IDARE（Fivot）に不正アクセス｜利用者12万9659人の情報が漏えい

前払い式のキャッシュレスサービス「IDARE」を運営する Fivot が2026年10月13日、第三者の不正アクセスにより利用者の情報が漏えいしたと公表しました。 対象は退会した人を含む12万9659人です（Fivot の発表）。 カスタマーサポートなどの業務で使っていた外部のソフトウェアの脆弱性が悪用されたとしています。

公表された内容

• 件数：12万9659人。9月27日までに登録した利用者で、退会した人を含みます（2026年10月13日の発表）
• 全員に共通する情報：電話番号、メールアドレス、生年月日、ユーザーID、表示名、アカウントの設定と状態、残高、取引履歴、IDARE カードの名義と有効期限
• 一部の人の情報：本人確認のときに申請した氏名・住所・性別・本人確認書類の番号など、IDARE カード番号の下4桁、入金に使うクレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁、貸付サービスで入力した年収や勤務先など（2021年10月までの一部の登録者）
• 漏えいしていない情報：本人確認書類と顔の画像、ログインのパスワード、カード番号の全桁・セキュリティコード・暗証番号、銀行口座番号の全桁
• 時期：8月10日から9月27日にかけて、複数回の不正アクセスを受けたとしています
• 原因：サポート業務などで導入していた外部のソフトウェアの脆弱性の悪用。ソフトウェアの名前は公表されていません

会社の対応

• 法令に基づく報告と、弁護士を含む第三者による調査を進めている
• 対象の利用者にメールで個別に案内する
• 再発防止として、ソフトウェアの脆弱性情報を続けて監視する体制、アクセスの記録の監視と警告の体制、外部の専門家による調査の受け入れ、情報管理の強化を挙げています
• 同社をかたるメール・SMS・電話に注意するよう呼びかけ、パスワードや認証コードを尋ねることはないとしています

中小企業が今日からできること

• サポート業務のツールを「顧客データの置き場所」として数える：問い合わせ管理・チャット・FAQ などのツールが、どの顧客情報を読めるかを確かめ、必要以上の項目を連携しない
• 外部のソフトウェアの更新を担当者に割り当てる：自社で動かしている外部のソフトウェアを一覧にし、脆弱性の情報が出たら誰が何日以内に更新するかを決める
• アクセスの記録に警告を付ける：データベースから普段と違う量の読み出しがあったときに通知が届くようにする。今回は不正アクセスが約1か月半続いたとしています
• 顧客への連絡文を前もって用意する：「パスワードや認証コードを尋ねない」と明記した注意喚起の文面を作っておき、事故のときすぐに出せるようにする