ベネフィット・ワン「トク買」 ― 委託先への不正アクセスで会員情報が漏えい

要点

発表された事実

株式会社ベネフィット・ワンは2026年10月28日、クレディセゾン会員向けに提供する「トク買」で、業務委託先の株式会社フォレステックが運用するシステムが不正アクセスを受け、会員の個人情報が外部にダウンロードされたと公表した（ベネフィット・ワン）。
不正アクセスは10月14日13時45分に始まり、10月20日14時5分まで断続的に繰り返された。フォレステックは10月21日10時30分にその一部を検知し、ベネフィット・ワンは同日17時にサービスを止めた（同）。
漏えいした項目は氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費徴収の決済処理に使う管理番号（カード番号ではない）。対象は29,465人で、退会者を一部含み、今後変わる可能性がある（同）。
調査の過程で、ベネフィット・ワンが決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあると判明した。管理番号と組み合わせると会費決済の不正処理ができる可能性があったが、10月26日に認証関連情報を変更し、現在はこの経路で不正処理はできない。不正な決済処理は確認されていない（同）。
カード情報は決済代行事業者が管理しており、不正アクセスは及んでいない。クレディセゾンが管理するシステムからの漏えいでもない（同）。
クレディセゾンとUCカードも同日、会員向けに本件を案内している（クレディセゾン、UCカード）。

わかったこと

【2026-11-10追記】ベネフィット・ワンは11月9日の第二報で、追加調査の中で、フォレステックの再委託先オフィスタンデムがシステム開発・保守に使うクラウドサービスへの不正アクセスが判明したと公表した。10月19日18時5分にクラウドサービスを使うためのAPIキーが流出し、10月21日22時に再委託先が検知して無効化した。このクラウドサービス上にクレディセゾン「選べるゴールド優待」の利用者の情報が保存されており、漏えいを確認した（ベネフィット・ワン第二報（PDF））。
【2026-11-10追記】漏えいの内訳は、氏名・フリガナ・性別・生年月日・電話番号・メールアドレス・郵便番号と各種番号を含む2,617人、同様の情報で顧客識別番号を含まない5人、お客様番号とクレディセゾン顧客識別番号のみ42,358人、顧客識別番号のみ153,680人で、重複を除き計198,660人（一部退会者を含む）。カード番号・有効期限・セキュリティコードは保有しておらず漏えいはない。11月9日時点で不正利用などの被害は確認されていない（同、クレディセゾン 11月9日）。
【2026-11-10追記】「選べるゴールド優待」は10月22日から予防的に停止しており、再開は原因究明と再発防止策の完了後の予定。第三者の専門調査機関による調査と警察への相談を進めている（ベネフィット・ワン第二報（PDF））。

わかっていないこと

フォレステックのシステムに入られた手口と、10月21日の時点で把握できなかった追加の不正アクセス（10月24〜25日に検知）の中身
決済連携用の認証関連情報が、なぜ委託先のシステムから取得できる状態にあったか
フォレステックが運用する他のサービスや他の委託元への影響（【2026-11-10追記】第二報で、再委託先のクラウドサービス経由で「選べるゴールド優待」の利用者198,660人分の漏えいが判明。トク買への侵入との関係は書かれていない）
サービスの再開時期（【2026-11-10追記】選べるゴールド優待も含め、原因究明と再発防止策の完了後の予定で、時期は未定）

関係しそうな既知の手口

（考察）JPCERT/CCは、国内で相次ぐ不正アクセスの手口として、設定ファイルやバックアップの窃取や、他のシステムの侵害で盗んだAPIキーの使用を挙げている（JPCERT/CC）。今回の「認証関連情報」がどこにどう保存されていたかは公表されていない。

