要点
発表された事実
- ギフティグループ（東証プライム、590A）の連結子会社ギフティが運用するシステムの一部（以下「当該システム」）に、2026年10月25日、脆弱性を悪用した第三者による不正アクセスがあり、当該システムを経由してeギフトが不正に発行されていたことが判明した（ギフティグループ 適時開示）。
- 第三者がeギフトを「新たに」発行したもので、利用者が持っているeギフトが使われたものではない。利用者の保有資産の減少・毀損は確認されておらず、金銭的な損失はグループ側に発生する。個人情報の漏えいも確認されていない（同）。
- 原因の脆弱性を特定し、10月25日に当該システムを停止して不正発行の経路を遮断した。当該システムは今後も利用を再開しない方針（同）。
- 対応に伴い、一部のeギフト交換サービスに一時的な支障が出たが、順次解消している（同）。
- 損失は現時点で約5.5億円の見込みで、2026年12月期第4四半期に特別損失を計上する見込み。売上高・営業利益への重大な影響は見込んでいない（同）。
- 【2026-10-28追記】ギフティは10月27日、eギフトの利用者向けのお知らせで、利用者が持つeギフトが不正に使われたり残高が減ったりしたことは確認されておらず、受け取ったeギフトはこれまでどおり使えると説明した。個人情報の漏えいも確認されていない。一部のeギフトの交換（受け取り）で一時的に使いにくい状態が出たが、順次解消しているとし、開けない・交換できない場合は問い合わせ窓口に連絡するよう求めた（ギフティ 利用者向けお知らせ）。
わかっていないこと
- 「当該システム」が何か（サービス名や用途）
- 悪用された脆弱性の種類と、攻撃が始まった時期
- 不正発行されたeギフトの件数・ブランド
- 不正発行分が実際に使われたか、取り消しや無効化ができたか
- 支障が出たeギフト交換サービスの範囲
関係しそうな既知の手口
- （考察）発行APIや管理機能の認可の不備を突いて、正規のギフトコードを作らせる手口が考えられる。脆弱性の種類は公表されていない。
概要
- 電子ギフト「eギフト」を手がけるギフティのシステムの一部が脆弱性を突かれ、攻撃者にeギフトを新しく作られた。
- 利用者が持っているギフトが盗まれたのではなく、ギフティが「発行元」として本物のギフトを勝手に発行させられた形で、損失は約5.5億円の見込み。
- 個人情報の漏えいは確認されておらず、当該システムは止めたまま再開しない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-25（日） | 当該システムの脆弱性を悪用した不正アクセスが発生し、eギフトの不正発行が判明。原因の脆弱性を特定し、同日中に当該システムを停止して経路を遮断（適時開示） |
| 10-26（月） | ギフティグループが適時開示で公表。損失約5.5億円、第4四半期に特別損失を計上する見込み（同） |
| 10-27（火） | ギフティが利用者向けのお知らせを公開。保有するeギフトはこれまでどおり使え、不正使用や残高の減少は確認されていないと説明（ギフティ 利用者向けお知らせ） |
発表内容の整理
事実（ギフティグループ 適時開示）
| 項目 | 内容 |
|---|---|
| 被害を受けたシステム | ギフティが運用するシステムの一部（名称は非公表） |
| 確認された手口 | 当該システムの脆弱性を悪用した不正アクセスと、それを経由したeギフトの新規不正発行 |
| 利用者への影響 | 保有するeギフトの不正使用・保有資産の減少や毀損は確認されていない |
| 個人情報 | 漏えいは確認されていない |
| 業務への影響 | 一部のeギフト交換サービスに一時的な支障（順次解消）。その他の主要サービスは通常どおり稼働 |
| 当該システム | 10月25日に停止。今後も再開しない方針 |
| 損失 | 約5.5億円の見込み（2026年12月期第4四半期に特別損失） |
| 今後 | 警察への相談・届出、影響範囲の確認、eギフト発行に関する管理体制・監視体制の強化 |
事実（報道）
- 時事通信は、広報担当者の話として、不正に発行されたギフト券が使われていないか調査し、可能なら取り消しなどの措置を取ると報じた。見出しでは「最大5.5億円分」としている（時事通信）。
- 名古屋テレビ（メ～テレ）とテレビ朝日系（ANN）は、実際に使われたかどうかは調査中と報じている（メ～テレ、ANN（Yahoo!ニュース））。
