セレス「ポイントインカム」への不正アクセス（会員88件・従業員等107件、計195件の閲覧の可能性）
公表日
ポイントサイト「ポイントインカム」を運営するセレスは、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の疑いを確認したと2026年10月7日に公表しました。会員88件と従業員等107件、合計195件の個人情報が閲覧された可能性があります。
対象者は？
対象は、個人情報が第三者に閲覧された可能性がある一部のアカウントで、会員88件と従業員等107件の合計195件です（閲覧が確定した件数ではありません）。クレジットカード情報などの決済関連情報は同社のサーバーに保存されておらず、漏えいはないとされています。閲覧された可能性がある具体的な項目は、まだ発表されていません。
該当する可能性のある方には、セレスから個別にメールで連絡があります。個別の案内が届いていない会員については、閲覧の影響は確認されていないと説明されています。
いますぐできること
- セレスからの個別メールが届いていないか、受信ボックスと迷惑メールフォルダを確認する。
- ログイン時にパスワードの再設定を求められたら、案内に従って新しいパスワードに変更する。
- セレスを名乗るメールやSMSのリンクは開かず、公式サイトやアプリから確認する。
何が起きたのか
2026年10月5日（月）の未明から、ポイントインカムのシステムで、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の疑いがある不審な動きが断続的に見つかりました。セレスは個人情報を守るため、すぐにサービスを一時停止し、不審なアクセスの遮断、原因の特定、システム全体の緊急点検、セキュリティ強化を行いました。調査の結果、一部のアカウントで個人情報が第三者に閲覧された可能性が確認され、個人情報保護委員会へ報告しました。10月7日に、対象は合計195件（会員88件、従業員等107件）と公表されました。
なぜ起きたのか・なぜ広がったのか
原因はまだ発表されていません。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に使われた方法（認証情報や弱点など）、攻撃元、侵入経路などの技術的な詳細は示されていません。会員情報と従業員等情報が同じ仕組みに保存されていたかどうかも公表されていません。
いまの状況2026-10-08 時点続報待ち
セレスは、安全確認とセキュリティ強化作業が終わり次第、10月7日（水）21時にサービスを再開する予定としていました。再開後は、ログイン時にパスワードの再設定をお願いする場合があります。調査の続報や再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社で、顧客の情報と従業員の情報を扱うシステムに不審なアクセスがあったとき、誰がサービス停止を判断し、「誰がどの情報を見たか」をログから何日以内に説明できますか。
技術的な要約
セレスは、運営するポイントサイト「ポイントインカム」のシステムで、2026年10月5日未明から第三者による不正アクセスの疑いがある不審な挙動を断続的に検知したと、2026年10月7日に公表した。直ちにサービスを一時停止し、不審なアクセスの遮断、原因の特定、システム全域の緊急点検、セキュリティ強化を実施した。調査の結果、一部のアカウントで個人情報が第三者に閲覧された可能性が確認され、対象は合計195件（会員情報88件、従業員等情報107件）である。クレジットカード情報等の決済関連情報は同社サーバーで保持しておらず、漏えいの事実はないとしている。個人情報保護委員会へ報告済みで、サービスは10月7日21時に再開予定とされた。侵入経路や閲覧された個人情報の具体的項目は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスに使われた認証情報や脆弱性、攻撃元、侵入経路などの技術的な詳細は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 個人情報保護のため直ちにサービスの提供を一時停止し、緊急メンテナンスおよびセキュリティ強化を実施した。10月5日12時から10月7日21時までのサーバーメンテナンスが案内され、10月7日21時に再開予定とされた。再開後はログイン時にパスワードの再設定を求める場合がある。期間：2026-10-05から2026-10-07（再開予定21時）
- データ
- おそれ上限 195確定 —件従業員情報合計195件（会員情報88件、従業員等情報107件）。第三者に閲覧された可能性とされ、外部への持ち出しや二次利用の確認は説明されていない。閲覧された可能性のある個人情報の具体的項目は公表されていない。クレジットカード情報等の決済関連情報は同社サーバーで保持しておらず漏えいなしとしている。個別案内が届いていない会員には影響は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害は公表されていない。
時系列
技術解説
公表された事実経過と初動対応 事実
セレスは2026年10月7日付で、ポイントサイト「ポイントインカム」への不正アクセス検知に伴う緊急メンテナンスとセキュリティ強化のお知らせを公表した。同社は10月5日（月）未明から、第三者による不正アクセスの疑いがある不審な挙動を断続的に検知したとしている。個人情報保護のため直ちにサービスの提供を一時停止し、不審なアクセスの遮断、原因の特定、システム全域にわたる緊急点検、緊急メンテナンスおよびセキュリティ強化を実施した。調査結果を踏まえ、個人情報保護委員会への報告も行ったとしている。サービスは安全確認とセキュリティ強化作業の完了後、10月7日（水）21時に再開予定とされ、再開後はログイン時にパスワードの再設定を依頼する場合がある。
