2026年10月15日、株式会社ACCESSは、台湾の子会社ACCESS AP TAIWAN（以下、AP台湾）が提供するEC事業者向けの業務支援サービス「CROS」で不正アクセスがあり、個人情報が外部に流出したと公表しました[1][2]。漏えいが確認されたのは、AP台湾の取引先1社が運営する通販サービスを利用した人の情報で、お客様ID 15万5,280件、受注ID 23万1,998件としています[1]。項目は氏名・電話番号・住所・メールアドレスと関連する受注情報で、対象地域は台湾・香港・マカオ・シンガポールです。
このほか、クレジットカード情報1,305アカウント分、利用している決済サービスのアカウント情報も漏えいしたとしています[1]。さらに、サーバーから盗まれた「メール送信サービスの鍵情報」を使って、第三者に1万1,441件の不正なメールが送られたことも判明したとしています[1]。カード情報の多くはセキュリティコードを含まないとされていますが、それで安心とは言い切れません。
「自分の名前や電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、今回の事故で認証が関わった場所を、公開情報から整理しました。事故の経緯は短くとどめます。
この記事の要点
- 通販サイトや決済サービスを名乗り、名前・住所・注文内容まで正しく書いた連絡が届くおそれがあります。
- 対象のお店を使った人は、届いたメールやSMSのリンクから入力せず、公式のサイトやアプリから確かめると安心です。
- 会社側がまず見直したいのは、人のログインだけでなく、BIツールや送信サービスの「鍵」の扱いです。
なお、本記事は公表文や公式サイトなど、公開情報だけをもとにしています。サービスの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。
何が起きたか（要約）
公表文[1]によると、概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 検知 | 2026年9月11日、CROSで使うサーバーへの不正アクセスの徴候を検知し、サーバーを緊急停止・隔離 |
| 経路 | CROSの取引先のうち、特定の1社にだけ提供していたBI（Business Intelligence、データを集計・分析する道具）ツールが起点。不正アクセスはBIツールのアプリケーションの段階で行われたと判断しています |
| 件数 | お客様ID 15万5,280件、受注ID 23万1,998件。クレジットカード関連は延べ1,671件・1,305アカウント |
| 漏えいした項目 | 氏名、電話番号、住所、メールアドレス、関連する受注情報。カード番号・有効期限・氏名など（セキュリティコードまで含むのは4件）。決済サービスのアカウント情報 |
| カード情報の範囲 | カード決済が完了していなかった受注のものだけ |
| 不正メール | 1万1,441件。漏れた個人情報ではなく、侵入者が用意した別の宛先リストに、盗んだ送信サービスの鍵情報で送ったと判断しています |
| 他への影響 | 他の取引先に関わる個人情報の漏えいは確認されておらず、CROS本体の基盤への直接の侵入も検出されていないとしています |
公表文によると、通販サービスの利用者への通知は、取引先の事業者から行っています[1]。
漏れた情報で、何ができてしまうか
今回の情報は、利用者から見れば「いつも使っているお店」の注文の記録です。CROSという名前を知らない人がほとんどでしょう。
| 漏れた情報 | 攻撃者にとっての使い道（一般的に考えられるもの） |
|---|---|
| 氏名＋住所＋電話番号＋受注情報 | 買った物や届け先まで正しく書いた「ご注文の件で」という連絡を送れる。本物との見分けがつきにくくなる |
| カード番号＋有効期限＋氏名 | 決済が終わっていない注文の情報で、「決済が完了していません」とカード情報の再入力を求める偽の案内の材料になりえます |
| 氏名＋電話番号 | 名前入りのSMSを送れる。送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[6] |
| メールアドレス | ログインIDに使われていれば、他のサービスで漏れたパスワードと組み合わせて次々に試す「パスワードリスト攻撃」の材料になる |
| 送信サービスの鍵情報 | 本物の送信の仕組みから、迷惑メールや偽の案内を送れる。今回は実際に1万1,441件が送られています[1] |
大事なのは、最後の行です。今回は「人のパスワード」ではなく、システム同士がつながるための鍵が盗まれ、その鍵で実際にメールが送られました。
今回の事故で認証が関わる場所
公表文と公式サイトで確認できた範囲で並べました。
| 場所 | 今の方式（公開情報で確認できた範囲） | 漏れた情報との関係 | 狙われやすさ |
|---|---|---|---|