概要

クレディセゾン会員向けの優待サービス「トク買」で、運用を委託されたフォレステックのシステムに約1週間、断続的に不正アクセスがあり、会員約3万人の個人情報が外部にダウンロードされた。
決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあり、会費の決済を不正に処理できる状態だったが、10月26日の変更で塞がれた。
カード情報は別の決済代行事業者が持っており、漏えいはない。サービスは止まったままで、原因は調査中。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-14（水）13:45	フォレステックで不正アクセスが発生。以降10月20日14:05まで断続的に繰り返される（ベネフィット・ワン）
10-21（水）10:30	フォレステックが不正アクセスの一部を検知（同）
10-21（水）11:40	ベネフィット・ワンがフォレステックから報告を受ける（同）
10-21（水）17:00	対象サービス（トク買）を一時停止（同）
10-23（金）	個人情報保護委員会へ速報（同）
10-24（土）〜25（日）	フォレステックが、21日時点で把握していなかった不正アクセスを追加で検知（同）
10-25（日）18:50	第二回目の報告（同）
10-26（月）	決済システムとの連携に使う認証関連情報を変更（同）
10-27（火）19:00	第三回目の報告。認証関連情報の一部が漏えいしたおそれを認識（同）
10-28（水）	現在はこの経路で不正処理ができないことを確認。公表（同）
11-09（月）	第二報。再委託先オフィスタンデムのクラウドサービスで10月19日にAPIキーが流出し、「選べるゴールド優待」の利用者198,660人分の漏えいを確認したと公表（ベネフィット・ワン、クレディセゾン）

発表内容の整理

事実（ベネフィット・ワン、10月28日）

項目	内容
対象サービス	トク買（株式会社クレディセゾン会員向けサービス）
侵入されたシステム	業務委託先の株式会社フォレステックが運用するシステム
対象人数	29,465人（退会者を一部含む。今後変動の可能性あり）
漏えいした項目	氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費徴収のための決済処理に使う管理番号（登録内容により異なる）
漏えいのおそれ	決済システムとの連携に使う認証関連情報の一部
含まれない情報	カード番号、有効期限、セキュリティコード（決済代行事業者が管理し、不正アクセスは及んでいない）
対応	サービス停止、判明した経路の遮断、委託先との共同調査、第三者の専門調査機関による調査、個人情報保護委員会への報告、警察への相談
再開	原因究明と再発防止策の実施後（時期未定）
窓口	security-support@benefit-one.co.jp

会費の決済システムは、同社が会費を徴収する目的に限られ、第三者が金銭を得られる仕組みではないとしている。10月14日から認証情報を変更するまでの期間に、本件が原因とみられる不正な決済処理はなかった（ベネフィット・ワン）。

考察

検知は最初の侵入から約1週間後で、そのあとも報告のたびに不正アクセスが追加で見つかり、決済連携の認証情報の件がわかったのは最初の報告から6日後だった。委託先の検知と報告に頼る形では、委託元が被害の全体を早くつかむのが難しいことがよくわかる経緯だ（考察）。

決済連携の認証情報が委託先のシステムに置かれていたこと自体は、会費の徴収を委託先のシステムで回していたなら不自然ではない。ただ、会員情報と同じ場所から取れたのなら、取られたときの影響が一段大きくなる。同社が早めに認証情報を変えたのは、その影響を限定する対応だった（考察）。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは、国内で相次ぐ不正アクセスの類型として、標的ごとに既知の脆弱性を探して悪用を試みるもの、機器の管理不備を突いた環境設定ファイルやバックアップファイルの窃取、他のシステムの侵害で窃取したAPIキーを使ったAPIへの不正な操作などを挙げている（JPCERT/CC）。

考察

フォレステックへの侵入の手口は公表されておらず、この類型に当たるかはわからない。追加の不正アクセスが何度も見つかっている点から、侵入者が一度きりでなく繰り返し戻ってきていたことはうかがえる（考察）。

利用者・運用者がいまできること

トク買を使っていた（退会済みを含む）セゾン・UCカード会員は、ベネフィット・ワンからのメールを確認する。ベネフィット・ワン、クレディセゾン、フォレステックを名乗る連絡でカード番号やパスワードを聞かれても答えない。
カードの利用明細に見覚えのない請求がないか確かめる（カード情報は漏えいしていないとされているが、なりすましの連絡を受けたときの確認材料になる）。
会員サービスの運用を委託している企業は、委託先に置いている決済連携などの認証情報を洗い出し、侵入の報告があった時点で、調査結果を待たずに変更できるようにしておく。

参考リンク

原文をGitHubで読む ↗