ソフトウェア開発の会社の台湾子会社で、EC事業者向けサービスのサーバーが不正アクセスを受け、通販利用者の個人情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、顧客ID 155,280件、受注ID 231,998件（氏名、電話番号、住所、メールアドレス、受注情報。対象は台湾・香港・マカオ・シンガポール）。決済未完了の受注のクレジットカード情報 延べ1,671件（1,305アカウント）。決済サービスのアカウント情報です。その後の対応と影響は、サーバーを隔離・停止し、サービス全体を一時停止してパスワードを変更した（現在は復旧）。メール送信用の認証情報を無効化した。窃取された鍵で不正メール11,441件が送られた。取引先が個人情報保護委員会に報告し、子会社は台湾当局に報告した。業績への影響は軽微と見込んでいるです。

原因になったのは「取引先1社向けに提供していたBIツールを起点とする不正アクセス」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

不正アクセスは取引先1社向けのBIツールのアプリケーションの段階で行われ、そのツールから参照できたデータベースの情報が取得された。サービス本体の基盤への直接の侵入は検出されていない。サーバーにはメール送信サービスの鍵情報もあり、それが不正メールの送信に使われた。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2026年9月11日サーバーへの不正アクセスの徴候を検知し、停止・隔離
2. 調査で個人情報と設定情報の一部が取得されたと判明
3. 起点が取引先1社向けのBIツールと判明
4. 10月15日個人情報の流出を公表

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

特定の取引先向けに追加したBIツールなどの周辺ツールも本体と同じ基準で診断し、参照できるデータベースの範囲を絞っておくと、被害の範囲を小さくできた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 本体以外に顧客ごとに追加したツール（BI・分析・管理画面）を一覧にする
2. 各ツールが参照できるデータベースとテーブルの範囲を確認する
3. サーバー上に置いている外部サービスの鍵情報を一覧にし、置き場所と権限を確認する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• 連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ2026.10.15