日本脆弱性総合ポータル

Fivot / IDARE

キャッシュレスサービスで外部ソフトウェアの脆弱性を悪用され顧客情報が漏えい

重要度
実際に被害が出た事例
公表日
2026.10.13
原因の分類
製品・サーバーの脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. IDAREで顧客の個人情報が外部に漏えいした。
  2. 外部ソフトウェアの脆弱性を悪用され、データベースの情報が取られた。
  3. 身に覚えのないメールやSMSのリンクは開かず、個人情報を入力しない。

運営するサービス「IDARE」で、カスタマーサポート業務のために導入していた外部ソフトウェアの脆弱性を悪用され、8月10日から9月27日にかけて複数回データベースの情報が取得された。対象は2026年9月27日までの登録者（退会者を含む）129,659人である。取得された情報には、電話番号やメールアドレス、取引履歴、本人確認時の申請内容などが含まれる。ログインパスワードは漏えいしていないと説明されている。

確認された経路・公表元の推定

  1. 外部ソフトウェアの脆弱性を悪用され、8月10日から9月27日にかけて複数回、データベースの情報が取得された。
  2. 不正アクセス経路を遮断し、当該ソフトウェアの利用を終了した。
  3. 関連する認証情報の更新を完了した。

根拠の要点

資料は、導入していた外部ソフトウェアの脆弱性を悪用した不正アクセスと説明し、不正アクセス経路の遮断と当該ソフトウェアの利用終了を述べている。脆弱性の名称や修正時期は書かれていない。

資料の基準時点：2026-10-14（取得日）

当時、対策できたのか

判定保留

資料は外部ソフトウェアの脆弱性を侵入口と説明しているが、その修正版の有無や攻撃時点の対応状況は書いていないため。

公表された対策

  • ソフトウェアの脆弱性情報を継続的に監視する体制を整備する。
  • アクセスログの監視・アラート体制を整備する。
  • 外部専門家による第三者調査を受け入れる。
  • 情報管理体制を強化する。
  • 不正アクセス経路を遮断し、当該ソフトウェアの利用を終了した。
  • 関連する認証情報の更新を完了した。

この事例を理解するための動画

まだ分からないこと

  • 脆弱性の名称、CVE番号、ソフトウェア名は資料に書かれていない。
  • 侵入口の脆弱性が修正済みだったか、攻撃時点でどう対応されていたかは書かれていない。
  • 利用者ごとに漏えいした情報の範囲は、個別に連絡すると書かれている。
  • 外部ソフトウェアがどの組織の製品か、導入の経緯は書かれていない。

同じ原因分類の事例

事例の一覧に戻る