12万9659人分の情報が漏えい
キャッシュレスサービス「IDARE」を運営するFivotで第三者による不正アクセスがあり、利用者12万9659人分の個人情報が漏えいしました。退会済みの利用者も対象です。残高情報や取引履歴も漏えいしましたが、Fivotは残高を安全に保全しており、サービスは通常どおり利用できるとしています。
第三者は、カスタマーサポートなどに使っていた外部ソフトウェアの脆弱性を悪用しました。8月10日から9月27日までに、データベースの情報が複数回取得されました。
Fivotは不正アクセス経路を遮断し、当該ソフトウェアの利用を終了しました。関連する認証情報も更新し、現在まで新たな不正アクセスは確認されていないとしています。
全対象者の情報と一部利用者の情報
全対象者について、電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報に加え、アカウントの設定・ステータス、残高情報、取引履歴が漏えいしました。IDAREカードの名義と有効期限も含まれます。
一部の利用者では、氏名、住所、性別、利用目的、本人確認書類の番号など、本人確認時に申請した情報も対象です。カード番号は下4桁、入金用クレジットカード番号は先頭6桁と下4桁、銀行口座番号は下3桁が漏えいした可能性があります。
一部の利用者については、リアルカードのアクティベーションコードや任意サービスに関する属性情報も対象となりました。属性情報が含まれるのは、2021年10月までに登録し、貸付サービス「LADDER」の利用目的で年収や勤務先情報などを入力した利用者です。
パスワードやカード番号全桁は対象外
本人確認書類や本人の容貌の画像、ログインパスワードは漏えいしていません。IDAREカードの番号全桁、セキュリティコード、暗証番号は、今回不正アクセスを受けたシステムから取得されることはないとしています。
登録したクレジットカード番号の全桁や有効期限、セキュリティコード、暗証番号も対象外です。Fivotは銀行口座番号の全桁と暗証番号を保有していないと説明しています。
Fivotは、本件に起因する不正な取引は現時点で確認されていないと発表しました。また、ログインには登録済みの方法による多要素認証が必須で、漏えいした情報だけでは第三者が不正ログインできないとしています。
IDAREを装う連絡への注意
Fivotは対象者にメールで個別に案内し、同社やIDAREを装う不審なメール、SMS、電話に注意するよう呼びかけています。メールやSMS、電話でパスワード、暗証番号、セキュリティコード、多要素認証のコードを尋ねることはないとしています。
フィッシング対策協議会が公表した2026年6月のフィッシング報告件数は7万2370件でした。同協議会は、実在するサービスを装ったメールやSMSなどで個人情報を詐取する手口を報告しています。キャッシュレス決済サービスの正規ドメイン名を不正に使ったURLは、報告全体の約20.6％を占めました。
協議会は、メールやSMSのリンクからログインを促された場合、正規のアプリや普段使う方法でサービスにアクセスし、情報を確認するよう案内しています。Fivotも、身に覚えのない連絡に含まれるリンクや添付ファイルを開かず、個人情報を入力しないよう求めています。
