📡 Signal｜ACCESS 台湾子会社、BI ツール経由でカード情報1,305件流出

ACCESS (東証プライム 4813) は10月15日、台湾の子会社 ACCESS AP TAIWAN が海外に進出する EC 事業者向けに提供する業務支援サービス「CROS」で不正アクセスがあり、通販サービスの利用者の個人情報が流出したと発表した。お客様 ID 15万5,280件・受注 ID 23万1,998件の氏名や住所に加え、クレジットカード情報1,305アカウント分が含まれる。

侵入の起点は、CROS の取引先のうち1社にだけ提供していた BI (データ分析) ツールだった。漏れたカード情報は、決済が完了していない注文のものに限られる。本体のシステムではなく周辺のツールが入口になり、使い終えていないデータが被害の中身になった。

9月11日の検知から、10月15日の公表まで

開示によると、AP 台湾は9月11日に CROS のサーバーへの不正アクセスの兆候を検知し、サーバーを停止・隔離して調査を始めた。公表までは34日かかっている。

漏洩が確認された情報は次のとおりだ。

• お客様 ID 15万5,280件・受注 ID 23万1,998件 (氏名、電話番号、住所、メールアドレス、受注情報)。対象地域は台湾・香港・マカオ・シンガポール
• クレジットカード情報 延べ1,671件・1,305アカウント (重複を突き合わせた後)。このうち4件はカード番号・セキュリティコード・有効期限・氏名の全項目、残り1,301件はセキュリティコード以外
• 利用している決済サービスのアカウント情報

加えて、サーバーから盗まれたメール送信サービスの鍵を使い、1万1,441件の不正メールが送られた。ACCESS の解析では、送信先は漏れた個人情報ではなく、侵入者が別に用意したリストだった。

入口は1社向けの BI ツール

ACCESS は、不正アクセスは BI ツールのアプリケーションの層で行われ、そのツールから参照できたデータベース以外への影響や、CROS 本体の基盤への直接の侵入は検出されていないとしている。他の取引先に関わる個人情報の漏洩も、現時点では確認されていない。

この経路は、日本の情報セキュリティの調整機関 JPCERT/CC が10月8日に出した注意喚起と重なる。JPCERT/CC は9月前後に国内組織で相次いだ不正アクセスについて、BI ツールや従業員管理システムといった、本来は外部に公開しない社内向けのシステムが侵入されていると指摘した。事例の一つには、BI ツール Metabase の SQL インジェクションの脆弱性を突く攻撃を挙げている。ACCESS は今回の BI ツールの製品名を明らかにしておらず、Metabase との関係は分からない。

同じ15日には、千葉市の酒販店いまでやが、自社で作った Shopify 連携アプリの API トークンが悪用されて顧客情報が抜き取られていたと、流出の第2報で公表している (Signal)。どちらも、店の中心のシステムではなく、横につないだ道具が侵入の入口だった。

決済が終わっていないカード情報を持っていた

開示によれば、決済が完了した注文のカード情報は従来から保持していない。つまり、決済に失敗したり途中で止まったりした注文のカード情報が、そのまま残っていた。

再発防止策として、ACCESS は決済未完了のカード情報自体を保持しないよう CROS のプログラムを修正するとしている。すでに稼働中のシステムでは、全顧客のカード情報にマスク処理をかけた。JPCERT/CC の注意喚起も、法令や契約で定めた保存期間を過ぎたデータや利用目的を終えたデータを残さないよう求めている。持たなければ漏れない、という対策が、今回は後から入った形だ。

ACCESS は、連結業績への影響は軽微と見込むが精査中だとしている。AP 台湾は台湾当局に報告し、BI ツールを使っていた取引先は個人情報保護委員会に報告するなどの対応を進めている。

次に見るもの

確認できる次の一点は、ACCESS の適時開示だ。開示は「決済サービスの秘密鍵の更新」が一部作業中だとしており、その完了と、業績への影響の精査の結果が続報として出るかを見る。

もう一つは、JPCERT/CC の注意喚起 (JPCERT-AT-2026-0030) の更新だ。10月9日に事例が追加されており、BI ツールや API を入口にした事例が今後も足されるかで、同じ型の侵入がどこまで広がっているかが測れる。

ことば

• BI ツール — 売上や顧客のデータを集計・可視化して分析するためのソフト。社内向けに使われることが多く、多くのデータベースを参照できるため、侵入されると被害が広がりやすい。
• セキュリティコード — カード裏面などに印字された3〜4桁の番号。カードを手元に持っていることの確認に使われ、番号と合わせて漏れると不正利用の危険が高まる。
• SQL インジェクション — 入力欄やリクエストに細工したデータベース命令を紛れ込ませ、本来見られないデータを引き出す攻撃。JPCERT/CC の注意喚起は BI ツール Metabase の事例を挙げた。

🔗 一次ソース

• 連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ (ACCESS・2026年10月15日／9月11日の検知、お客様 ID 155,280件・受注 ID 231,998件、カード情報1,305アカウント (全項目4件)、不正メール11,441件、BI ツールが起点、決済未完了分のみ、業績影響は軽微を確認)access-company.com
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT/CC・2026年10月8日公開・9日更新／BI ツールなど社内向けシステムの侵入、Metabase の SQL インジェクション、保存期間を過ぎたデータを残さない対策を確認)JPCERT/CC