IDAREで13万人の情報漏えい、対象確認と詐欺連絡に注意

IDAREで13万人の情報漏えい、対象確認と詐欺連絡に注意 ITニュース

IDARE の不正アクセスで、登録者約13万人の個人情報が漏えいしました。残高や取引履歴まで含まれているため、利用者はもちろん、社内でキャッシュレスサービスを使っている人がいる情シス担当者も、まず「対象かどうか」を押さえておきたい話です。

いつ発表された情報か

この記事の事実は、公式のお知らせに書かれている内容に限っています。

IDARE の漏えいで対象になるのは誰か

結論から書くと、対象は 2026年9月27日までに IDARE に登録した 129,659 人です。退会済みの人も含まれます。

項目 内容
対象者 2026年9月27日までの登録者 129,659 人（退会済みを含む）
原因 カスタマーサポート等の業務で導入していた外部ソフトウェアの脆弱性の悪用
不正アクセスの期間 2026年8月10日から9月27日の間に複数回

対象者には、メールで個別に案内するとされています。自分が対象かどうかは、まずその案内メールで確かめるのが近道です。不明な点は、公式が案内している「お問い合わせ」の窓口へ連絡してください。

悪用された外部ソフトウェアの製品名や CVE 番号は、公式のお知らせに記載がありません。この記事でも書きません。

IDARE で漏えいした情報と、漏えいしていないとされる情報

公式のお知らせでは、漏えいした項目が、全対象者と一部の対象者に分けて書かれています。

区分 漏えいした項目
全対象者 電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報／アカウントの設定・ステータス／残高／取引履歴／IDAREカードの名義と有効期限
一部の対象者 氏名・住所・性別・利用目的・本人確認書類の番号などの本人確認時の申請内容／IDAREカード番号の下4桁／入金用クレジットカード番号の先頭6桁と下4桁／入金用銀行口座番号の下3桁／リアルカードのアクティベーションコード／貸付サービス LADDER の利用目的で 2021年10月までに入力した年収・勤務先などの属性情報

一方で、公式は次の情報は漏えいしていないとしています。

区分 漏えいしていないとされる項目
本人確認 本人確認書類・顔の画像
ログイン ログインパスワード
IDAREカード 全桁の番号、セキュリティコード、暗証番号
クレジットカード 全桁の番号、有効期限、セキュリティコード、暗証番号
銀行口座 全桁の番号、暗証番号
IDARE の情報漏えいで、対象かどうかを虫眼鏡で確かめるイメージ

リアルカードのアクティベーションコードは漏えい項目に入っていますが、公式は第三者のアカウントでは使えないとしています。

ごはんにたとえると、名簿と注文履歴が持ち出されたけれど、金庫の鍵と暗証番号は無事だった、という説明です。ただし、これは運営会社の調査結果です。名簿と注文履歴だけでも、悪用のしかたはあります。

IDARE の漏えいで起きうる被害と、公式が示す対応

公式が示している現状は次のとおりです。

  • 現時点で、本件に起因する不正な取引は確認されていません
  • 残高は保全され、サービスは通常どおり利用できます
  • 新たな不正アクセスも確認されていません
  • ログインには多要素認証が必須で、漏えいした情報だけでは第三者はログインできないとしています

ここで読み違えたくないのは、確認されていないのが「不正な取引」だという点です。電話番号、メールアドレス、生年月日、残高、取引履歴が外に出ている以上、それを材料にした詐欺の連絡が来る可能性は否定されていません。実際に公式も、Fivot や IDARE を装った不審なメール・SMS・電話が届く可能性があると注意喚起しています。

公式が示している注意点は、次の2つです。

  1. Fivot や IDARE を装った不審なメール・SMS・電話に注意する。身に覚えのない連絡のリンクや添付ファイルは開かず、個人情報を入力しない
  2. 同社は、メール・SMS・電話でパスワード、暗証番号、セキュリティコード、多要素認証コードを尋ねない。尋ねられたら応じない

運営会社側の対応としては、不正アクセスの経路の遮断、当該ソフトウェアの利用終了、関連する認証情報の更新を完了したとされています。法令に基づく報告、再発防止策の策定、弁護士を含む第三者による調査も進めています。再発防止策には、脆弱性情報の継続的な監視、アクセスログの監視・アラート体制の整備、外部専門家による第三者調査の受け入れ、情報管理体制の強化が挙げられています。

情シス担当者が IDARE の件でやること

公式にあるのは、利用者向けの注意喚起です。それを踏まえて、情シスの立場で「やるとよいこと」を整理します。ここから先は公式の指示ではなく、この記事の提案です。

やること 位置づけ
社内の IDARE 利用者がいるかを確かめる（業務で使っていない場合は不要） 提案
利用者に、公式のお知らせと、案内メールの有無を伝える 提案
「Fivot や IDARE を名乗る連絡で、認証コードや暗証番号を聞かれても答えない」を社内に周知する 公式の注意喚起と同じ内容
不審なメール・SMS を見つけたときの社内の報告先を、あらためて伝える 提案

ごはんにたとえるなら、お店の名簿が外に出たと聞いたら、「お店を名乗る電話には、暗証番号を教えない」と家族に先に言っておくようなものです。被害が出てから動くより、連絡が来る前に一声かけるほうが、ずっと安上がりです。

IDARE の件で確認できていない点

次の点は、公式のお知らせに記載がなく、確認できていません。断定しないでください。

  • 悪用された外部ソフトウェアの製品名と CVE 番号
  • 個人情報保護委員会への報告の時期などの詳細（「法令に基づく報告を進めている」とだけ書かれています）
  • 公式ページの正確な掲載時刻と、更新の履歴

漏えいした項目や対応は、今後の調査で更新される可能性があります。実際に動く前に、公式のお知らせで最新の内容を確認してください。

まとめ

  • IDARE の不正アクセスで、2026年9月27日までの登録者 129,659 人（退会済みを含む）の情報が漏えいした
  • 全対象者で、電話番号、メールアドレス、生年月日、残高、取引履歴などが漏えいした。ログインパスワードや各種カードの全桁番号などは、漏えいしていないとされる
  • 現時点で確認されていないのは「不正な取引」。漏えい情報を使った詐欺の連絡は、警戒が必要
  • 公式の注意喚起は、不審な連絡のリンク・添付を開かない、認証コードや暗証番号を教えない、の2点

ほかの IT の話題は、Tech カテゴリーの記事一覧からどうぞ。

ITもごはんも、腹八分目が長続きのコツ！

コメント