要点
発表された事実
- ギフティは2026年11月12日、会員情報の管理とログイン認証に利用しているプリズマティクス株式会社のサービス「prismatix」で、第三者による不正アクセスが発生したと発表した（ギフティ）。
- 影響拡大の防止と安全性の確認のため、11月11日22時ごろから個人向けサービス「giftee」の主要機能を一時停止している。再開時期は未定（同）。
- 「giftee」の会員情報の一部が漏えいした可能性があり、プリズマティクスとともに漏えいの有無と影響範囲を調べている（同）。
- prismatixの導入事例によると、ギフティは2020年12月に「prismatix認証サービス」にクレジットカード情報の保有機能を加えて導入し、ブラウザとネイティブアプリからのログインに使っている（プリズマティクス 導入事例）。
- 本記事執筆時点で、プリズマティクスのニュースページに本件の発表は見当たらなかった（prismatix ニュース）。
わかっていないこと
- prismatix側で何が起きたのか（侵入経路、原因、発生時期）。
- 漏えいした可能性のある会員情報の項目と件数。導入事例にあるクレジットカード情報保有機能の情報が含まれるかどうか。
- prismatixを使う他の事業者への影響。
- 「giftee」の再開時期と、再開時にパスワード再設定などが求められるか。
関係しそうな既知の手口
- （考察）ギフティでは10月25日にも、別のシステムの脆弱性を突かれeギフトが不正発行された（ギフティ ― システムの脆弱性を突かれeギフトを不正発行された）。今回は同社が外部サービスと説明する認証基盤で起きており、両者の関係は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2020-12 | ギフティが「prismatix認証サービス」を導入 | プリズマティクス 導入事例 |
| 2026-10-25 | 別件：ギフティのシステムの一部に不正アクセス、eギフトが不正発行 | ギフティ |
| 2026-11-11 22時ごろ | 「giftee」の主要機能を一時停止 | ギフティ |
| 2026-11-12 | ギフティがprismatixへの不正アクセスとサービス停止を公表 | 同 |
発表内容の整理
事実（ギフティの11月12日の発表による）
| 項目 | 内容 |
|---|---|
| 不正アクセスを受けたもの | プリズマティクスの「prismatix」（会員情報の管理・ログイン認証に利用） |
| 影響 | 「giftee」の主要機能を一時停止（11月11日22時ごろから） |
| 情報 | 会員情報の一部が漏えいした可能性。有無と範囲を調査中 |
| 再開 | 未定。安全性を確認でき次第告知 |
出典：ギフティ「外部サービスへの不正アクセスに伴う「giftee」サービスの一時停止に関するお知らせ」（2026-11-12）
考察
- 認証基盤は、ログインのたびに全会員の認証情報に触れる仕組みであり、そこが侵害されたと判断すれば、サービス全体を止めるのは妥当な初動といえる。一方で、外部の認証サービスに依存していると、原因の特定や再開の判断を自社だけでは進められない。
- prismatixは会員・ポイント管理などを複数の事業者に提供している。ギフティ以外の利用企業への影響があるかどうかは、プリズマティクス自身の発表を待つ必要がある。
- ギフティの事例ページでは、prismatix側にクレジットカード情報を保持する機能も入れたと説明されている。漏えいの可能性がある「会員情報の一部」にカード関連の情報が含まれるかは、利用者にとって最も重要な点で、続報で確認したい。
利用者・運用者がいまできること
- 利用者：giftee・ギフティを名乗るメールやSMSのリンクは開かず、公式サイトで状況を確認する。同じパスワードを他のサービスで使っているなら変更しておく。
- 利用者：giftee に登録したクレジットカードの利用明細を確認する（カード情報の漏えいは公表されていないが、念のため）。
- 運用者：外部の認証基盤（IDaaS）を使っている場合、提供元に侵害が起きたときの連絡経路、切り離し手順、再開判断の基準を契約や手順書で決めておく。