キャッシュレス「IDARE」に不正アクセス、約13万人の情報漏えい

キャッシュレスサービス「IDARE(イデア)」を運営する株式会社Fivotは2026年10月13日、不正アクセスにより約13万人分の個人情報が外部に漏えいしたと発表しました。漏えいには残高や取引履歴も含まれます。ログインは多要素認証が必須のため、漏えいした情報だけでアカウントへ不正にログインすることはできない、と会社は説明しています。

何が起きたのか

公式のお知らせによると、カスタマーサポート等の業務に使っていた外部ソフトウェアの脆弱性を悪用した不正アクセスを受け、2026年8月10日から9月27日にかけて、複数回にわたりデータベースの情報が第三者に取得されました。現在は、不正アクセスの経路を遮断し、当該ソフトウェアの利用を終了して、関連する認証情報も更新したとしています。

対象は、2026年9月27日までにIDAREに登録した利用者(退会済みを含む)で、12万9,659人です。現時点で、本件に起因する不正な取引は確認されておらず、残高は保全され、サービスは通常どおり利用できるとしています。

漏えいした情報・していない情報

漏えいした情報の範囲は、利用の状況によって異なります。

影響する人・会社、しない人・会社

• 影響する: 2026年9月27日までにIDAREを登録・利用していた人(退会済みを含む)。対象者には、会社がメールで個別に案内するとしています。
• 影響する: 残高や取引履歴、カードや口座の一部の情報が漏えいした可能性があるため、不審な請求や連絡に注意が要る人。
• 影響しない(直接は): IDAREを使っていない人や会社。ただし、同じ構図(外部ソフトの脆弱性を突かれる)は、どの会社にも起こりえます。
• 影響する(間接的に): 業務でキャッシュレスや外部のSaaSを多く使う会社。自社が使う外部ソフトの脆弱性の管理を見直すきっかけになります。

会社・情シスが今日やること

1. IDAREを業務や経費で使っている場合は、公式のお知らせと、届いた個別の案内を確かめます。心当たりのない取引や請求がないかを見ます。
2. 自社が使う外部のソフトやSaaSを洗い出します。とくに、顧客対応や問い合わせ管理など、個人情報を扱うツールの版と、脆弱性への対応状況を確認します。今回の入り口は「業務で使う外部ソフトの脆弱性」でした。
3. 外部ソフトのアカウントに多要素認証を付け、アクセス権を必要な範囲に絞ります。使っていないツールやアカウントは止めます。
4. 不正アクセスに気づける仕組み(ログ・監視)を整え、漏れた時の連絡と、個人情報保護委員会への報告の手順を先に決めておきます。漏えいがどう発覚し、その後どうなるかは、相次ぐ情報漏えい、漏れたとなぜ分かる?漏れたら何が起きる?にまとめています。
5. 従業員に、会社をかたる不審な連絡への注意を周知します。

2026年10月14日時点の内容です。最新の状況は、IDAREの公式のお知らせで確かめてください。