Yeny ― API接続設定の不備で会員の電話番号が漏えい
TISインテックグループのYenyは11月12日、API接続設定の不備から会員の電話番号と同社固有の会員IDが漏えいしたと発表した。対象は「ultra pay カード」と「PayBlend」系の3サービスで計1,332,505件（退会者を含む）。接続先の事業者からの不審なAPIコールの連絡で発覚した。
← タグ一覧へ
タグ / 対象技術
決済
すべての面から33件。公開日の新しい順。（クレジットカード・後払い決済・決済代行・プリペイド・口座情報・銀行口座・eギフト・デジタルギフト・ポイント のタグが付いた記事を含みます）キーワードと組み合わせて探す →
SMBC日興証券 ― 持株会管理システムに不正アクセス、会員情報が漏えい
SMBC日興証券が持株会事務の受託業務で使うシステムに11月9日、不正アクセスがあり、持株会の会員最大56,487名の氏名・住所・投資銘柄・持分残高・配当金・振替先口座情報などが漏えいした。電話番号とメールアドレスはシステムに登録がなく対象外。
ソフト99 ― 問い合わせフォームから不正ファイルを置かれ情報漏えいの可能性
ソフト99公式オンラインショップで、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、外部から命令を送れるファイルを置かれてサーバー内の調査や設定ファイルの読み取りをされた。会員・購入者最大136,968人の氏名・住所・購買情報やカード番号下4桁・有効期限・名義が流出した可能性がある。
NTTデータ・住友生命 ― Vitality申込システムから利用者情報が漏えい
NTTデータが住友生命から受託する「住友生命Vitality体験版・企業型」「Vitalityスマート」の申込サービスに不正アクセスがあり、現・元利用者約8万名の氏名・住所・電話番号・生年月日・メールアドレスのいずれかが漏えいした。約1,000名は一部マスキング済みのカード番号も含む。
シェアフル ― 社内管理システムに不正アクセス、利用者情報流出の可能性
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
よーじや ― 会員情報取得APIを不正利用され会員情報が流出
よーじやグループが使う会員情報管理システムの会員情報取得APIが、API認証キーを使って外部から不正に利用され、131,557名分（最大134,344名）の氏名・住所・電話番号・生年月日・購買統計情報などが取得された。11月7日未明に確認し、キーを無効化した。
Crédit Mutuel Arkéa ― 委託先経由で銀行自身の口座から不正送金
仏協同組合銀行グループのCrédit Mutuel Arkéaで、攻撃者が委託先のプラットフォームを経由して侵入し、銀行自身の口座から他行への送金を実行した。ZachXBTが指摘した約1億1800万ユーロ（1億3300万ドル）について銀行は「桁は正しい」とし、顧客の資産への影響はないと説明している。資金はステーブルコインを経てMoneroへ換えられたと報じられている。
ステップゴルフ ― 業務システムからDBのバックアップが漏えいした可能性
インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、会員・無料体験申込者の氏名・住所・銀行口座情報・レッスンカルテ・顔写真など最大21.5万件が漏えいした可能性が極めて高いと発表した。口座情報は暗号化せずに保管していた。
エディオン ― ECサイトのログファイルに不正アクセス
エディオンは2026年11月6日、ECサイトのログファイルを置くサーバー領域が脆弱性を突かれて不正アクセスを受け、氏名・連絡先などが紐づいたログ最大4,131名分と、照合すると住所コードやカード有効期限・ギフトカード番号と結びつく注文ログ最大9,554名分が漏えいした可能性があると発表した。カード番号とログインパスワードは含まない。11月9日の第2報で、決済処理の改ざんによりPCで入力されたカード情報最大556回分が漏洩した可能性と、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩が新たに判明した。
三井住友海上・あいおいニッセイ同和 ― 契約者専用ページから情報漏えい
MS&ADグループの三井住友海上火災保険とあいおいニッセイ同和損害保険は2026年11月6日、「ご契約者さま専用ページ」への不正アクセスで顧客情報が漏えいしたと発表した。11月6日9時時点であいおい約44.4万件、三井住友海上約3.7万件。専用ページに生命保険契約を表示する設定をしていた三井住友海上あいおい生命の顧客約5,300件も対象になった。
ロート製薬 ― 通販の電話システム経由で顧客情報が漏えい
