アイルのCROSS POINTに不正アクセス｜流出したAPIキーを悪用

販売管理などのシステムを作るアイル（東証プライム）は2026年11月10日、同社が提供する「CROSS POINT（クロスポイント）」の導入企業1社で、APIを使った不正アクセスにより、会員の情報の一部が第三者に取られたと公表しました。 その企業専用の正規のAPIの認証キーが外部に流出し、悪用されたものです。同社のデータベースへの直接の侵入やプログラムの脆弱性によるものではないとしています（アイルの2026年11月10日の発表）。 CROSS POINT は、店舗とネットショップの会員やポイントをまとめて管理するシステムです。導入企業の名前と人数は公表されていません。

公表された内容

• いつ：2026年11月7日未明に外部からの不正アクセスを検知し、会員情報を取り出すAPIを通じて会員の情報が取られていたことを確認した
• 原因：導入企業1社専用の正規のAPIの認証キーが外部に流出し、悪用された。キーがどこから流出したかは公表されていません
• 取られた情報：氏名、生年月日、性別、郵便番号、住所、電話番号・携帯電話番号、メールアドレス、会員番号、会員ランク、保有ポイント、店舗のカード番号、ネットショップの会員ID、購買の統計（累計の購入金額・回数、最初と最後の購入日など）
• 含まれない情報：クレジットカードの情報とログインのパスワードは、システムに持っていないため対象外としています
• ほかの導入企業：現時点で漏えいの痕跡はないとしています
• 件数：公表されていません

会社の対応

• 判明後すぐに、対象のAPIのキーを無効にして作り直し、不正アクセス元を遮断した
• 同じ手口を防ぐため、11月9日22時15分にすべての導入企業のAPIのキーを無効にして作り直した。不正を見つける仕組みも強めた
• 再発防止として、APIの認証情報の管理を強め、定期的に変え、APIのアクセスの権限を最小にするとしています
• 導入企業と原因と影響の範囲を調べ続けるとしています

中小企業が今日からできること

• APIのキーを置いている場所を一覧にする：ECサイトやPOS、会員のシステムをつなぐキーが、ソースコード・設定ファイル・共有のフォルダ・チャットなどに書かれたままになっていないかを確かめる
• キーを定期的に変える：作り直しの手順と、変えたときに止まる連携先を、システムの会社と事前に確かめておく
• キーの権限を絞る：会員の情報をまとめて取り出せるキーが本当に要るか、読める項目と使える接続元（IPアドレスなど）を絞れるかを確かめる
• ふだんと違う量の取り出しに気づけるようにする：APIで大量の会員の情報が取り出されたら知らせが来るよう、システムの会社と相談する
• 取引先から急なキーの作り直しの連絡が来たときの担当を決める：今回は全社のキーが急に作り直されました。連携が止まったときに誰が対応するかを決めておく