影響範囲として公表された内容 事実
調査の結果、一部のアカウントで個人情報が第三者に閲覧された可能性が確認された。対象は合計195件で、内訳は会員情報88件、当社従業員等情報107件である。いずれも「閲覧された可能性」であり、閲覧が確定した件数は示されていない。該当する可能性のある利用者にはセレスから個別にメールで連絡しており、個別の案内が届いていない会員については影響は確認されていないと説明されている。クレジットカード情報等の決済関連情報は同社サーバー内で保持していないため、漏えいの事実はないとしている。報道によると、外部への持ち出しや二次利用まで確認されたとは説明されていない。
公表されていない事項 事実
報道によると、不正アクセスに使われた認証情報や脆弱性、攻撃元、侵入経路などの技術的な詳細は今回の発表では示されていない。閲覧された可能性がある個人情報の具体的な項目も公表されていない。会員情報と従業員情報が同じシステムに保存されていたかなどの構成も明らかになっていない。公式発表で示されている時点は、10月5日未明からの不審な挙動の検知であり、侵入が始まった日は公表されていない。公式のニュース一覧に掲載された見出しは10月7日付のお知らせ1件で、詳細は同日付のお知らせ本文（HTMLとPDF）に記載されている。
公表内容から読み取れる点（解釈） 解釈
検知から公表まで2日で、件数の内訳と決済情報の扱いまで示されている点は、初期の説明として情報量があると考えられる。一方、会員88件と従業員等107件が同時に対象になっていることから、複数種類のデータに触れられる経路や権限が関わった可能性もあるが、公表情報だけでは判断できない。対象が「一部のアカウント」とされていることは、限定的な範囲の閲覧だった可能性を示唆するものの、確定ではない。ポイントインカムの累計利用者は500万人以上と報じられているが、これは累計であり現在の会員数ではないため、影響割合の算出はできない。今後の続報で調査範囲や原因が示されるかが、評価の分かれ目になる。
対応
- 封じ込め
- 直ちにサービスの提供を一時停止し、不審なアクセスの遮断、原因の特定、システム全域にわたる緊急点検、緊急メンテナンスおよびセキュリティ強化を実施した。再開後はログイン時にパスワードの再設定を依頼する場合がある。
- 公表の仕方
- 2026年10月7日付で公式お知らせを公表。該当する可能性のある利用者には個別にメールで連絡し、個別案内が届いていない利用者には閲覧の影響は確認されていないと説明している。
- 当局対応
- 個人情報保護委員会へ報告済み
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 不審な挙動の早期検知と、サービス停止を含む即時の封じ込め判断が、被害範囲の限定に重要になる。 | 認証ログ・管理画面操作・DBアクセスの異常検知アラートを整備し、検知から停止判断までの権限者と手順（Runbook）を事前に定める。サービス単位で隔離・停止できる仕組みを用意し、年1回は停止訓練を行う。 |
| 会員情報と従業員情報のように性質の異なる個人データが同一の影響範囲に入ると、対応が複雑になる。 | データ種別ごとにネットワーク・認証基盤・DBアカウントを分離し、最小権限を適用する。管理画面や内部ツールの閲覧権限を定期的に棚卸しし、閲覧ログを一定期間保存する。 |
| 「閲覧された可能性」を判断するには、誰がどのデータを見たかを追えるログが必要になる。 | 個人情報を含むテーブル・APIへのアクセスログ（アカウント、対象ID、件数、送信元IP）を取得し、改ざん耐性のある場所に保存して、不審アクセス時に対象を特定できるようにする。 |
| 原因調査中でも、決済情報の保持有無や対象件数を早く示すと、利用者の不安を減らしやすい。 | 保持データの棚卸し表（データ種別・保存場所・保存期間）を常時更新し、インシデント時に「保持していないもの」を即答できるようにする。公表文のテンプレートに、確定・可能性・未確認を分けて書く欄を設ける。 |
| 再開後にパスワード再設定を求める運用は、認証情報が関わる場合の二次被害防止に有効な手段の一つである。 | 対象アカウント単位でセッション失効とパスワード強制リセットを実行できる仕組みを用意し、多要素認証とログイン時のリスクベース検知（新規端末・異常な試行回数）を導入する。 |
自組織などでの確認項目
- 自組織で、個人情報を含む管理画面やAPIの閲覧ログは、誰が・いつ・何件見たかを後から追える形で保存されていますか。保存期間は十分ですか。
- 自組織で、不審なアクセスを検知してからサービスを止めるかどうかを決める人と基準は決まっていますか。夜間・休日の連絡経路も確認できますか。
- 自組織で、顧客データと従業員データが同じシステムや同じ権限で扱われていませんか。アカウントごとの閲覧範囲を説明できますか。
- 自組織で、決済情報など保持していないデータを即座に説明できるよう、保持データの一覧は最新に保たれていますか。
未解明点
- 不正アクセスの侵入経路（認証情報の悪用か、脆弱性か、その他か）と、侵入が始まった日はいつか。
- 閲覧された可能性がある個人情報の具体的な項目は何か。
- 会員情報88件と従業員等情報107件は同じシステムに保存されていたのか。なぜ両方が対象になったのか。
- 195件のうち、実際に閲覧された件数は確定するのか。外部への持ち出しや二次利用はなかったのか。
- 再開後の状況、再発防止策、調査結果の続報はいつ公表されるのか。
出典
- 1株式会社セレス2026-10-14公式本文確認済
- 2株式会社セレス2026-10-07公式本文確認済
- 3株式会社セレス2026-10-07公式本文確認済
- 4セキュリティ対策Lab(合同会社ロケットボーイズ)2026-10-08報道本文確認済