| BIツール（取引先1社向け） | ログインの方式は確認できず。今回の不正アクセスの起点で、セキュリティを強化したうえで再稼働する予定[1] | ここから、参照できたデータベースの情報が取られた | 高 |
| メール送信サービスの鍵 | サーバーから窃取され、不正メールに使われた。無効化・更新済み[1] | 鍵があれば、本物の仕組みから送れてしまう | 高 |
| 決済サービスのアカウント・秘密鍵 | アカウント情報が漏えい。秘密鍵は一部更新済み・一部作業中[1] | 決済の仕組みに入る手がかりになりうる | 高 |
| データベースのパスワード | CROS全体を一時停止して変更（復旧済み）[1] | 同じ鍵で他の取引先のデータに届く形だったかは確認できず | 中 |
| CROSの業務画面（事業者・運用担当） | ACCESS APの自社開発の通販システム[3]。日本からも現地からも使えるASPとして提供（2018年時点の記事[4]）。ログインの方式は確認できず | 公表文では、基盤への直接の侵入は検出されていないとしている | 要確認 |
| 通販サイトの購入者ログイン | 取引先が運営。ログインの方式は確認できず | 氏名・メールアドレス・電話番号が漏れた | 要確認 |
| 問い合わせ窓口での本人確認 | 確認できず | もし氏名・電話番号・注文内容が合えば本人と見なす運用なら、今回漏れたのはその組み合わせ | 要確認 |
※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。
会社がまず見直すとよい所（優先順）
公表文の再発防止策には、BIツールのセキュリティ強化、決済が終わっていないカード情報を持たない形への修正、本社の専門家による支援が挙げられています[1]。一方で、多要素認証など、ログインや鍵の扱いを変えるという記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。
- 一部の取引先だけに出している道具の入口を洗い出す。今回の起点は、1社にだけ提供していたBIツールでした。本体の外にある道具ほど、誰がどの方式で入れるかを一覧にしておく価値があります。
- サーバーに置いた鍵を、取られても使いにくい形にする。送信サービスや決済サービスの鍵は、置き場所・使える範囲・取り替えの手順を決めておく考え方です。
- 利用者の側の「本人確認」を見直す。取引先の窓口やログインで、氏名・電話番号・注文内容が合えば本人とする形になっていないかを確かめます。
認証の観点から：「知っている」と「持っている」は違う
今回、15万件を超える氏名と電話番号が漏れました。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。
前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。注文の確認や登録情報の変更のように「本人かどうか」を確かめる場面ほど、「知っているか」から「持っているか」へ土台を移すことが効いてきます。
SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[5]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。
当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。
今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。
出典
- 株式会社ACCESS「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」（2026年10月15日）https://www.access-company.com/files/2026/10/n261015.pdf
- ACCESS AP TAIWAN「不正アクセスの発生及び個人情報漏洩に関するお知らせ」（2026年10月15日）https://ap.access-company.com/20261015infosec/
- ACCESS AP 公式サイト（2026年10月18日取得）https://ap.access-company.com/
- ECのミカタ「台湾向けリピート通販支援サービス「CROS」が台湾有数の健康食品メーカーのサイトに導入」（2018年4月17日）https://ecnomikata.com/ecnews/18582/
- NIST SP 800-63B Rev.4（2025年8月）§3.1.3.3 https://pages.nist.gov/800-63-4/sp800-63b.html
- ソフトバンク 送信元が偽装されたSMSに関するご注意（2020年3月4日掲載、2020年12月3日更新）https://www.softbank.jp/mobile/info/personal/news/support/20200304a/
