GMOペイメントゲートウェイは2026年11月2日、ライフカードに提供する「イシュイングサポートサービス」の個別機能で、2026年10月30日に不正なユーザーによる行為が発生し、利用者情報の一部が窃取された可能性があると発表した。対象は、ライフカードのチャージ式プリペイドカード「Vプリカ」に関する69アカウント分の情報。
事案の詳細
GMOペイメントゲートウェイは、クレジットカード会社などに向けてカード発行に関する一部業務を代行する「イシュイングサポートサービス」を提供している。今回、このサービスのうちライフカード向けの個別機能で、2026年10月30日に不正なユーザーによる行為が発生し、利用者情報の一部が窃取された可能性があることが判明した。
対象は69アカウント分で、内訳は、氏名、メールアドレス、電話番号、住所の一部が63件、Vプリカ番号、Vプリカ専用セキュリティコード、有効期限、氏名が3件、Vプリカ番号の一部が3件だった。
このうち3件では、クレジットカード番号に相当するVプリカ番号、専用セキュリティコード、有効期限、氏名が窃取された可能性がある。ライフカードは、この3件について不正利用を確認しておらず、2026年10月31日付で退会処理を行った。対象者にはライフカードが個別に連絡する。
影響と背景
今回の事案は、ライフカード向けに提供しているイシュイングサポートサービスの個別機能で発生した。GMOペイメントゲートウェイは、この機能を他の顧客向けサービスとは異なるシステム基盤で運用しており、他の顧客への影響はないと説明している。決済代行サービスを含む他のサービスも異なるシステム基盤で運用しており、影響はないとしている。
Vプリカは、ライフカードが提供するチャージ式のVisaプリペイドカードで、ネットショッピングなどに利用できる。番号、専用セキュリティコード、有効期限などの情報を扱うサービスでは、アクセス制御や利用状況の監視が重要になる。
対策・今後の展望
GMOペイメントゲートウェイとライフカードは、対象サービスの一部を停止し、対策と安全性の確認を進めている。ライフカードは、安全性の確認が完了した後、サービスの再開について告知する予定としている。対象者には、漏えいした可能性のある情報に応じて、ライフカードが個別に案内する。
CSRIからのアドバイス
決済やカード発行に関わる業務支援システムでは、特定の顧客向けに用意した個別機能が入口となり、利用者情報の漏えいにつながることがある。機能ごとに扱うデータが異なるため、個人情報や番号情報を扱う箇所ほど、アクセス制御や監視の設計が重要になる。
例えるなら、ネット上の「受付窓口」に不正な来訪者が入り込み、名簿やカード情報に触れられる状態になったようなものだ。氏名や連絡先に加え、番号やセキュリティコード、有効期限がそろうと、第三者による不正利用につながるリスクが高まる。
まず自社のサービスで、個人情報や決済に関わる番号情報を扱う画面・API・管理機能を洗い出し、どの担当が確認するかを決める。次に、対象機能を一時停止できる手順と連絡先を担当者に共有する。最後に、取引やアクセスの記録が残る設定になっているかを確認し、異常時に追跡できる状態にしておく。
参照: GMOペイメント、決済支援システムで「不正なユーザーによる行為」 「Vプリカ」69件漏えい、3件はセキュリティコードも