- 重要度
- 重要度：5段階中5 業務やサービスの停止
- 公表日
- 2026.10.27
- 原因の分類
- サプライチェーン、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 2026年10月、ギフティのシステムで不正にeギフトが発行された
- 10月は脆弱性を悪用され、11月は会員情報を扱う外部サービスが狙われた
- 会員情報の漏えいの有無は調査中で、再開時期は未定
2026年10月25日、ギフティが運用するシステムの一部が脆弱性を悪用した第三者の不正アクセスを受け、eギフトが新たに不正発行された。不正発行の経路は当該システムの停止で遮断され、本件による損失は約5.5億円と見込まれている。10月の資料では個人情報の漏えいは確認されていないとされた。その後、会員情報の管理に使う外部サービスprismatixで第三者による不正アクセスがあり、ギフティは2026年11月11日22時頃からgifteeの主要機能を一時停止した。会員情報の一部が漏えいした可能性があり、調査中である。
確認された経路・公表元の推定
- 2026年10月25日、ギフティが運用するシステムの一部が、脆弱性を悪用した第三者の不正アクセスを受けた。
- 同システムを経由して、eギフトが新たに不正発行されていたことが判明した。
- 発覚後、不正アクセスの原因となった脆弱性を特定し、10月25日に当該システムを停止して経路を遮断した。
- 2026年10月26日、ギフティグループ株式会社が適時開示で本件を公表した。
- 2026年10月27日、ギフティが利用者向けのお知らせを公開した。
- 会員情報の管理に使う外部サービスprismatixで第三者による不正アクセスが発生した。発生時期は資料に書かれていない。
- 2026年11月11日22時頃、ギフティは影響拡大の防止と安全性の確認のため、gifteeの主要機能を一時停止した。
- 2026年11月12日、ギフティは会員情報の一部が漏えいした可能性があり、prismatixと調査を進めていると公表した。
根拠の要点
公表元が、当該システムの脆弱性を悪用した不正アクセスと、それによるeギフトの不正発行を事実として説明している。脆弱性の種類、侵入経路、攻撃の手口は書かれていない。11月の資料は、会員情報の管理とログイン認証に使うprismatixで第三者による不正アクセスがあったと説明しており、侵入口や侵入経路は書かれていない。両資料は、10月の不正アクセスとprismatixの不正アクセスの関係を明記していない。
資料の基準時点：2026年11月12日時点（最新の資料。適時開示は2026年10月26日付）
当時、対策できたのか
判定保留
10月の資料は、不正アクセスの原因となった脆弱性を特定し経路を遮断したと書くが、脆弱性の種類、修正の有無、攻撃時点の防御条件は書かれていない。11月の資料も、攻撃時点の防御条件や対策の欠落を書いておらず、発覚時に未発見だったとも説明していない。
公表された対策
- 不正アクセスの原因となった脆弱性を特定し、当該システムを10月25日に停止して経路を遮断した。
- 当該システムは今後も利用を再開しない方針とする。
- eギフト発行に係る管理体制および監視体制を強化するなど、再発防止に取り組む。
- 警察への相談・届出等、必要な対応を進める。
- 影響拡大の防止と安全性の確認のため、gifteeの主要機能を2026年11月11日22時頃から一時停止している。
- prismatixと連携し、サービス再開に向けた対応と、漏えいの有無および影響範囲の調査を進めている。
- 詳細および必要な対応は、判明次第改めて案内する。
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 10月の不正アクセスの侵入経路、脆弱性の種類、該当する製品・ライブラリ名、CVE番号、攻撃の手口
- 10月の不正アクセスに関する攻撃時点での脆弱性の修正の有無と修正時期
- 10月に不正発行されたeギフトの件数と金額
- 10月の不正アクセスを受けた範囲（資料は「一部のシステム」とのみ記載）と影響範囲の確認結果
- 約5.5億円は見込みであり、損失額は確定していない
- 11月のprismatixへの不正アクセスの発生時期、侵入口、手口
- 10月の不正アクセスとprismatixの不正アクセスの関係（資料は両者の関係を明記していない）
- 会員情報の漏えいの有無、影響範囲、漏えいした情報の種類と件数
- gifteeの再開時期