- 共同通信は、ギフティがプログラミング言語「PHP」の脆弱性とは無関係と説明していると報じた（東京新聞（共同通信））。10月21日に公表されたPHPの脆弱性についてはPHP2Shellの記事を参照。
事実（別件：ブラストメール）
- ギフティは、メール配信サービス「ブラストメール」への不正アクセス（既存記事）に関して、旅先納税ID、e街プラットフォーム、giftee Benefitのメール配信用の登録情報が漏えいした可能性があると10月22日に公表していた。10月26日の第3報で、運営会社が確定した漏えい344件に同社の契約は含まれていないと確認したとしている（ギフティ 第3報）。今回の不正発行とは別の事案で、両者の関係について同社は何も述べていない。
考察
今回の特徴は、データを盗まれたのではなく「価値そのもの」を作られた点にある。eギフトは発行された時点で店舗で使える金券に近く、発行元のシステムが乗っ取られると、利用者のアカウントには何も起きないまま事業者側に損失が積み上がる（考察）。
1日のうちに発覚・停止まで進んでいる一方で約5.5億円に達しており、短時間に大量・高額の発行が行われた可能性がある。発行の上限額や異常な発行量を止める仕組みがあったかどうかは公表されていない（考察）。
当該システムを「直して再開」ではなく「再開しない」としていることから、古い、あるいは利用の少ない発行経路だった可能性も考えられるが、何のシステムかは明らかにされていない（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 全日空商事は2026年8月、法人向けデジタルギフト「選べるe-GIFT」の管理運用システムが第三者にアクセスされ、一部の顧客でギフトが不正に交換されたと公表している（Security NEXT）。
- JPCERT/CCは10月8日（9日更新）の注意喚起で、国内で相次ぐ不正アクセスの類型として、標的ごとに既知の脆弱性を探して悪用を試みるもの（ケースA）や、API経由の不正な操作（ケースB）などを挙げている（JPCERT/CC）。
考察
ギフトやポイントのように換金しやすい価値を発行・交換するシステムは、個人情報を狙う攻撃とは別の動機で狙われる。発行APIの認可、発行量・金額の上限、異常検知が弱いと、侵入から短時間で大きな損失になる（考察）。
利用者・運用者がいまできること
- 利用者が持っているeギフトへの影響は確認されていないため、利用者側で特に必要な対応は発表されていない。交換や利用がうまくいかない場合は、公式の案内を確認する。
- 【2026-10-28追記】ギフティは、これまでどおり使えている場合は手続きは要らないとしている。受け取ったeギフトを開けない、交換・利用ができないときは、ギフティの問い合わせ窓口に連絡する（ギフティ 利用者向けお知らせ）。
- 本件に便乗した「補償」「再発行」をかたる不審なメールやSMSのリンクは開かない。
- ギフト・ポイント・金券を発行するシステムの運用者は、発行APIの認可と、1回・1日あたりの発行上限、通常と違う発行量のアラートがあるかを点検する。使われていない発行経路や古い連携システムが残っていないかも確認する。
参考リンク
- ギフティグループ「当社連結子会社の一部システムへの不正アクセスに伴うeギフトの不正発行および特別損失計上見込みに関するお知らせ」（2026年10月26日）
- ギフティ「【eギフトをご利用のお客様へ】当社システムへの不正アクセスに関するお知らせ」（2026年10月27日）
- 日本経済新聞「ギフティグループ、不正アクセスで5.5億円損失 eギフト不正発行」（2026年10月26日）
- 時事通信「不正アクセスでギフト券発行＝最大5.5億円分―ギフティ」
- 東京新聞（共同通信）「デジタルギフトに不正アクセス 5.5億円分を発行」（2026年10月26日）
- 名古屋テレビ「ギフティのデジタルギフト 不正に5.5億円発行」（2026年10月27日）
- ギフティ「【第3報】株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について」（2026年10月26日）
- Security NEXT「eギフトサービスのシステムが侵害、不正交換も - 全日空商事」
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」