確認日：2026年10月17日。ACCESSは10月15日、台湾の子会社ACCESS AP TAIWANが提供するEC業務支援サービス「CROS」で不正アクセスがあり、取引先1社の通販サービス利用者に関する情報が流出したと公表しました。顧客IDは15万5,280件、受注IDは23万1,998件です。クレジットカード情報も一部流出しており、対象は決済未完了の注文に限られると説明しています。
対象地域として公表されたのは台湾、香港、マカオ、シンガポールです。個別の通販事業者名や、利用者が自分で対象か照会できるページは発表資料に記載されていません。件数や対象範囲を誤解しないよう、ACCESSの公式開示に沿って整理します。
ACCESSの情報漏えいで何が起きた？
不正アクセスの兆候を検知したのは2026年9月11日です。ACCESS AP TAIWANは対象サーバーを緊急停止・隔離して調査を開始し、サーバーから参照できた個人情報や設定情報の一部が第三者に取得されたと判明したため、10月15日に公表しました。
ACCESSは日本の上場企業ですが、今回発表されたのは連結子会社AP台湾が提供するサービス上の事案です。侵入経路は、CROSを利用する取引先のうち特定の1社にのみ提供していたBIツールが起点と説明されています。発表時点で、他の取引先に関係する個人情報の流出は確認されていません。
漏えいした情報と件数
| 情報の区分 | 公表件数 | 確認された主な項目 |
|---|---|---|
| 顧客ID | 155,280件 | 氏名、電話番号、住所、メールアドレス、関連する受注情報 |
| 受注ID | 231,998件 | 受注に関する情報 |
| クレジットカード関連 | 延べ1,671件／1,305アカウント | カード番号、有効期限、氏名など。セキュリティコードの流出範囲は下記の説明を参照 |
| 決済サービス関連 | 件数・詳細は未公表 | 利用している決済サービスのアカウント情報 |
| 不正メール送信 | 11,441件 | 盗まれたメール送信サービスの認証情報が悪用されたと説明 |
顧客ID15万5,280件と受注ID23万1,998件は種類の違う記録です。足し合わせて「何人が被害に遭った」とは言えず、実人数や重複の有無も開示資料からは確認できません。
カード情報は、決済が完了していない注文に関係するものとされています。1,305アカウントのうち、カード番号など資料に列挙された項目がすべて漏えいしたのは4件で、残る1,301件ではセキュリティコード以外の情報が漏えいしたとACCESSは説明しています。「全員のカード情報が同じ範囲で漏れた」という意味ではありません。
対象者は誰？日本から使った人も対象？
ACCESSの公表では、漏えいした顧客情報はAP台湾の取引先1社が運営する通販サービスの利用者に関するものです。対象地域は台湾、香港、マカオ、シンガポールとされています。取引先名や通販サービス名は公表資料に記載されていません。
日本から利用した人が対象に含まれるか、対象者が日本国籍かどうかは、今回確認できた公式開示では明らかにされていません。対象地域に関係する通販サービスを利用した可能性がある人は、購入先の公式サイトやアプリから告知を確認してください。日本国内の利用者が一律に対象外だと断定することもできません。
利用者が今できる確認と対処
今回の発表では、対象者への通知は通販サービス事業者から行うとされています。ACCESSが個人向けの照会ページを案内した事実は確認できません。購入先からの連絡を待つ場合も、送信元やリンク先に不安があれば、メール内のリンクを使わず公式サイトやアプリを自分で開いて問い合わせてください。
クレジットカード情報は漏れた？
カード情報は一部で漏えいが確認されています。カード番号、有効期限、氏名などに関する情報が対象で、カード利用明細に不審な取引があれば、カード会社の公式アプリ・電話窓口から相談してください。カード情報の対象となった注文は決済未完了分と説明されていますが、対象者は購入先からの案内を確認してください。
自分が対象かネットで照会できる？
2026年10月15日の発表資料には、顧客が自分のメールアドレスなどを入力して対象か確認するページは案内されていません。ACCESSは、通販サービス利用者への通知をサービス事業者が実施するとしています。購入先を特定できない場合は、決済履歴や注文確認メールから販売元を確認し、その公式窓口に相談してください。
ACCESSを名乗るメールが届いたら？
ACCESSは、不正メール送信が11,441件あったと公表しました。メール解析では、今回漏えいした個人情報そのものを送信先リストとして使ったのではなく、侵入者が用意した別のリストと、サーバーから窃取したメール送信サービスの鍵情報が使われたと判断しています。11,441件を「個人情報が漏れた人数」と読み替えることはできません。
サービスの復旧状況とACCESS側の対応
発表資料によると、対象サーバーの隔離・緊急停止、メール送信用認証情報の無効化・更新、CROSの一時停止とデータベースパスワードの変更が行われ、CROSは発表時点で復旧済みです。稼働中システムでカード番号をマスクする対応も実施したとしています。一方、決済サービスの秘密鍵は一部更新作業中です。
再発防止策として、起点となったBIツールを強化してから再稼働すること、決済未完了のクレジットカード情報をCROS本体に保持しないようプログラムを修正すること、ACCESS本社の専門家がセキュリティ強化を支援することを予定しています。実施済みの対策と今後の予定を分けて確認してください。
よくある質問
CROSは現在使えますか？
ACCESSは、CROSサービス全体を一時停止し、データベースパスワードを変更した後、発表時点で復旧済みと説明しています。個別の通販サービスの受付状況は、利用している販売元の公式案内も確認してください。
CROSのログインパスワードも漏れましたか？
発表資料には、CROSのログインパスワードが流出したとは記載されていません。一方、利用している決済サービスのアカウント情報は対象情報に含まれますが、項目や件数は明らかにされていません。利用先の通販事業者や決済サービスから個別に案内が届いた場合は、その公式手順に従ってください。
確認できたこと：対象は特定の取引先1社に関係する通販利用者の情報、カード関連情報の一部、決済サービスのアカウント情報です。未確認：取引先の通販事業者名、個別の対象者、利用者ごとの流出項目、漏えいデータの悪用状況、国内利用者への影響範囲の詳細です。続報が公表された場合は公式資料を確認して更新します。
出典：ACCESS「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」（2026年10月15日）。同社の適時開示PDFはこちらです。事案の件数や対象範囲は公式発表に記載された範囲で引用しました。
企業の情報漏えい事案と利用者の確認方法については、ヤマト運輸の情報流出、コミックシーモアの情報漏えい、ショップサーブの情報流出もまとめています。各事案は対象情報や対応が異なるため、個別の公式発表を確認してください。
更新日：2026年10月17日。対象範囲と対処はACCESSの2026年10月15日付開示に基づきます。