東証プライム上場のACCESS（証券コード4813）は10月15日、台湾の連結子会社ACCESS AP TAIWAN（以下、AP台湾）が提供する越境EC事業者向け業務支援サービス「CROS」が不正アクセスを受け、取引先企業が運営する通販サービスの利用者の個人情報が流出したと発表した。流出したのはお客様ID15万5,280件、受注ID23万1,998件に加え、クレジットカード情報1,305アカウント分で、このうち4件はセキュリティコードを含むカード情報の全項目が流出した。対象地域は台湾、香港、マカオ、シンガポールで、日本国内の消費者は対象とされていない。
事案の詳細
同社によると、2026年9月11日に「CROS」で利用しているサーバーへの不正アクセスの徴候を検知し、当該サーバーの緊急停止と隔離を実施して調査を開始した。その結果、第三者による不正アクセスにより、サーバーを通じて参照可能だった個人情報や設定情報の一部が不正に取得されたことが判明した。
侵入の起点は、CROSを利用する取引先企業のうち特定の1社にのみ提供していたBI（Business Intelligence）ツールだった。同社は、不正アクセスはこのBIツールのアプリケーションレベルで行われたと判断しており、同ツールから参照可能だったデータベース以外への影響や、CROS本体の基盤システムへの直接の侵入は検出されていないとしている。現時点で、他の取引先企業に関連する個人情報の漏洩は確認されていない。
漏洩が確認された主な情報は次の通り。
- ID関連：お客様ID 15万5,280件、受注ID 23万1,998件。氏名、電話番号、住所、メールアドレス、および関連する受注情報（お客様IDと受注IDは管理単位が異なるため、合算しても人数にはならない）
- クレジットカード関連：延べ1,671件、重複登録・複数注文を突合した後のアカウント件数で1,305件。クレジットカード番号、有効期限、氏名、顧客ID、受注IDが流出し、うち4件はセキュリティコードも含め全項目が流出した。流出したのは、クレジットカード決済が未完了だった受注のカード情報のみとされる
- 決済サービス関連：利用している決済サービスのアカウント情報
- その他：不正メール1万1,441件の送信。侵入者がサーバーから窃取したメール送信サービスの鍵情報を使い、自ら用意した別の宛先リストに送信したもので、漏洩した個人情報そのものが宛先に使われたのではないと同社は判断している
起点となったBIツールを利用していた取引先企業（通販サービス事業者）は日本の個人情報保護委員会への報告を進めており、AP台湾も台湾当局に報告した。通販サービス利用者への通知は、各サービス事業者から行われている。連結業績への影響は軽微と見込んでいるが、精査中としている。
なぜ「セキュリティコードまで流出」が珍しいのか
カード情報の漏洩事案は少なくないが、セキュリティコードを含む全項目がそろって流出するケースは多くない。カード業界のセキュリティ基準であるPCI DSSでは、セキュリティコードは決済の承認後に保存してはならないとされ、多くの事業者はそもそも保持していないためだ。国内でセキュリティコードを含む流出が起きる典型例は、決済画面を改ざんして入力内容を盗み取る「Webスキミング」型の攻撃である。
今回は、決済が完了していない受注についてカード情報がシステム内に残っており、その一部ではセキュリティコードも保持されていた。同社は「決済完了時には従来から保持していない」と説明しており、「決済完了前」という一時的な状態のデータが保護の盲点になったとみられる。番号、有効期限、名義、セキュリティコードがそろうと、オンラインでのなりすまし決済に悪用されるリスクが高まる。
カード情報が流出した場合に必要な対処（利用者向け）
今回の対象は台湾・香港・マカオ・シンガポールの通販サービス利用者だが、現地に在住している日本人や、渡航中・越境ECで現地向けショップを利用した人が含まれる可能性はある。また、同種の事案はどの国のサービスでも起こり得る。カード情報が流出した、またはその可能性があると通知を受けた場合は、次の手順で対応したい。
- カード会社に連絡し、カードの利用停止・再発行（番号変更）を相談する。特にセキュリティコードまで流出した場合は、番号を変えない限りリスクが残る。連絡先は、通知メールやSMSのリンクではなく、カード裏面の電話番号や公式アプリから確認する。
- 利用明細を遡って確認する。少額の見覚えのない請求は、本格的な不正利用の前の「テスト決済」であることがある。海外の加盟店名での請求にも注意する。
- 利用通知を有効にする。カード会社のアプリやメールで、決済のたびに通知が届く設定にしておくと、不正利用に早く気付ける。
- 身に覚えのない請求は、早めに申し出る。多くのカード会社では、不正利用と認められた請求について補償制度を設けているが、届け出までの期間など条件がある。詳細は各社の会員規約を確認する。
- 「お詫び」「返金」を装う連絡に注意する。漏洩した氏名・連絡先・受注情報を使い、本物らしいフィッシングメールやSMSが届くおそれがある。カード番号やセキュリティコード、認証コードを入力・回答してはならない。
事業者が見直すべきこと
- 「決済未完了」データの扱いを確認する：決済完了後のデータは保持していなくても、受注途中・決済エラー・保留中などの中間状態でカード情報が残っていないか、自社と委託先のシステムを点検する。
- BIツールなど分析系の入口を棚卸しする：本番データベースを参照できる分析ツールやレポーティングツールは、業務システム本体ほど厳格に管理されていないことがある。誰が、どの範囲のデータを参照できるかを最小限に絞る。
- メール送信サービスなどの鍵情報を保護する：今回はサーバーから窃取された鍵情報で不正メールが送られた。APIキーや認証情報をサーバー上に平文で置かず、定期的にローテーションする。
- 海外拠点・越境ECの委託先も対象に含める：海外向け販売を外部サービスに委託している場合でも、日本の事業者として個人情報保護委員会への報告義務などが生じ得る。委託先の事故発生時の報告ルートと役割分担を契約段階で取り決めておく。
委託先や外部ツールを起点とした情報漏洩の構造については、「一つの侵入が何十社にも波及する――サプライチェーン経由の情報漏洩が急増する理由」、企業が見直すべき対策の全体像は「情報漏洩ラッシュで企業が今すぐ見直すべき7つのセキュリティ対策」で整理している。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用や脆弱性診断でも、本番システム本体ではなく、後から追加したBIツール、管理画面、外部連携用のAPIといった「周辺の入口」が侵入口になる例は少なくありません。本体のセキュリティ対策が十分でも、周辺ツールに同じ水準の対策が適用されていないことが原因です。
【平易な解説】例えるなら、店舗の正面玄関とレジは厳重に管理しているのに、売上を集計するための裏の事務所の鍵が甘く、そこから伝票や「会計途中のお客さんのカードの控え」を持ち出されたような状態です。決済が終われば控えは処分するルールでも、会計途中の控えが残っていれば狙われます。
【今週中にできること】ECサイトや通販業務を運営している場合は、まず受注・決済の各段階でカード情報がどこに、いつまで保存されているかを委託先に確認してください。次に、本番データベースに接続できるツールやアカウントを一覧にし、不要なものを停止します。利用者の立場では、カードの利用通知を今のうちに有効にしておくことが、最も手軽で効果の高い備えです。
参照: 株式会社ACCESS「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」（2026年10月15日） ／ ACCESS台湾子会社「CROS」、不正アクセスで顧客ID15万5,280件・カード情報1,305アカウント分が流出（セキュリティ対策Lab）