ロート製薬は2026年11月6日、通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム経由で最大2,797,545人分の氏名・住所・電話番号が漏えいしたと公表した。一部の通話音声にはクレジットカード番号と有効期限が含まれ、対象は9,715人。セキュリティコードは含まれない。
WebMoney ― 不正アクセスで決済情報漏えいの可能性
電子マネーWebMoneyは2026年11月6日、システムへの第三者による不正アクセスを確認し、決済情報等の一部が漏えいした可能性があると公表した。不正利用の懸念がある一部のプリペイド番号は一時利用制限し、さらなる不正アクセス防止のため一部サービスを一時停止している。漏えいの有無を含む事実関係は調査中。
クラブネッツ ― CNポイントのサテライトシステムに不正アクセス
クラブネッツは2026年11月4日の第2報で、CNポイントのサテライトシステム上のアプリケーションの脆弱性を突いたリモートコード実行により、サーバーに不正プログラムが設置され、データベースから個人情報が取得された可能性があると公表した。対象はCN会員IDと氏名16,936件、うち連絡先を含むもの2,857件（別データベース）。CNエクスチェンジなど3サービスを停止し、11月24日の再開を予定している。11月12日の第3報で、攻撃者が作ったファイルの外部ダウンロードを示すログを確認して漏えいと判断し、会員3名で計23,743ポイントの不正利用も判明した（補填済み）。CNモニターの再開時期は未定。
ウィルズ「ネットマイル」 ― 不正アクセスで会員情報漏えいの可能性、サイト停止
ウィルズは2026年11月2日、ポイントサービス「ネットマイル」のシステム環境に第三者の不正アクセスがあり、退会者を含む最大約549万人の氏名・メールアドレス・特典交換に関する情報が漏えいした可能性があると公表した。「ネットマイル」「すぐたま」のサイトを停止している。公開や悪用は確認されていない。
GMOペイメントゲートウェイ ― ライフカード向け機能でVプリカ利用者情報が窃取
GMOペイメントゲートウェイは2026年11月2日、ライフカードに提供するイシュイングサポートサービスの個別機能で10月30日に不正なユーザーによる行為があり、Vプリカ利用者69アカウントの情報が窃取された可能性があると発表した。うち3件はVプリカ番号・専用セキュリティコード・有効期限・氏名がそろっていた。
プレステージ・インターナショナル ― ロードサービス受付システムから情報持ち出し
プレステージ・インターナショナルは2026年11月2日、グループ会社PCSが受託するロードサービス等の受付・手配システムが不正アクセスを受け、利用者の氏名・住所・車両情報・事故故障の受付情報・一部の口座情報など最大約550万件が持ち出されたと発表した。11月6日の第2報で、受付記録の一部に残っていたクレジットカード番号3件の持ち出しも確認した。10月29日に検知し認証情報を無効化したが、不正アクセスが続いたため30日にシステムを停止した。11月9日には三井住友海上が約22.8万件の漏えいを公表し、AIG損保も委託元として公表した。11月12日にはJA共済連が、自動車共済のレッカー・ロードサービス利用者の情報が最大約285万人分（延べ・暫定値）漏えいしたと公表した。
NTTスマイルエナジー「エコめがね」 ― 不正アクセスでサービス全面停止
NTTスマイルエナジーは2026年10月30日、太陽光発電遠隔監視「エコめがね」のWebサーバーへの不正アクセスで全サーバー通信を遮断し、顧客情報漏えいの可能性を公表した。11月6日の2報で、関連の『スマイルeポイント』で管理番号・交換URL等が読み取られ約1.4万件（800万ポイント）が不正交換されたと判明。個人情報の外部漏えいは現時点で未確認。発電は続くがアラートメールは止まっている。
スマートニュース ― 不正アクセスでポイント・特典システムが不正操作
スマートニュースは2026年11月1日、10月31日から11月1日にかけて一部システムへの不正アクセスとポイント・特典システムの不正操作を公表した。11月6日のお知らせで、媒体社担当1,582件・広告取引先207件のメールアドレスと、ユーザー内部ID 1,033件が漏えいした可能性があると追加公表。パスワードやカード情報は対象外。ポイント交換は停止継続。
ドトールコーヒー ― 不正アクセスで従業員・退職者の情報が流出した可能性
ドトールコーヒーは2026年10月26日、10月20日に確認した不正アクセスで都内4店舗の従業員・退職者951人分の情報が閲覧・取得された可能性があると公表した。11月6日の更新版で、従業員番号・性別・国籍・雇用条件・就労情報・社会保険状況・保護者情報・銀行口座情報（一部）が追加項目として漏えいの可能性があると示した。顧客情報への不正アクセスは確認されていない（別件の通販サイト事案は新規記事の対象）。
Convertr ― 分析スクリプト改ざんで決済画面にスキマー
