ACCESS子会社の越境EC支援「CROS」に不正アクセス BIツールが起点

スマートフォン向け技術などで知られるACCESS(東証プライム・コード4813)が、台湾の子会社ACCESS AP TAIWAN(以下、AP台湾)の越境EC支援サービス「CROS」への不正アクセスで、個人情報が流出したと公表しました。2026年10月15日の適時開示によるものです。流出したのは、CROSを使う取引先企業が運営する通販サービスを利用した、お客様の情報です。

何が起きたのか

会社の発表によると、2026年9月11日に、CROSで使うサーバーへの不正アクセスの徴候を検知し、サーバーの緊急停止と隔離、調査を行いました。その後、第三者による攻撃で、サーバーを通じて参照できた個人情報や設定情報の一部が盗まれたことが判明したとしています。

注目したいのが、侵入の起点です。会社は、不正アクセスの経路が、CROSを使う取引先企業のうち、特定の1社にのみ提供していたBI(ビジネスインテリジェンス)ツールだったとしています。流出が確認されたのは、顧客ID155,280件、受注ID231,998件(氏名・電話番号・住所・メールアドレスなど)、クレジットカード情報のアカウント1,305件(全項目が漏れたのは4件、残りはセキュリティコード以外。いずれも決済が未完了の受注)、決済サービスのアカウント情報などです。対象地域は、台湾・香港・マカオ・シンガポールです。

さらに、攻撃者が盗んだ「メール送信サービスの鍵」を悪用し、不正なメールを11,441件送信したことも判明しました。送信先は、漏れた個人情報そのものではなく、攻撃者が用意した別のリストだったとされます。会社は、サーバーの隔離、メール送信用の認証情報の無効化・更新、CROS全体の一時停止とデータベースのパスワード変更(復旧済み)、カード情報のマスク処理、決済サービスの秘密鍵の更新などを実施。再発防止として、BIツールのセキュリティ強化や、決済未完了のカード情報自体を持たないようにするプログラム修正を予定しているとしています。

影響する会社・しない会社

直接の当事者はACCESSとAP台湾ですが、構図は多くの会社に共通します。関係するのは、業務支援サービスやSaaSを、取引先に提供している会社と、そうしたサービスを使って顧客データをあつかっている会社です。とくに、分析のためのBIツールや、外部の業者に提供している管理画面などは、本体とは別の「脇の入口」になりがちです。一方、こうした越境ECや外部サービスを使っていない会社でも、「本体は無事でも、つないだ道具から入られる」という教訓は当てはまります。

情シスが今日やること

• 「脇の入口」を洗い出す: 本番システムだけでなく、分析用のBIツール、管理画面、特定の取引先だけに出している機能など、本体の周りにある入口を一覧にします。そこから、どのデータベースやデータが見えるのかも確認します。
• 認証情報・鍵をローテーションできるようにする: 今回はメール送信の鍵が盗まれ、悪用されました。メール送信や決済などの外部サービスの鍵・トークンは、漏れた前提で、すぐに失効・再発行できる手順を用意します。
• 持たなくてよい情報は持たない: カード情報の流出は、決済が未完了の受注分でした。会社は、未完了のカード情報を保持しないよう修正を予定しています。自社でも、そもそも保持しなくてよい機微な情報を持っていないかを見直します。
• 多層の委託を把握する: 自社サービスが、どの取引先に、どんな機能・データを提供しているかを整理します。委託や再委託の先で事故が起きたとき、誰が・いつ・何を連絡するかの取り決めも確認します。

本体のシステムをいくら固めても、その周りにつないだ道具や、特定の相手だけに出した機能が、思わぬ入口になることがあります。「どこから見えるか」「鍵が盗まれたらどう止めるか」という視点で、周辺まで含めて点検しておきたいところです。