アイルの不正アクセス（CROSS POINT・メール配信）｜公表と続報のまとめ

何が起きたか

CROSS POINT の導入企業1社で会員の情報が取られた件（2026年11月10日の公表）

アイルは2026年11月10日、同社が提供する店舗とネットショップの会員・ポイントのシステム「CROSS POINT」の導入企業1社で、APIを使った不正アクセスにより会員の情報の一部が第三者に取られたと公表しました。11月7日未明に検知したもので、その企業専用の正規のAPIの認証キーが外部に流出して悪用されたことによるとしています。同社のデータベースへの直接の侵入やプログラムの脆弱性によるものではないとしています。 取られたのは、氏名・生年月日・住所・電話番号・メールアドレス・会員番号・会員ランク・保有ポイント・店舗のカード番号・ネットショップの会員ID・購買の統計などです。クレジットカードの情報とログインのパスワードはシステムに持っていないため対象外で、ほかの導入企業では漏えいの痕跡はないとしています。導入企業の名前と件数は公表されていません（アイルの2026年11月10日の発表）。

メール配信の委託先経由のメールアドレスの漏えい（2026年11月4日の公表）

アイルは2026年11月4日、同社が使うメールマガジンの配信サービス（データX が提供）が配信の一部に使っているアララの「repica」への不正アクセスで、同社が配信に使ったメールアドレス42,285件が漏えいしたと公表しました。10月8日〜29日にセミナー・展示会の案内などのメールを受け取った人が対象で、メールの件名・本文・氏名は含まれず、同社のシステムの顧客情報や取引の情報の漏えいは確認されていないとしています（アイルの2026年11月4日の発表）。

会社の対応

• CROSS POINT：対象のキーを無効にして作り直し、不正アクセス元を遮断。11月9日22時15分にすべての導入企業のキーを作り直し、不正を見つける仕組みを強めた。APIの認証情報の管理の強化、定期的な変更、権限の最小化を再発防止策に挙げています
• メール配信の件：漏えいの対象と確かめた人に個別にメールで連絡するとしています

この事例から中小企業が学べること

• システムをつなぐAPIのキーを置いている場所を一覧にし、ソースコードや共有のフォルダに書かれたままにしない
• APIのキーを定期的に変え、読める項目と使える接続元を絞る
• 委託先がさらに別の会社のサービスを使っていないか（再委託）を確かめる
• 展示会やセミナーで集めた名刺のメールアドレスも、配信のサービスに預けたら漏えいの対象になることを踏まえ、預ける範囲と期間を決める