要点
発表された事実
- GMOペイメントゲートウェイ（GMO-PG）がライフカードに提供する「イシュイングサポートサービス」の個別機能で、2026年10月30日（金）に不正なユーザーによる行為が発生し、利用者情報の一部が窃取された可能性があることが判明した（GMO-PGの発表）。
- 対象は69アカウント。内訳は、氏名・メールアドレス・電話番号・住所の一部が63件、Vプリカ番号・Vプリカ専用セキュリティコード・有効期限・氏名が3件、Vプリカ番号の一部が3件（同）。
- ライフカードによると、番号・セキュリティコード・有効期限・氏名が漏えいした3件に不正利用は確認されておらず、10月31日付で退会処理をした。二次被害も確認されていない（ライフカードの続報）。
- GMO-PGは、当該機能は他社向けのイシュイングサポートサービスや決済代行サービスとは別のシステム基盤で運用しており、影響はないとしている（GMO-PGの発表）。
わかっていないこと
- 「不正なユーザーによる行為」の具体的な中身（正規アカウントの悪用か、機能の欠陥の悪用か）
- 63件と3件で取られた情報の範囲が異なる理由
- 再発防止策の内容
関係しそうな既知の手口
- 発表は「不正アクセス」ではなく「不正なユーザーによる行為」と書いており、利用者として正規にアクセスできる機能が悪用された可能性がある。ただし具体的な説明はない（考察）。
概要
- ライフカードのプリペイドカード「Vプリカ」の利用者69人分の情報が、決済代行会社GMO-PGの提供する機能から窃取された。
- ライフカードは10月31日に「委託先での漏えいの可能性」として公表しており、11月2日の続報で委託先がGMO-PGであることと件数を明らかにした。
- 件数は少ないが、そのまま決済に使えるカード情報が含まれていた点が重い。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-30（金） | GMO-PGがライフカード向けに提供する個別機能で、不正なユーザーによる行為が発生（GMO-PG） |
| 10-31 | ライフカードが委託先での漏えいの可能性を公表。カード情報がそろって漏えいした3件を退会処理（ライフカード） |
| 11-02 | GMO-PGとライフカードが件数と内訳を公表（同、GMO-PG）。同日、Vプリカのサービスが再開されたと報じられている（The Forward） |
発表内容の整理
事実（GMO-PG・ライフカードの発表による）
| 漏えい情報 | 対象アカウント数 |
|---|---|
| 氏名、メールアドレス、電話番号、住所の一部 | 63件 |
| Vプリカ番号、Vプリカ専用セキュリティコード、有効期限、氏名 | 3件 |
| Vプリカ番号の一部 | 3件 |
| 合計 | 69件 |
- 対象者にはライフカードを通じて個別に案内する（GMO-PG）。
- GMO-PGは対象サービスの一部を停止し、対策と安全性の確認を進めていると説明した（同）。
考察
番号・セキュリティコード・有効期限・氏名がそろえば、オンライン決済にそのまま使える。ライフカードが該当3件を発表前日の10月31日に退会処理したのは、使われる前に無効化するための措置と読める（考察）。
GMO-PGが「個別機能」「異なるシステム基盤」を強調しているのは、決済代行の本体への影響がないことを加盟店や他の発行会社に示すためだろう。逆に言えば、カード発行会社ごとに作る個別機能は、共通基盤とは別にセキュリティの点検が必要になる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月の注意喚起で、画面操作では実行できない内部APIへの不正なリクエストによる情報の書き換えや権限変更などを、国内で相次ぐ被害の手口として挙げている（JPCERT/CC 注意喚起）。
考察
「不正なユーザーによる行為」という表現からは、攻撃者が利用者として機能に触れ、他人の情報を取得できた可能性が考えられる。JPCERT/CCが挙げるAPI経由の手口と同じかどうかは、発表からは判断できない（考察）。
利用者・運用者がいまできること
- Vプリカ利用者は、ライフカードからの個別案内と、Vプリカ公式サイトのお知らせを確認する。案内を装うメール・SMSのリンクは開かず、公式サイトを自分で開いて照合する。
- 利用履歴に心当たりのない決済がないか確認する。
- 決済代行事業者は、特定顧客向けに作った個別機能も、共通基盤と同じ水準で認可の点検（他人のデータを取得できないか）を行う。