最初に結論：2026年10月15日、ACCESSは台湾子会社のACCESS AP TAIWANが提供するEC支援サービス「CROS」で不正アクセスが起き、取引先の通販サービス利用者の情報が流出したと公表しました。確認された主な対象地域は台湾・香港・マカオ・シンガポールです。ACCESSの全利用者が対象という発表ではありません。
公表資料には日本国内の居住者が対象かどうかの内訳や、対象となった通販店の名前は記載されていません。「日本は対象外」とも断定できないため、海外向け通販を利用した人は、利用店からの正式な連絡を確認してください。この記事は2026年10月16日時点の公式発表を基に整理しています。
ACCESSの情報漏洩は何があった？9月に検知、10月15日に公表
対象となったのは、株式会社ACCESSの台湾子会社ACCESS AP TAIWANが海外進出するEC事業者向けに提供する業務支援サービス「CROS」です。利用者がACCESSのウェブサイトに登録したアカウントが一律に流出した、という内容ではありません。
ACCESSによると、CROSで使うサーバーへの不正アクセスの兆候を2026年9月11日に検知してサーバーを緊急停止・隔離。その後の調査で、サーバーから参照できた個人情報や設定情報の一部が取得されたことが分かり、10月15日に公表しました。
何が何件流出した？顧客ID・受注ID・カード情報の違い
顧客IDは155,280件、受注IDは231,998件です。関連する項目として、氏名・電話番号・住所・メールアドレス・受注情報が挙げられています。決済サービスのアカウント情報も対象項目として記載されていますが、その件数は公表資料にありません。
クレジットカード情報は延べ1,671件、重複登録や複数注文をまとめたアカウント数では1,305件です。カード番号・有効期限・氏名などが対象項目に含まれ、全項目が流出したのは4件。残り1,301件はセキュリティコード以外の情報が流出したと説明されています。対象はクレジットカード決済が完了していなかった注文分です。
また、メール送信サービスの認証情報を使った不正メールが11,441件送られました。ACCESSは、送信先リストは流出した個人情報そのものではなく、侵入者が別に用意したリストと判断したとしています。
対象者は誰？日本の利用者への影響は公表資料で分かる？
公表資料で示された地域は台湾・香港・マカオ・シンガポールです。不正アクセスの経路は、CROSを使う取引先のうち、特定の1社にだけ提供していたBI（データ分析）ツールが起点と説明されています。現時点で、ほかの取引先に関する個人情報の漏えいは確認されていないとしています。
一方、対象となった通販サービスの店舗名、利用者の国籍・居住地別の内訳は公表されていません。そのため「日本在住者が対象」とも「日本在住者は対象外」とも、公式資料だけでは断定できません。海外向け通販を使った人は、店舗からの連絡が届いているかを確認してください。
利用者が今すぐ確認することは？通知・カード・不審メール
利用者への通知は、ACCESS AP TAIWANではなく、通販サービスを運営する事業者から行うと公表されています。対象店舗の名前は資料にないため、心当たりのある海外通販サービスの公式サイトやアプリで案内を確認し、必要なら公式窓口へ問い合わせてください。
カード情報が対象になったと通知された場合や、身に覚えのない請求を見つけた場合は、カード会社へ連絡して利用停止・再発行などを相談します。全員が直ちにカードを止める必要があるとの発表ではありません。
不正メールも送られたと発表されています。カード再登録や注文確認を急がせるメール・SMSのリンクは開かず、公式アプリやブックマークから確認してください。公表資料はパスワード流出を明記していませんが、問い合わせ時もメールに返信してカード番号や認証コードを送らないでください。
ACCESSと子会社の対応、これから確認したい点
AP台湾は、対象サーバーの隔離・緊急停止、メール送信の認証情報の無効化・更新、データベースのパスワード変更などを実施し、CROSは公表時点で復旧済みです。稼働中システムではカード情報のマスク処理を行い、決済サービスの秘密鍵は一部更新済み・一部作業中とされています。
今後は、対象のBIツールを強化して再稼働すること、決済未完了のカード情報をCROS本体に保持しないようプログラムを修正することが予定されています。業績への影響は軽微と見込むものの、精査中とのことです。
よくある質問：ACCESSのサービス利用者は全員対象？
いいえ。公表内容はAP台湾のCROSと、その取引先の通販利用者に関するものです。ACCESSのすべての製品・サービス利用者が対象という説明ではありません。
日本に住んでいる場合は無関係？
公表された対象地域の一覧に日本はありません。ただし、店舗名や居住地別の内訳も公表されていないため、日本居住者が対象外と断定する根拠もありません。利用した通販サービスからの正式通知を確認してください。
出典：株式会社ACCESS「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」（2026年10月15日）。情報確認日：2026年10月16日。
関連する情報漏えいの確認ポイントは、ヤマト運輸の個人情報流出記事でも整理しています。