装ったメール・SMS・電話に注意する。パスワードや暗証番号、認証コードを聞かれても答えず、リンクも開かない。
- アプリの残高や取引履歴に、身に覚えのないものがないか確認する。
何が起きたのか
2026年8月10日から9月27日にかけて、複数回にわたり、IDAREのデータベースの情報が第三者に取得されました。カスタマーサポートなどの業務のために導入していた外部ソフトウェアの弱点を突かれたと説明されています。運営するFivotは10月13日にこれを発表しました。同社は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の経路をふさぎ、このソフトウェアの利用をやめ、関連する認証情報の更新を終えています。
なぜ起きたのか・なぜ広がったのか
同社は、外部ソフトウェアの脆弱性を悪用した不正なアクセスを受けたと説明しています。どの製品のどの弱点だったか、攻撃の具体的な方法は、まだ発表されていません。取得が複数回にわたって行われたことが公表されています。
いまの状況2026-10-13 時点続報待ち
2026年10月13日時点で、新たな不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。や、漏えいした情報を使った不正な取引は確認されていないと発表されています。サービスは通常どおり利用でき、ログインには多要素認証が必須とされています。同社は法令に基づく報告、再発防止策の策定、弁護士を含む第三者による調査を進めています。調査結果や、製品名、攻撃を発見した日などは、まだ発表されていません。
企業として考えたいこと
自社のお客様情報に触れられる外部ソフトウェア（問い合わせ対応ツールなど）が、どの範囲のデータを読めるのか、また弱点が見つかったときに誰がいつまでに対応するのか、すぐに答えられるでしょうか。
技術的な要約
プリペイド式キャッシュレスサービス「IDARE」を運営するFivotは2026年10月13日、第三者による不正アクセスで利用者の個人情報が外部に漏えいしたと発表した。カスタマーサポート等の業務のために導入していた外部ソフトウェアの脆弱性を悪用され、8月10日から9月27日にかけて複数回、データベースの情報が取得された。対象は9月27日までに登録した退会済みを含む129,659人で、全員分として電話番号、メールアドレス、生年月日、残高情報、取引履歴などが漏えいした。一部の利用者では氏名、住所、本人確認書類の番号、クレジットカード番号の先頭6桁と下4桁なども漏えいしたが、ログインパスワード、カード番号の全桁、本人確認書類の画像は漏えいしていないとしている。同社は経路の遮断、当該ソフトウェアの利用終了、認証情報の更新を完了し、弁護士を含む第三者による調査や法令に基づく報告を進めている。製品名とCVEは公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式発表は「当社がカスタマーサポート等の業務のために導入していた外部ソフトウェアの脆弱性を悪用した不正なアクセスを受け」と説明。製品名・CVE・具体的な攻撃手法は公表されていない。
- 脆弱性
- CVE 非公表公表で確認カスタマーサポート等の業務のために導入していた外部ソフトウェアの脆弱性。製品名・CVEは公表されていない。同社は当該ソフトウェアの利用を終了した。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 13日時点でサービスは通常どおり利用でき、利用者の残高は保全されているとされる。
- データ
- 確定上限 129,659確定 129,659人電話メール生年月日会員ID氏名住所性別本人確認書類クレカ口座その他対象は2026年9月27日までにIDAREに登録した退会済みを含む129,659人。全対象者: 電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報、アカウントの設定情報・ステータス、残高情報、取引履歴、IDAREカードの名義・有効期限。一部の対象者: 氏名、住所、性別、利用目的、本人確認書類の番号などの申請内容、IDAREカード番号の下4桁、入金用クレジットカード番号の先頭6桁と下4桁、入金用銀行口座番号の下3桁、リアルカードのアクティベーションコード。2021年10月までに登録し貸付サービス「LADDER」（同月終了）の利用目的で入力した方の属性情報（年収、勤務先情報等）も含まれる。マイナンバー、本人確認資料・容貌の画像、ログインパスワード、カード番号・口座番号の全桁、セキュリティコード、暗証番号は漏えいしていないとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 外部ソフトウェアの脆弱性が悪用されたが、他組織への波及は公表されていない。
時系列
技術解説
侵入の経路と期間 事実
公式発表によると、Fivotが運営するIDAREは、カスタマーサポート等の業務のために導入していた外部ソフトウェアの脆弱性を悪用した不正なアクセスを受けた。2026年8月10日から9月27日にかけて、複数回にわたり同社データベースの情報が第三者に取得された。一方、悪用されたソフトウェアの製品名やCVE番号、攻撃の具体的な技術的手法は明らかにされていない。公表は2026年10月13日で、報道3件も同じ内容を伝えている。
漏えいした情報の範囲 事実
対象は2026年9月27日までにIDAREに登録した退会済みを含む129,659人である。全員分として、電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報、アカウントの設定情報、残高情報、取引履歴、IDAREカードの名義・有効期限が漏えいした。一部の対象者では、氏名、住所、性別、利用目的、本人確認書類の番号などの申請内容、クレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁なども含まれる。2021年10月までに登録し貸付サービス「LADDER」の利用目的で入力した年収・勤務先情報等も対象である。
