株式会社ACCESSは2026年10月15日、台湾子会社のACCESS AP TAIWANが提供するEC事業者向け業務支援サービス「CROS」で不正アクセスが発生し、通販利用者の個人情報などが流出したと発表した。

対象には顧客ID15万5,280件、受注ID23万1,998件、クレジットカード情報1,305アカウント分などが含まれる。

特定の取引先向けBIツールが侵入の起点

同社は9月11日、サーバーへの不正アクセスの徴候を検知し、緊急停止・隔離した。

調査では、特定の取引先1社に提供するBI（データ分析）ツールが侵入の起点と判明。他の取引先に関連する個人情報の漏洩や、「CROS」本体の基盤システムへの直接侵入は検出されていない。

一部カード情報にはセキュリティコードも

対象地域は台湾、香港、マカオ、シンガポール。氏名、電話番号、住所、メールアドレス、受注情報などが流出した。

カード情報は延べ1,671件で、重複を突合すると1,305アカウント分。このうち4件ではセキュリティコードを含む情報が、残る1,301件では同コード以外の情報が漏洩した。対象は決済未完了の注文に限られる。

盗まれた鍵情報で不正メール1万件超を送信

メール送信サービスの鍵情報も盗まれ、不正メール1万1,441件が送信された。同社は、送信先には流出した個人情報ではなく、侵入者が別途用意したリストが使われたと判断している。

子会社は認証情報の更新などを実施。一時停止したCROS全体は復旧済みで、今後は決済未完了のカード情報も保持しないよう改修する方針。利用者への通知は取引先のサービス事業者から行っている。

出典：ACCESS「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」⁠

※2026年10月15日付の公式発表に基づく。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから