ACCESS（台湾子会社・CROS）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月15日、ACCESS は、台湾の子会社 ACCESS AP TAIWAN が海外に進出する EC 事業者向けに提供する業務支援サービス「CROS」で第三者の不正アクセスがあり、取引先の通販を使ったお客様の情報が流出したと公表しました（ACCESS の発表）。 2026年9月11日にサーバーへの不正アクセスの兆しを検知しています。入口は、CROS の取引先のうち特定の1社だけに提供していた BI ツールでした。 流出したのは、お客様 ID 155,280件・受注 ID 231,998件の氏名・電話番号・住所・メールアドレスなどと、決済が終わっていない注文のカード情報1,305アカウント分（セキュリティコードまで含むのは4件）、決済サービスのアカウント情報です。対象の地域は台湾・香港・マカオ・シンガポールです。 盗まれたメール送信サービスの鍵で、不正なメール11,441件も送られたとしています。

会社の対応

• サーバーの切り離しと緊急停止、メール送信用の認証情報の無効化・更新
• CROS 全体を一時止めてデータベースのパスワードを変更（いまは復旧済み）
• 稼働中のシステムのすべての取引先について、カード情報をマスク処理。決済サービスの秘密鍵を更新中
• BI ツールのセキュリティを強めてから再稼働し、決済が終わっていないカード情報を持たないよう CROS 本体のプログラムを直す予定としています
• 本社のセキュリティとサーバーの専門の社員が、対策の実行と検証を支えるとしています
• 取引先が個人情報保護委員会へ報告し、AP 台湾も台湾の当局に報告。お客様への通知は取引先から行っています

この事例から中小企業が学べること

• 特定の顧客向けに追加した道具も、本体と同じように守り、見られるデータの範囲を絞る
• 決済が終わっていない注文のカード情報を保存しない
• メール配信などの API キーの置き場所と使える範囲を見直し、漏れたらすぐ作り直す
• 海外向けの販売を外部に任せるときは、事故のときの届け出と顧客への連絡の分担を契約で決めておく