IDARE（Fivot）の不正アクセス 第2報｜接続元の制限など再発防止策を公表

前払い式のキャッシュレスサービス「IDARE」への不正アクセスを公表していた Fivot が、2026年10月21日に第二報を出しました。 インターネットから届く管理用のソフトウェアに接続元の制限と証明書による認証を必須にしたことなど、再発防止策と、それぞれを終える予定の日を示しています（Fivot の2026年10月21日の発表）。 IDARE の利用者と、業務で外部のソフトウェアを使う会社に関係します。

公表された内容

• 件数：第二報には件数の記載はありません。第一報（10月13日）では、退会した人を含む12万9659人としていました
• 不正な取引：10月21日時点で、この件による不正な取引は確認されていないとしています。被害が出た場合は補償の制度に基づいて補償するとしています
• ログイン：ログインには多要素認証を必須にしており、漏えいした情報だけでは第三者がログインできないと説明しています
• 実施した再発防止策：インターネットから届く管理業務用のソフトウェアなどで、接続元の制限と証明書による追加の認証を必須にした。顧客の情報を見られる権限を業務に要る最小限に絞り、定期的に見直す運用に変えた
• これから行う再発防止策：使っている外部のソフトウェアすべての脆弱性情報を自動で監視し、期限内に修正版を当てる仕組み（10月30日までに完了予定）。大量のアクセスや普段と違うアクセスを見つけてすぐ知らせる監視（10月30日までに完了予定）。法令で保存の義務がない情報（メールアドレス・電話番号など）の保存期間を項目ごとに決め、退会後に定期的に消す仕組み（11月30日までに完了予定）
• 調査：外部の専門機関による第三者の調査を続けており、結果は11月下旬から12月上旬ごろの見込み。終わりしだい調査報告書を公表するとしています
• 原因の詳細：第三者の調査で調べているとしており、第二報では公表されていません

経緯

• 2026年10月13日：第一報。カスタマーサポートなどに使っていた外部のソフトウェアの脆弱性を8月10日から9月27日にかけて複数回悪用され、12万9659人の情報が漏えいしたと公表
• 2026年10月21日：第二報。実施した再発防止策と、これから行う対策の完了予定日、第三者の調査の見込みを公表

中小企業が今日からできること

• 管理画面に「どこからでも入れる」状態をなくす：サポートツールや管理画面がインターネットから開けるなら、会社の回線や VPN からだけ入れるように接続元を絞り、ID とパスワードに加えて多要素認証か証明書を求める
• 見られる人を絞り、定期的に見直す：顧客の情報を見られるアカウントを一覧にし、業務に要らない人の権限を外す。異動や退職のたびと、半年に1回など決めた時期に見直す
• 外部ソフトの更新に期限を決める：使っている外部のソフトウェア・クラウドの一覧を作り、脆弱性の情報が出たら何日以内に修正版を当てるかを決めて担当を置く
• 要らなくなった情報を消す：退会した顧客や取引が終わった相手の連絡先を、いつまで持つかを項目ごとに決め、期限が来たら消す。持っていない情報は漏えいしない
• IDARE を名乗る連絡に注意する：社員が IDARE を使っていれば、パスワードや認証コードを聞くメール・SMS・電話は同社からは来ないことを伝える