ACCESSの台湾子会社に不正アクセス｜通販の顧客15万件とカード情報が流出

ACCESS が2026年10月15日、台湾の子会社 ACCESS AP TAIWAN が海外に進出する EC 事業者向けに提供する業務支援サービス「CROS」で、第三者の不正アクセスがあったと公表しました。 取引先が運営する通販を使ったお客様の情報（お客様 ID 155,280件）と、決済が終わっていない注文のカード情報が流出したとしています（ACCESS の2026年10月15日の発表）。 盗まれたメール送信サービスの鍵を使って、不正なメール11,441件も送られています。対象の地域は台湾・香港・マカオ・シンガポールです。

公表された内容

• 気づいた日：2026年9月11日に CROS で使うサーバーへの不正アクセスの兆しを検知し、サーバーを止めて切り離した（2026年10月15日の発表）
• 侵入の入口：CROS の取引先のうち、特定の1社だけに提供していた BI ツール（データを集計・可視化するツール）が起点。不正アクセスはこのツールのアプリケーションの層で行われ、CROS 本体の基盤への直接の侵入は検出されていないとしています
• 個人情報：お客様 ID 155,280件・受注 ID 231,998件。氏名・電話番号・住所・メールアドレスと関係する受注の情報。ほかの取引先に関する個人情報の漏洩は確認されていないとしています
• カード情報：延べ1,671件、重複を除いて1,305アカウント。カード番号・有効期限・氏名など。セキュリティコードまで漏れたのは4件で、残り1,301件はセキュリティコード以外。決済が終わっていない注文のものだけとしています
• そのほか：利用している決済サービスのアカウント情報
• 不正なメール：11,441件。漏れた個人情報ではなく、侵入者が用意した別のリストに、盗んだメール送信サービスの鍵で送られたと説明しています
• 届け出・通知：BI ツールを使っていた取引先が個人情報保護委員会へ報告し、AP 台湾も台湾の当局に報告。お客様への通知は取引先から行っているとしています

経緯

• 2026年9月11日：不正アクセスの兆しを検知し、サーバーを緊急停止・隔離
• その後の調査で、サーバーから参照できた個人情報と設定情報の一部が取られたと判明。CROS 全体を一時止めてデータベースのパスワードを変更（いまは復旧済み）
• 2026年10月15日：ACCESS が公表（適時開示）
• 子会社自身のお知らせのページは、10月27日時点で見つけられていません

中小企業が今日からできること

• 取引先ごとに作った追加の道具を棚卸しする：特定の顧客のために立てた集計ツールや管理画面が、本体と同じデータベースにつながっていないかを確かめる。つながっているなら、見られる範囲をその顧客の分だけに絞る
• 決済が終わっていないカード情報を持たない：自社の EC や受注システムが、途中で止まった注文のカード番号を保存していないかを制作会社に確かめる。カード情報は決済代行会社に預ける形にする
• メール送信サービスの鍵を守る：メール配信の API キーをサーバーの設定ファイルにそのまま置いていないか、使う IP アドレスを絞っているかを確かめる。漏れた疑いがあればすぐ作り直す
• 送信の量の急な増え方に気づく：メール配信サービスの送信数に上限と知らせを設定し、ふだんと違う大量の送信を止められるようにする
• 越境 EC の委託先に事故のときの取り決めを確かめる：海外向けの販売を外部のサービスに任せているなら、漏えいのときにだれが当局へ届け、だれが顧客に知らせるかを契約で確かめておく