【インシデント速報】2026年8月26日｜全日空商事「選べるe-GIFT」不正交換・ウェブライフOEM最大7,425件・エリッツHDクラウド設定不備
secure【インシデント速報】2026年8月26日｜全日空商事「選べるe-GIFT」不正交換・ウェブライフOEM最大7,425件・エリッツHDクラウド設定不備
今日の3件は「自社が使っている外部サービス経由で被害が及ぶ」という共通点を持ちます。取引先向けギフトサービスの不正利用、OEMで提供元が攻撃される構図、クラウドの設定ひとつでファイルが誰でも見られる状態——いずれも自社の努力だけでは防ぎきれません。自社が「預けている先・借りている先」の安全性を、今日確認してください。
全日空商事「選べるe-GIFT」 — 不正アクセスで契約企業担当者の情報が閲覧、ギフトの不正交換も発生
全日空商事株式会社は2026年8月24日、法人向けデジタルギフトサービス「選べるe-GIFT」の管理運用システムが第三者による不正アクセスを受けたと公表しました（第1報）。不正アクセスがあったのは2026年8月11日から12日にかけてで、一部の契約企業担当者について、氏名やメールアドレスの一部などが記載されたページが数分間にわたって閲覧されていたことが判明しています。
加えて、一部の「選べるe-GIFT」が第三者に不正に交換された事象も確認されました。「選べるe-GIFT」は約300社が導入する法人向けデジタルギフトで、企業が謝礼やキャンペーン特典として顧客・従業員に配布する用途に使われています。同社は8月24日時点までの調査で、漏えいした可能性がある個人情報の不正利用などの報告は受けていないとしています。
中小企業への影響
キャンペーン特典や謝礼としてデジタルギフトを配る中小企業は多く、その配布・管理を外部サービスに任せているケースがほとんどです。今回はサービス提供側が攻撃を受け、契約企業（=利用する中小企業）の担当者情報が閲覧され、さらにギフトが不正交換されて金銭的被害につながりました。自社のセキュリティが万全でも、利用している法人向けサービスが破られれば、担当者情報と配布原資の両方が危険にさらされます。
推奨対応
- 利用中の法人向けギフト・ポイント・特典サービスについて、管理画面のアクセス権限を棚卸しし、多要素認証（MFA）を有効化する
- ギフトの発行・交換履歴を定期的に確認し、身に覚えのない交換がないか監視する仕組みを作る
- サービス提供元のインシデント公表・お知らせを受け取れるよう、担当者の連絡先を最新に保ち、通知メールを見落とさない運用にする
ウェブライフ — OEM向けホームページ作成サービスに不正アクセス、最大7,425件の個人情報が漏えいの可能性
株式会社ウェブライフは2026年8月18日、同社が提供するOEM向けホームページ作成サービスに第三者による不正アクセスがあったと公表しました。8月17日にシステム監視で異常なアクセスを検知して調査したところ、8月14日から17日にかけて不正アクセスが行われ、一部の顧客情報が改ざんされるとともに、外部へ漏えいした可能性があることが判明しました。
対象は同社のOEMパートナーを通じてサービスを利用していた最大7,425人分で、漏えいした可能性がある情報は氏名・フリガナ、住所・郵便番号、メールアドレス、電話番号・FAX番号・携帯電話番号、性別、職業、生年月日などです。パスワードやクレジットカード情報の漏えいは確認されていません。なお、同社が直販するホームページ作成サービス「BiNDup」の利用者は対象外としています。
中小企業への影響
OEMとは、あるサービスを別ブランドの名前で提供する仕組みです。今回は、OEMパートナー（他社ブランドでこのサービスを再販していた事業者）を通じた利用者が被害対象になりました。自社サイトを外部のツールやパートナー経由で作っている中小企業にとって、顧客はあなたの会社を信頼していても、実際にデータを預かっているのは裏側の提供元です。提供元が破られれば、自社ブランドで集めた顧客データがまとめて流出し、改ざんまで受ける恐れがあります。
推奨対応
- 自社サイトやフォームで集めた個人情報が、最終的にどの事業者のシステムに保存されているかを契約書・仕様書で確認する
- 再販・OEMで導入したツールについて、提供元のセキュリティ対策とインシデント時の通知義務が契約に含まれているか点検する
- 顧客情報を扱うフォームは、収集項目を必要最小限に絞り、不要な生年月日・性別などの取得をやめる
エリッツホールディングス — クラウドのアクセス制限不備で、入居申込者の個人情報が流出の可能性
賃貸住宅の仲介などを手がけるエリッツホールディングス（東証上場・証券コード5533）は2026年8月20日、入居申込者の個人情報が外部に流出した可能性があると公表しました（第1報）。同社は住宅申込者とメールでやり取りした情報をクラウド環境に保管していましたが、そのファイルのアクセス制限に不備があったことが原因です。
2026年8月17日に外部の調査会社から指摘を受けて不備が判明し、同日中にアクセス制限を改善しました。対象となるファイルには、2021年4月3日から現在までに同社と住宅申込者との間でやり取りされた情報が含まれ、一部に個人情報を含む書類がありました。公表時点では実際の外部流出は確認されておらず、流出の有無や対象件数は調査中としています。
中小企業への影響
これは攻撃者にサーバーを破られたのではなく、クラウドの「アクセス制限（権限設定）の不備」という設定ミスが原因です。クラウドストレージやファイル共有は便利な一方、共有リンクの範囲やアクセス権限の設定を一度誤ると、URLを知る第三者に長期間ファイルが見られ続けます。今回のように数年分のやり取りをクラウドに溜めている企業では、たった一つの設定ミスが大量流出に直結します。攻撃より設定ミスのほうが、中小企業では現実的なリスクです。
推奨対応
- クラウドストレージ・共有ドライブの共有設定を棚卸しし、「リンクを知る全員が閲覧可」になっているファイル・フォルダを洗い出して制限する
- 個人情報を含むファイルは、アクセスできる人を明示的に指定する方式（招待制）に統一し、社外リンク共有を原則禁止にする
- 古い申込書・やり取り記録は保存期間を決めて定期的に削除し、クラウドに溜め込まない運用にする
編集部まとめ
今日の3件は、いずれも「自社が使っている外部サービス・クラウド」が起点でした。全日空商事は法人向けギフトサービスが破られて不正交換まで発生し、ウェブライフはOEM提供元への攻撃で他社ブランドの顧客が被害を受け、エリッツHDはクラウドの設定不備で数年分の申込情報が流出しかけました。「借りている先・預けている先・裏側でデータを持つ先」の安全性を確認し、権限とデータ保持を最小限に絞ることが、中小企業の現実的な防御になります。
