ACCESS台湾子会社のEC支援サービスに不正アクセス、カード情報やセキュリティコードも流出——ネットショップが見直したいこと
2026年10月15日、ソフトウェア会社のACCESSが、台湾の子会社が提供している通販事業者向けのサービス「CROS」に不正アクセスがあり、通販の顧客約15万5,000件分の個人情報と、一部のクレジットカード情報が流出したと発表しました。4件分は、カード裏面のセキュリティコードまで含まれていました。
対象は台湾・香港などの利用者で、日本の利用者は含まれていません。ただ、侵入の入口が取引先1社だけに渡していたデータ分析ツールだった点は、ネットショップを運営する国内の会社にとっても他人事ではありません。何が起きたのかと、見直したいことを整理します。
何が起きたのか
項目 | 内容 |
|---|---|
発表 | 2026年10月15日、株式会社ACCESS |
対象のサービス | 台湾子会社 ACCESS AP TAIWAN の、EC事業者向け業務支援サービス「CROS」 |
侵入の入口 | 取引先1社だけに提供していた、データ分析用のBIツール |
経緯 | 9月11日に不正アクセスの兆候を検知し、サーバーを緊急停止・隔離。CROS全体を一時停止し、データベースのパスワードを変更（現在は復旧） |
流出した情報 | 顧客ID 155,280件と受注ID 231,998件にひも付く氏名、電話番号、住所、メールアドレス、注文の情報 |
カード情報 | 1,305アカウント分（延べ1,671件）。カード番号・有効期限・名義など。うち4アカウント分はセキュリティコードも。いずれも決済が完了していない注文のもの |
悪用 | 盗まれたメール送信サービスの鍵を使って、不正なメールが11,441件送られた |
対象地域 | 台湾、香港、マカオ、シンガポール |
この件から分かる3つの弱点
1. 「1社だけのために用意したツール」が入口になった
本体のシステムではなく、特定の取引先向けに用意した分析ツールから入られています。一部の人しか使わない仕組みほど、更新や監視が手薄になりがちです。
2. 保存しなくてよいカード情報が残っていた
流出したカード情報は、決済が終わっていない注文のものでした。ACCESSは、決済が終わっていないカード情報を保存しないようにプログラムを直すとしています。持っていない情報は漏れません。
3. メール送信の鍵まで盗まれた
サーバーに置かれていたメール送信サービスの鍵が使われ、1万件を超える不正なメールが送られました。正規の送信の仕組みから送られたメールは、受け取った側が偽物と見分けにくくなります。
ネットショップを運営する会社が見直したいこと
- 取引先や一部の担当者向けに作ったツール・管理画面が残っていないか。使っていないものは止める
- カード情報を自社のサーバーに持たない仕組みになっているか（決済代行会社にカード情報を預ける形が基本）
- サーバーやプログラムの中に、メール送信や外部サービスの鍵がそのまま置かれていないか。定期的に作り直しているか
- 受注や顧客の情報を、必要な期間を過ぎても持ち続けていないか
委託先や取引先の仕組みから入られる攻撃は中小企業が狙われるサプライチェーン攻撃とはでも解説しています。
通販を使う側が気をつけたいこと
今回は日本の利用者は対象外ですが、通販サイトの漏えいは国内でも続いています。カードの利用明細は月に一度は確認し、身に覚えのない請求があればカード会社に連絡しましょう。通販サイトを装った偽メールの見分け方は偽の通販サイトを見抜く7つのチェックポイントにまとめています。
まとめ：使っていないツールと、持たなくてよい情報を減らす
- ACCESSの台湾子会社のEC支援サービスで、約15.5万件の顧客情報と1,305アカウント分のカード情報が流出。4件はセキュリティコードも
- 入口は取引先1社向けの分析ツール。盗まれたメール送信の鍵で不正メールも送られた
- ネットショップは、使っていない管理画面・保存しなくてよいカード情報・置きっぱなしの鍵を見直す
「自社のネットショップにどんな管理画面やツールが残っているか分からない」という会社は、BULLCOM Securityにご相談ください（法人向けサービス）。まずはLINEでお気軽にどうぞ（無料）。
参考：ITmedia NEWS（ACCESSの2026年10月15日付の発表に基づく）
