概要

2026年9月11日にサーバーへの不正アクセスの徴候を検知し緊急停止・隔離した。調査の結果、特定の取引先1社に提供するBI（データ分析）ツールが侵入の起点と判明。氏名、電話番号、住所、メールアドレス、受注情報などが流出し、カード情報は延べ1,671件（重複突合で1,305アカウント分）で、うち4件はセキュリティコードを含む。対象は決済未完了の注文に限られる。またメール送信サービスの鍵情報が盗まれ、不正メール1万1,441件が送信されたが、送信先は侵入者が別途用意したリストと判断されている。他の取引先関連の個人情報漏洩やCROS本体基盤への直接侵入は検出されていない。CROS全体は復旧済み。

経緯

経緯情報は未登録です。

原因

特定の取引先1社向けに提供していたBI（データ分析）ツールが侵入の起点となり、サーバーへ不正アクセスされた。メール送信サービスの鍵情報も窃取された。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

155,280

サービス停止

あり

金銭的被害

不明

対象システム

CROS、取引先向けBIツール、メール送信サービス

漏洩した情報

• 確認済み氏名
• 確認済み電話番号
• 確認済み住所
• 確認済みメールアドレス
• 確認済み受注情報（受注ID23万1,998件）
• 確認済みクレジットカード情報（1,305アカウント分、うち4件はセキュリティコード含む）
• 確認済みメール送信サービスの鍵情報

台湾・香港・マカオ・シンガポールの通販利用者の顧客ID15万5,280件、受注ID23万1,998件、カード情報1,305アカウント分が流出。窃取された鍵情報で不正メール1万1,441件が送信された。CROS全体を一時停止した。

対応

不正アクセスの徴候を検知後、サーバーを緊急停止・隔離。認証情報の更新などを実施し、CROS全体を復旧。利用者への通知は取引先のサービス事業者から行っている。

• サーバーの緊急停止・隔離
• 認証情報の更新
• CROSの復旧
• 決済未完了のカード情報を保持しないよう改修
• 取引先経由での利用者への通知

教訓・対策

• 取引先個別に提供する周辺ツールも侵入起点となるため、本体同様のセキュリティ管理が必要
• 不要なカード情報（決済未完了分・セキュリティコード）を保持しない設計にする
• 外部サービスのAPIキー等の鍵情報の保護と速やかなローテーション

参考資料

1. ACCESS台湾子会社で情報漏洩 顧客ID15万5,280件、カード情報1,305アカウント分が流出
   サイバーセキュリティ.com公開日: 2026-10-15報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社ACCESS

関連するインシデント

関連付けられたインシデントはありません。