2026年10月15日、東証プライム上場のACCESSは、台湾の連結子会社ACCESS AP TAIWAN（以下、AP台湾）が提供する業務支援サービス「CROS」が不正アクセスを受け、個人情報が外部に流出したと発表しました。対象は台湾・香港・マカオ・シンガポールの通販利用者で、お客様IDは155,280件、うちクレジットカード情報は1,305アカウント分です。
漏洩した情報の対象地域は日本ではありません。ただ、日本企業グループが海外EC事業者向けに提供するサービスで起きた事案です。この記事では、同社の発表をもとに、漏洩の範囲と経緯、侵入の起点となった仕組みを整理します。
CROSは海外に進出するEC事業者向けの業務支援サービス
CROSは、AP台湾が海外に進出するEC事業者向けに提供している業務支援サービスです。今回流出したのは、AP台湾の取引先企業が運営する通販サービスの利用者の個人情報です。取引先企業の名称や、通販サービスの名称は発表に記載されていません。
9月11日に不正アクセスの兆候を検知
同社によると、2026年9月11日、CROSで使っているサーバーへの不正アクセスの兆候を検知し、サーバーの緊急停止と隔離を実施しました。調査の結果、このサーバーを通じて参照できた個人情報や設定情報の一部が、不正に取得されていたことが判明しています。
侵入の起点は、CROSの取引先のうち特定の1社だけに提供していたBI（Business Intelligence）ツールでした。BIツールは、蓄積したデータを集計・分析するための仕組みです。現時点で、他の取引先企業に関連する個人情報の漏洩は確認されていません。
漏洩した情報：氏名・住所などに加え、一部はカード情報も
| 区分 | 件数 | 対象項目 |
|---|---|---|
| ID関連 | お客様ID 155,280件、受注ID 231,998件 | 氏名、電話番号、住所、メールアドレス、関連する受注情報（対象地域：台湾、香港、マカオ、シンガポール） |
| クレジットカード関連 | 延べ1,671件（重複を突合したアカウント件数は1,305件） | カード番号、セキュリティコード、有効期限、氏名、対象顧客ID、対象受注ID |
| 決済サービス関連 | 件数の記載なし | 利用している決済サービスのアカウント情報 |
| 不正メール送信 | 11,441件 | 窃取されたメール送信サービスの鍵情報を使った送信 |
セキュリティコードまで漏れたのは4件
カード情報の1,305アカウントのうち、セキュリティコードを含む全項目が漏洩したのは4件です。残りの1,301件は、セキュリティコード以外の情報が漏洩しました。また、漏洩したカード情報は、カード決済が完了していなかった受注のものに限られます。決済が完了した受注のカード情報は、もともと保持していなかったと同社は説明しています。
不正メールは、漏洩した名簿を使ったものではないと判断
侵入者は、サーバーから盗んだメール送信サービスの鍵情報を使い、11,441件の不正なメールを送っていました。同社はメール情報の解析から、送信先は漏洩した個人情報ではなく、侵入者が別に用意したリストだったと判断しています。
AP台湾の対応と再発防止策
AP台湾は、サーバーの隔離・停止、メール送信用の認証情報の無効化と更新、決済サービスの秘密鍵の更新などを進めています。二次被害を防ぐため、他の取引先も含めてCROS全体を一時停止し、データベースのパスワードを変更しました。サービスはすでに復旧しています。
| 区分 | 内容 |
|---|---|
| 実施済み | 対象サーバーの隔離・緊急停止／メール送信用認証情報の無効化・更新／CROS全体の一時停止とデータベースパスワードの変更（復旧済み）／稼働中システムの全クライアントを対象にしたカード情報のマスク処理 |
| 作業中 | 決済サービスの秘密鍵の更新（一部完了） |
| 予定 | BIツールのセキュリティを強化したうえで再稼働／決済未完了のカード情報を保持しないようCROS本体のプログラムを修正／ACCESS本社の専門人材による対策の実行・検証の支援 |
同社は、不正アクセスはBIツールのアプリケーションの範囲で行われたものと判断しています。BIツールから参照できたデータベース以外への影響や、CROS本体の基盤への直接の侵入は検出されていません。
読み解くうえでの留意点
「決済未完了のカード情報」が残っていたことが被害につながった
決済完了時にはカード情報を保持しない設計でも、決済が完了していない受注の情報はシステムに残っていました。同社が再発防止策に、決済未完了のカード情報自体を保持しないプログラム修正を挙げているのはこのためです。途中で止まったデータが想定外の保管場所になる点は、EC事業者全般にとって確認すべき論点といえます。
1社向けの付加ツールが、サービス全体の停止につながった
侵入の起点は1社だけに提供していたBIツールでしたが、AP台湾は二次被害を防ぐためにCROS全体を一時停止しています。漏洩自体は1社の範囲にとどまったとされます。それでも、停止の影響は他の取引先にも及びました。
利用者への通知は取引先の事業者から
通販サービスの利用者への通知は、BIツールを利用していた取引先の事業者が行っています。この事業者は個人情報保護委員会への報告も進めており、AP台湾も台湾当局に報告済みです。対象地域で通販サービスを利用していて心当たりがある人は、利用先の事業者からの通知を確認してください。
なお、ACCESSは連結業績への影響を軽微と見込みつつ、精査中としています。
まとめ：対象は海外4地域の通販利用者、カード情報は決済未完了分
ACCESSの発表は、子会社AP台湾のEC支援サービス「CROS」で、1社向けのBIツールを起点に不正アクセスが起き、台湾・香港・マカオ・シンガポールの通販利用者155,280件の個人情報が流出したというものです。カード情報は決済未完了の受注に限られ、1,305アカウント分のうちセキュリティコードまで漏れたのは4件でした。
取引先や通販サービスの名称は公表されていません。対象地域で通販を利用している人は、事業者からの通知とカードの利用明細を確認しておきましょう。
出典：株式会社ACCESS「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」（2026年10月15日）
元記事URL：https://www.access-company.com/wp-content/blogs.dir/3/files/2026/10/n261015.pdf
コメント