ブラジルのECプラットフォーム Convertr が自前で運用する Plausible 分析サーバーのトラッカーにスキマーが追記され、10月24日から全加盟店の決済画面でカード番号・有効期限・CVV・名義・CPF（納税者番号）が 1x0.is に送られていた（Sansec）。侵入口は Plausible CE 3.0〜3.2.0 の未認証 RCE（CVE-2026-8467）とみられるが未確認で、Convertr は27日にスキマーを削除し Plausible を更新した。
So-net ― 会員データベースに不正アクセス、会員情報が漏えい
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが10月19日に不正アクセスを受け、So-net会員214万1986件とplala（Sコース）会員44万3495件の氏名・電話番号・メールアドレス・生年月日などが漏えいしたと公表した。一部メールサービスの5万4401アドレスはメールパスワードも漏えいして初期化され、銀行口座情報16件も対象で、原因は調査中。
ツクツク!!! ― 決済画面の改ざんでカード情報漏えいの可能性
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
ギフティ ― システムの脆弱性を突かれeギフトを不正発行された
ギフティグループは2026年10月26日、連結子会社ギフティが運用するシステムの一部が10月25日に脆弱性を悪用した不正アクセスを受け、そのシステムを経由してeギフトが新たに不正発行されたと発表した。損失は約5.5億円の見込みで、2026年12月期第4四半期に特別損失を計上する。利用者が持つeギフトの不正使用や資産の毀損、個人情報の漏えいは確認されていない。原因の経路は特定・遮断し、当該システムは停止して今後も再開しない方針。
楽天トラベル ― 海外ホテル予約ページなどに不正アクセス
楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理する一部ページ（9月10日に異常検知）と、多言語予約サイト（10月20日に検知）への不正アクセスを公表した。ログイン利用者最大約260万件の氏名・メール・電話番号、予約者最大約4万件の予約情報、そのうち最大約3.6万件のカードの発行者識別番号と下4桁・名義・有効期限などが対象となった。多言語サイトではログイン利用者最大約86万件と宿泊施設従業員最大約4万件のメールアドレスなども対象。いずれも改修済みで、二次被害は確認されていない。
チャリロト ― 投票アプリの脆弱性で会員の口座情報などが取得された
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは2026年10月24日、10月21日9時30分頃から13時頃にかけて、システムの脆弱性を悪用した不正アクセスがあったと発表した。チャリカ会員373名の会員情報、銀行口座情報、カードの下4桁と有効期限、残高や入出金履歴、投票履歴が不正に取得された。パスワードとカード番号の全桁は対象外。脆弱性は修正済みで、アプリは10月23日に再開した。競輪・オートレース投票アプリの脆弱性を突かれ約3時間半の不正アクセス、チャリカ会員373名の住所・銀行口座・投票履歴などが取得された。
グッドスマイルカンパニー ― 公式ショップに不正アクセス、サイト閉鎖
フィギュアなどを手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で、10月19日15時過ぎ頃から22日22時頃にかけて管理情報への複数回の不正アクセスによる閲覧があったと発表した。会員の氏名・住所・電話番号・メールアドレス、注文情報、カードのブランド・下4桁・有効期限が閲覧された可能性がある。原因は脆弱性による不正アクセスと認識しており、サイトは閉鎖中で再開時期は未定。件数は公表していない。グッドスマイルカンパニー公式ショップ。脆弱性を突いた不正アクセスで約3日半にわたり管理情報が閲覧され、会員の氏名・住所・注文履歴・カード下4桁と有効期限に流出の可能性、サイトは閉鎖。
モスカード／Value Card ― 電子マネー基盤からカード番号・PINが流出
ペイクラウドホールディングスは2026年10月23日、子会社バリューデザインのハウス電子マネー発行サービス「Value Card」のサーバーが不正アクセスを受け、ID番号・PIN番号・残高情報1,424,748件（発行済56万9224件、未発行85万5524件）が流出したと発表した。原因は一部環境のWebサーバーの脆弱性の悪用。同日、モスフードサービスは運用・保守の委託先であるバリューデザインのシステムからモスカード番号・PIN・残高113万3070件が流出したと公表し、該当カードのPINを強制的に変更した。氏名などの個人情報は含まれない。モスカード／バリューデザイン「Value Card」。ハウス電子マネーの発行基盤に不正アクセス、カード番号・PIN・残高の142万件が流出、うちモスカードは113万件でPINを強制変更。
