クレディセゾンは2026年11月9日、SAISON GOLD Premium会員向けの優待サービス「選べるゴールド優待」で、個人情報が外部に漏えいしたと発表しました。サービスを提供するベネフィット・ワンの委託先のシステムが不正アクセスを受けたもので、対象は重複を除いて198,660名です。このうち2,622名は氏名や生年月日、電話番号、メールアドレスなどを含む情報です。クレジットカード番号・有効期限・セキュリティコードは含まれていないとされています。
発生から公表までの経緯
| 日付 | 出来事 |
|---|---|
| 2026年10月19日（月） | ベネフィット・ワンの委託先が利用するシステムに不正アクセスが発生 |
| 2026年10月22日（木） | 関連サービスでの不正アクセスの発覚を受け、クレディセゾンが予防措置として「選べるゴールド優待」を一時停止 |
| 2026年10月28日（水） | ベネフィット・ワンから、2,622名分の個人情報が漏えいしたと報告 |
| 2026年11月5日（木） | クレディセゾンが顧客の識別に使う管理用の番号（顧客識別番号）約19万件も漏えいしたと追加報告 |
| 2026年11月9日（月） | クレディセゾンが公表 |
クレディセゾンによると、不正アクセスを受けたのは同社のシステムではなく、同社のシステムからの流出も現時点で確認されていません。漏えいした情報や件数が段階的に判明したため、公表までに時間がかかったと説明しています。
原因：再委託先のクラウドサービスでAPIキーが流出
ベネフィット・ワンが11月9日に出した第二報によると、不正アクセスを受けたのは、同社の業務委託先であるフォレステックの再委託先、オフィスタンデムがシステム開発・保守に使っていたクラウドサービスです。このクラウドサービスに「選べるゴールド優待」の一部の利用者の個人情報が保存されていました。
| 日時 | ベネフィット・ワンが公表した経緯 |
|---|---|
| 2026年10月19日 18時05分 | クラウドサービスへの不正アクセスが発生し、オフィスタンデムがクラウドサービスを使うためのAPIキーが流出 |
| 10月21日 22時 | オフィスタンデムが不正アクセスとAPIキーの流出を検知。APIキーを無効化し、クラウドサービスの提供会社にアクセスログの調査を依頼 |
| 10月27日 | 提供会社から、流出したAPIキーでアクセス・参照された形跡があると連絡。フォレステックを通じてベネフィット・ワンに報告 |
| 10月28日 | オフィスタンデムがクラウドサービス上の対象情報を削除 |
| 10月30日 | ベネフィット・ワンが、漏えいのおそれがある事案として個人情報保護委員会に速報 |
| 11月4日〜5日 | 提供会社から受け取ったログを分析し、利用者の個人情報が第三者に漏えいしたことを確認 |
ベネフィット・ワンは、不正アクセスに使われた認証情報の無効化とクラウドサービス上の対象情報の削除を終え、第三者の専門調査機関による調査、警察への相談などを進めています。サービスの再開は、原因の究明と再発防止策の実施が終わった後の予定です。
漏えいした情報：氏名などを含むのは2,622名
| 区分 | 人数 | 含まれる情報 |
|---|---|---|
| ① | 2,617名 | 氏名、フリガナ、性別、生年月日、電話番号、メールアドレス、郵便番号、顧客識別番号、ベネフィット・ワンお客様番号、個人識別ID |
| ② | 5名 | ①から顧客識別番号を除いたもの |
| ③ | 42,358名 | 顧客識別番号、ベネフィット・ワンお客様番号 |
| ④ | 153,680名 | 顧客識別番号のみ |
| 合計 | 198,660名（重複を除く） |
①と②の情報項目は、人によって異なります。表にある3種類の番号は、いずれも各社が利用者の管理に使う番号です。顧客識別番号はクレディセゾンが、ベネフィット・ワンお客様番号はベネフィット・ワンが付けています。個人識別IDは、ベネフィット・ワンの委託先のシステムで利用者ごとに付けられ、ベネフィット・ワンの顧客情報と照合するために使われます。
現時点で、今回の件による不正利用などの被害は確認されていません。調査は続いており、新しい事実が分かれば知らせるとしています。
対象者への連絡と問い合わせ先
対象者には、ベネフィット・ワンから、ベネフィット・ワンに登録しているメールアドレスあてに順次連絡が届きます。メールが届かない人も、自分が対象かどうかを次の窓口で確認できます。
- 問い合わせ先：株式会社ベネフィット・ワン（E-mail：security-support@benefit-one.co.jp）
- 詳細：ベネフィット・ワンのお知らせ（クレディセゾンの告知で案内されているページ）
ベネフィット・ワンは、退会済みなどの理由でメールが届かない人には、公表と問い合わせ窓口の設置をもって個別の連絡に代えるとしています。
「選べるゴールド優待」は一時停止したままで、再開時期は未定です。決まり次第、クレディセゾンのWebサイトなどで知らせるとしています。
注意点：クレディセゾンやベネフィット・ワンを装った連絡に注意
カード番号は漏えいしていませんが、氏名・電話番号・メールアドレスが漏えいした人は、その情報を使った不審なメールやSMS、電話を受けるおそれがあります。クレディセゾンは、両社を装った連絡に注意するよう呼びかけています。両社がこの件でパスワードやクレジットカード情報の入力・提供を求めることはないとしています。
会員がとるべき対応
ベネフィット・ワンからのメールを確認する
SAISON GOLD Premiumの会員は、ベネフィット・ワンに登録したメールアドレスに案内が届いていないかを確認してください。届いていなくても気になる場合は、上の窓口に問い合わせると対象かどうかを確認できます。
メールやSMSのリンクから情報を入力しない
この件をかたる連絡を受けても、記載されたURLにアクセスしたり、パスワードや認証コードを入力したりしないでください。カードの利用状況は、公式アプリや会員サイトに自分でアクセスして確認するのが安全です。
考察：ベネフィット・ワン提携の優待で漏えいが続く
クレディセゾンでは10月にも、同じくベネフィット・ワンと提携する優待「トク買」で、委託先への不正アクセスによる漏えいを公表しています。今回の発表では、10月22日に停止したのは「関連サービスにおける不正アクセスの発覚を受けた」予防措置だったと説明しています。カード会社のシステムが無事でも、提携先や委託先から会員情報が漏れることがあります。筆者は、優待サービスに登録したメールアドレスや電話番号にも、カード会社をかたる連絡が届きうると考えて備えておくのがよいと考えます。
まとめ
「選べるゴールド優待」の漏えいは198,660名分で、氏名などを含むのは2,622名、カード番号は含まれていません。対象者にはベネフィット・ワンからメールが届くので、まず案内を確認し、両社を装った連絡には応じないようにしてください。
関連記事
出典：クレディセゾン「株式会社ベネフィット・ワンが提供する「選べるゴールド優待」における個人情報漏えいに関するお知らせとお詫び」（2026年11月9日）
元記事URL：https://www.saisoncard.co.jp/customer-support/information/20261109
出典：株式会社ベネフィット・ワン「当社業務委託先への不正アクセスによる提携先会員の個人情報漏えいに関するお知らせ（第二報）」（2026年11月9日）
元記事URL：https://corp.benefit-one.co.jp/company/news/news/2026/20261109/20261109.pdf
コメント