【ACCESS】台湾子会社の海外進出EC事業者向けサービス「CROS」に不正アクセス、顧客ID15万5,280件の個人情報とカード情報1,305アカウント分が流出

公表：2026年10月15日

3行でわかるポイント

1. ACCESSの台湾子会社 ACCESS AP TAIWAN が提供する、海外進出するEC事業者向けの業務支援サービス「CROS」が不正アクセスを受け、取引先1社の通販を利用した客の個人情報が流出しました。
2. 対象は顧客ID 155,280件・受注ID 231,998件で、氏名・電話番号・住所・メールアドレスなど。対象地域は台湾・香港・マカオ・シンガポールです。
3. クレジットカード情報も1,305アカウント分（延べ1,671件）流出し、うち4件はセキュリティコードまで含まれていました。

何が起きたか

ACCESSによると、2026年9月11日にサーバーへの不正アクセスの兆候を検知し、緊急停止・隔離して調査を始めました。侵入の起点は、CROSを使う取引先のうち特定の1社だけに提供していたBIツール（データ分析用ツール）で、アプリケーションの段階で攻撃されたと判断しています。CROS本体の基盤への直接の侵入は見つかっておらず、他の取引先の個人情報の漏えいも確認されていません。盗まれたメール送信サービスの鍵情報を使って、第三者への不正メール11,441件も送られました。

漏れた情報

影響／原因

同社は対象サーバーの隔離、メール送信用の認証情報の無効化・更新、CROS全体の一時停止とデータベースのパスワード変更（現在は復旧）、全取引先を対象にしたカード情報の伏せ字処理、決済サービスの秘密鍵の更新などを行いました。今後、決済が終わっていないカード情報を保持しないようにプログラムを直すとしています。日本の個人情報保護委員会と台湾当局に報告し、客への通知は各サービス事業者が行います。連結業績への影響は軽微と見込んでいます。

利用者が今すべきこと

1. 対象地域の通販を利用した人は、事業者からの通知を確認し、カードの利用明細に身に覚えのない請求がないか確かめてください。
2. カード情報の再入力などを求める不審なメールのリンクは開かないでください。

私たちが学べること

「特定の1社にだけ提供していた分析ツール」が入り口になり、サービス全体の情報に手が届きました。追加で入れたツールほど管理が手薄になりがちです。また、決済が終わっていないカード情報を残していたことが被害を広げました。不要なカード情報は持たないことが一番の対策です。

経過

出典

1. ACCESS 適時開示（2026年10月15日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。