ANAグループの子会社である全日空商事が提供する法人向けデジタルギフトサービス「選べるe-GIFT」で、第三者による不正アクセスが発生し、契約企業の担当者情報が漏えいした可能性と、一部利用者のギフトが不正に交換された事象が確認されたとして公表した。
事案の詳細
全日空商事（東京都港区）は8月24日、同社が運営する法人向けデジタルギフトサービス「選べるe-GIFT」の管理運用システムに対して、外部の第三者による不正アクセスが確認されたと発表した。不正アクセスは2026年8月11日から12日にかけて行われた。
同社が調査を進める中で、契約企業の担当者の氏名やメールアドレスの一部が記載されたページが、第三者により数分間にわたり閲覧されていたことが判明。これにより、担当者の個人情報が漏えいした可能性があるとしている。漏えいした可能性があるのは、担当者名として登録した情報（氏名、または姓・名のいずれか）、企業名、企業ID、ログインID、メールアドレス（冒頭3文字とドメインのみ）であり、クレジットカードなどの金融情報やパスワードは含まれていない。
また同社は、不正アクセスの影響として、契約企業からギフトを受け取った一部利用者の「選べるe-GIFT」が第三者により不正に交換された事象も確認しており、一部サービスを停止している。契約企業からギフトを受け取った個人（エンドユーザー）の氏名やメールアドレスなどの情報は同社では取得・保持しておらず、今回の件で漏えいする可能性はないとしている。
ギフトの不正交換が確認された契約企業には、事象の内容を個別に連絡し、対応を進めている。同社は、警察への被害申告および個人情報保護委員会への報告を行うとともに、対象となる企業および担当者に対し、同社や「選べるe-GIFT」を装った不審なメールなどに注意するよう呼びかけている。これまでの調査時点では、漏えいした可能性がある個人情報の不正利用などの報告は受けていない。
影響と背景
デジタルギフトは、発行・配布・交換といった一連の手続きがオンラインで完結するため、事業者側のシステムが不正アクセスを受けると、情報漏えいの懸念に加えて、交換処理の悪用といった金銭的被害につながる可能性がある。今回の件でも、契約企業の担当者情報が閲覧されたことで個人情報が漏えいした可能性があることに加え、一部ギフトが不正に交換された事象が確認されており、サービス運営における認証やアクセス管理の重要性を改めて突き付ける形となった。
「選べるe-GIFT」は、企業がキャンペーンの特典や謝礼として顧客や従業員などに配布する用途で利用される法人向けデジタルギフトサービスで、数百社規模の企業が導入している。今回、不正アクセスの対象となったのは同サービスの管理運用システムであり、システムの管理画面や関連ページに対する外部からのアクセスがあったとされているが、現時点で公表されている情報からは、攻撃に用いられた具体的な手法（脆弱性の悪用、認証情報の窃取、ブルートフォース攻撃など）や侵入経路の詳細は明らかにされていない。
同社は、不正アクセス発覚後、管理運用システムの一部機能を停止し、緊急メンテナンスを実施するなどの対応を取っている。詳細な原因究明や再発防止策については調査中としており、今後の公表内容をもって順次明らかにしていくとみられる。
対策・今後の展望
公表内容からは、攻撃に用いられた原因や具体的な侵入経路、実際の被害範囲（不正に交換されたギフトの件数や金額など）の詳細までは明らかにされておらず、現時点では「詳細は現時点で不明」とされている部分も多い。そのため、利用者や取引先が取るべき個別の対応について、同社は不審なメールや連絡への注意喚起など一般的な注意事項を示すにとどまっている。
一方で、同種のオンラインサービスを運用する企業にとっては、情報漏えいと不正利用の双方を想定した備えが欠かせない。まずは、不正アクセスを検知・遮断できる監視体制や、多要素認証などを含む強固な認証基盤を整備するとともに、管理画面や交換処理といった重要な機能へのアクセス権限を最小限に絞ることが求められる。また、交換などの重要処理を不正に実行されないよう、操作ログの取得と保全、異常な操作パターンを検知する仕組みを導入し、インシデント発生時に迅速に調査・連絡対応が行える体制を整えておくことが、被害拡大の抑止につながる。
さらに、エンドユーザーや契約企業の担当者に対しては、サービスを装ったフィッシングメールやなりすまし連絡が発生し得ることを前提に、注意喚起と教育を継続的に行うことが重要となる。今回のように、管理運用システムへの不正アクセスから担当者情報の閲覧・ギフトの不正交換へとつながるケースは、今後も同種サービスで発生するリスクがあるため、事業者側は平時から技術的対策と運用面の両方を強化しておく必要がある。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIの診断やMDR運用の現場では、管理画面や業務用アカウントが「誰が・いつ・何をしたか」を追える設定になっていないケースが目立つ。アラートでは、短時間に多数の操作を行う不審なログインや、通常と異なる場所・端末からのアクセスが繰り返し検知されることが多い。
【平易な解説】例えるなら、ギフトの「引き換え窓口」が外から勝手に開けられ、担当者の名簿を見られたり、正規の手続きを装って交換操作をされるようなものです。つまり、情報が漏れるだけでなく、サービス上の“価値のある処理”自体が悪用され得る、ということです。
【中小企業が今週中にできること】まず、管理画面に入れる人を棚卸しし、不要なアカウントや共有IDがあれば止めてください。次に、ログインや交換など重要操作の記録が残るかを担当者に確認し、残らないなら最小限でも有効化します。最後に、不審な操作を見つけた際の連絡先と、ログを消さずに保全する手順を社内で共有してください。