Signal
📡 Signal｜ギフティ子会社に不正アクセス、eギフト約5.5億円分を不正発行
ギフティグループの子会社のシステムが不正アクセスを受け、eギフトが不正に発行された。損失は約 5.5 億円の見込みで特別損失を計上する。情報ではなく価値そのものが抜き取られた事案だ。
ギフティグループ (東証プライム) は10月26日、連結子会社のギフティが運用するシステムの一部が第三者に不正アクセスされ、eギフトが不正に発行されたと開示した。損失は約 5.5 億円の見込みで、2026年12月期の第 4 四半期に特別損失として計上する。
今回抜き取られたのは、ギフトという「価値」そのものだ。攻撃者はシステムを通じてギフトを新しく発行しており、利用者が持つギフトは使われていない。損失は会社の側に出る。
開示から分かること
ギフティグループの適時開示によると、経緯は次のとおりだ。
- 10月25日、システムの脆弱性を突いた第三者の不正アクセスが発生し、そのシステムを経由して eギフトが不正に発行されていたことが判明した
- 同じ25日に脆弱性を特定してシステムを止め、その経路による不正発行を遮断した。このシステムは今後も使わない方針だ
- 対応に伴って一部の eギフトの交換サービスに一時的な支障が出たが、順次解消している
- 個人情報の漏えいは確認されていない。警察への相談・届け出など必要な対応を進める
開示は、利用者が持っている eギフトが不正に使われたものではなく、利用者の資産の減少や毀損も確認されていないと明記している。不正発行による金銭的な損失はグループの側に発生する。ギフティのほかの主要サービスは通常どおり動いており、売上高と営業利益への重大な影響は今のところ見込んでいないという。
「発行する権限」が狙われた
同じ週に表に出た GMO インターネットグループの事案は、顧客の情報の公開を脅しに使う型だった。今回の事案は、システムが持つ「ギフトを発行する機能」を外から使われた点で型が違う。
eギフトは、受け取った人が店頭やオンラインで商品と引き換えられる電子の引換券だ。発行の仕組みに入り込まれれば、攻撃者は換金できる価値を自分で作り出せる。損失の 5.5 億円は、不正に作られた価値の額として、そのまま会社の損益に載る。
ポイントやプリペイドの残高、電子マネーなど、システムの中で価値を「発行」する事業は数多い。発行の権限をどこまで絞り、異常な発行をどれだけ早く止められるかが、情報の守りとは別の守りとして問われる。開示もギフティの再発防止策として、eギフトの発行に関する管理体制と監視体制の強化を挙げている。
国内では企業への攻撃による被害が続き、政府は26日にサイバーセキュリティの関係閣僚会議を開いた (10月27日の記事)。ギフティの事案は、その議論が守るべき対象に、情報だけでなく企業のシステムが生む価値も含まれることを示した。
次に見るもの
確認先は東証の適時開示 (TDnet) に出るギフティグループの続報だ。開示は追加で開示すべき事項が分かれば速やかに知らせるとしており、不正に発行された eギフトのうち実際に使われた額や、5.5 億円の見込みが変わるかが焦点になる。12月期の決算で計上される特別損失の確定額が、この事案の最終的な重さを示す。
ことば
- eギフト — スマートフォンなどで受け取り、店頭やオンラインで商品やサービスと引き換えられる電子のギフト券。企業の販促や個人間の贈り物に使われ、発行元のシステムが券面の価値を管理する。
- 特別損失 — 通常の営業活動とは関係なく、その期に限って発生した損失。営業利益には含まれず、純利益を押し下げる。
- 適時開示 — 上場企業が、投資判断に影響する重要な事実を東京証券取引所の仕組み (TDnet) を通じて速やかに公表する制度。
🔗 一次ソース