KOMOJU ― 非本番環境の脆弱性から加盟店のAPI認証情報が漏洩
決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、10月13日夕方以降に非本番環境の脆弱性を悪用され、社内管理画面と一部のシステムに不正ログインされたと発表した。決済システムからメールアドレスを含む個人データ約4100件が漏洩し、一部加盟店のAPI認証情報も漏洩した。業務用CRMへの不正アクセスも確認し、範囲を調査中。クレジットカード情報を保管するシステムは分離されており、カード情報の漏洩や不正決済は確認されていない。認証情報の更新作業で、Shopify連携の一部決済手段やセブン-イレブン払いに障害が出た。
DCM「マイボ」 ― 注意喚起後のログ点検で不正アクセスが判明
ホームセンター大手のDCMホールディングスは10月13日、子会社マイボフェローズが運営する会員サービス「マイボ」の会員情報管理システムが第三者の不正アクセスを受け、会員419人分の会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数と失効予定日が漏えいしたと公表した。9月21日に通常とは異なる多数のアクセスがあり、10月8日にサイバー攻撃に関する注意喚起を受けてアクセス記録を点検したところ不正アクセスが判明した。通信を遮断し、10月9日から「マイボアプリ」の全サービスを止めている。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれない。人数は精査中で、侵入の手口は公表されていない。
NewsPicks ― 管理ツールの脆弱性から会員情報漏えいの可能性
ユーザベースは10月8日、ソーシャル経済メディア「NewsPicks」が業務で使う管理ツールが不正アクセスを受け、利用者の個人情報が漏えいした可能性があると公表した。10月9日の第二報で、原因は管理ツールの脆弱性で、サービス本体や社内の他システムへの侵入は確認されていないとし、最大想定件数としてメールアドレス32.3万件、所属6.5万件、氏名5.9万件、カード名義・番号の下3桁または下4桁など36.2万件などを示した。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない。管理ツールの種類と脆弱性の内容は公表されていない。NewsPicks（ユーザベース）。業務用の管理ツールの脆弱性から、メールアドレス32.3万件・カード情報の一部36.2万件が漏えいの可能性。
skyticket ― 経路の違う3件の不正アクセスで情報流出
旅行比較予約サイト「skyticket」を運営するアドベンチャーは10月9日、経路の違う3件の不正アクセスを公表した。10月2〜4日には一部の管理機能を不正に操作され、他のサーバーやクラウド上のデータから約1464万件（うち約413万件はハッシュ化したログインパスワードを含む）が流出した。9月20日には業務管理システムの脆弱性を突かれ返金先口座情報など1万7780件、8月3日〜10月1日にはログインなしで表示できたバス予約完了ページが機械的に閲覧され約1万2000件の予約情報が見られた。10月16日の第2報で、旧方式時代のログに残っていた「skyticketプレミアム」会費支払い用のクレジットカード情報最大6,140名分（番号・名義・有効期限）とベネフィット・ステーションの会員ID・パスワードも10月3日に取得されていたと公表し、第1報の「カード情報の流出なし」を訂正した。skyticket（アドベンチャー）。経路の違う3件の不正アクセスで約1464万件、管理機能の不正操作からクラウド上のデータへ。
修道学園 ― サーバーに不正アクセス、口座情報などが漏えいのおそれ
広島修道大学や修道中学校・高等学校などを運営する学校法人修道学園は、学園が管理するサーバーへの第三者の不正アクセスを2026年9月26日に確認し、取引先企業などの口座情報や、教職員・外部講師などの氏名・住所・電話番号・口座情報が漏えいしたおそれがあると9月30日に公表した。10月8日の第2報では、当初対象に含めていた学生の情報は含まれていないことが確認されたとした。原因、経緯、件数は調査中。学園サーバーへの不正アクセスで取引先・教職員・外部講師の口座情報などが漏えいのおそれ、第2報で学生情報は対象外に。
ヤマト運輸 クロネコ代金後払い ― 顧客情報の持ち出しを確定
ヤマト運輸は9月28日に「クロネコ代金後払いサービス」への不正アクセスを確認しサービス停止。10月2日の第2報で漏えいの可能性を公表し、10月9日の第3報でサービスを再開した。10月16日の第4報で、調査の結果、顧客情報約526万件（うちメール約49万件）、お届け先情報約5万件、加盟店情報約4,100件が不正に持ち出されたと確定した。第2報で可能性としていた請求金額・債権残高・社員氏名の持ち出しは確認されなかった。クレジットカード・パスワードは対象外。二次被害は未確認。侵入経路は未公表。