漏えいしていないとされる情報と対応 事実
同社は、マイナンバー、本人確認資料や容貌の画像、ログインパスワード、カード番号・口座番号の全桁、セキュリティコード、暗証番号は漏えいしていないと説明している。ログインには多要素認証が必須で、漏えい情報だけでは不正ログインはできないとし、13日時点で不正な取引は確認されていない。不正アクセス経路の遮断、当該ソフトウェアの利用終了、関連認証情報の更新は完了し、新たな不正アクセスも確認されていない。法令に基づく報告や弁護士を含む第三者調査を進めており、対象者へはメールで個別に案内する。
リスクの所在（解釈） 解釈
公表内容から読み取ると、今回の特徴は、パスワードやカード全桁といった直接の認証・決済情報が対象外とされる一方、連絡先、生年月日、残高、取引履歴、本人確認書類の番号などが組み合わさって流出した点にある。こうした情報は、不正ログインよりも、運営会社や金融機関を装った連絡の信憑性を高める方向に使われる余地がある。同社も不審なメール・SMS・電話への注意を呼びかけており、この点を重視していると受け取れる。また、退会済みの利用者や旧サービスの入力情報まで含まれた点は、保持期間と範囲の整理が重要になることを示している。ただし悪用の有無は今後の続報次第である。
公表内容の評価（解釈） 解釈
第1報は、対象人数、情報項目の全員分と一部の別、漏えいしていない情報、実施済みの封じ込め、再発防止策の方向性まで具体的に示しており、利用者が自分の影響を判断しやすい構成だと言える。一方で、検知日、製品名・CVE、報告先の当局名、攻撃者に関する情報は示されておらず、調査中の事項と見られる。取得期間が複数回にわたる点を踏まえると、最初の侵入時点や、悪用された脆弱性がいつ公開されていたかといった時間関係は、第三者調査の結果で補われることが期待される。現段階では続報待ちの状態であり、評価は暫定的なものにとどまる。
対応
- 封じ込め
- 不正アクセス経路を遮断し、当該ソフトウェアの利用を終了、関連する認証情報の更新を完了。現在まで新たな不正アクセスは確認されていない（2026年10月13日時点）。
- 公表の仕方
- 2026年10月13日に公式サイトで発表。対象者にはメールで漏えいした情報の範囲を個別に案内する。IDAREや同社を装った不審なメール・SMS・電話への注意を呼びかけている。再発防止策として脆弱性情報の継続監視、ログの監視とアラート、外部専門家による第三者調査、情報管理体制の強化を挙げている。法令に基づく報告を進めるとしているが、報告先の当局名は公表されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務用の外部ソフトウェアも、顧客データベースに到達できる経路として棚卸しの対象になる。 | カスタマーサポート系を含む外部ソフトウェアを資産台帳に登録し、各製品がアクセスできるDB・テーブル・API権限を一覧化する。参照範囲は業務上必要な列に限定し、年次ではなく四半期ごとに見直す。 |
| 外部ソフトウェアの脆弱性情報を継続的に把握する体制が、悪用までの時間差を縮める。 | SBOMや製品・バージョン一覧をもとに、NVDやJVN、ベンダー通知を自動で突合する仕組みを置く。重大度に応じた適用期限（例：緊急は72時間以内の緩和策）を定め、期限超過を管理指標にする。 |
| 数週間にわたる複数回のデータ取得は、ログ監視とアラートで早期に気づける余地がある。 | DBへの大量SELECTやエクスポート、通常と異なる送信量をSIEMで検知するルールを設ける。外部ソフトウェア用アカウントのアクセス元IPと件数にしきい値を置き、超過時に即時通知する。 |
| 保持しない情報・参照できない仕組みで管理する情報は、漏えい時の影響範囲を実際に狭める。 | パスワードはハッシュ化、カード全桁やセキュリティコードは保持しないかトークン化し、侵害されうるシステムからは参照できない分離構成にする。設計時にデータ分類ごとの保存可否を明文化する。 |
| 退会済み利用者や終了サービスの情報の保持範囲が、被害対象の広がりに影響する。 | 退会・サービス終了後の保持期間を定め、期限到来時にバッチで削除または匿名化する。削除ジョブの実行ログを残し、対象件数を定期的に監査する。 |
自組織などでの確認項目
- カスタマーサポートなどに使っている外部ソフトウェアは、顧客データベースのどの範囲まで参照できる権限を持っているか、一覧で説明できるか。
- 利用中の外部ソフトウェアについて、脆弱性情報を誰がどの頻度で確認し、修正までの期限をどう決めているか。
- 顧客DBから通常と異なる量のデータが繰り返し取得された場合、何日以内に誰が気づく仕組みになっているか。
- 退会済み利用者や終了したサービスのデータを、いつまで・どの項目まで保持しているか、根拠とともに確認できるか。
未解明点
- 悪用された外部ソフトウェアの製品名・バージョンと、対応する脆弱性（CVE）は何か。
- 不正アクセスを検知した日と、最初の侵入が起きた時点はいつか。
- 攻撃者に関する情報や、取得されたデータの外部での取り扱い状況はどうなっているか。
- 法令に基づく報告の報告先と、第三者調査の結果および再発防止策の具体的な内容はどうなるか。
出典
- 1IDARE（運営会社 Fivot.inc）2026-10-13公式本文確認済
- 2ITmedia NEWS(NewsPicks掲載)2026-10-14報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-13報道本文確認済
- 4ITmedia NEWS2026-10-13報道本文確認済