事案の概要データ
| 公表日 | 2026年11月6日（2つの事案を同時に公表） |
|---|---|
| 事案（1）ポイントインカム | 2026年10月29日に開発環境への不正アクセスを検知 |
| 事案（1）の対象 | 開発環境にテスト・検証用として一時的に保管されていた、2025年11月15日時点の会員情報のバックアップ |
| 事案（1）の件数 | 会員情報 約11,100人分、端末ID 4件（閲覧された可能性） |
| 事案（1）の項目 | ニックネーム、登録メールアドレス、生年月日、当時の保有ポイント数、当時のパスワードと秘密の質問の暗号化された文字列。一部に電話番号16人分、口座名義1人分 |
| 事案（1）の本番環境 | 本番サービスサーバーへの侵入や、最新の顧客情報の閲覧は確認されていない |
| 事案（1）の対応 | 対象約11,100人のログインを停止し、パスワードと秘密の質問をリセット。SNSログイン連携も停止 |
| 事案（2）CoinTrade | 委託先が利用するアララのメール配信サービス「repica」への不正アクセス |
| 事案（2）の件数 | 2026年10月8日〜29日のメール配信先 88,289件（重複除外）。現役利用者の人数を表す数字ではない |
| 事案（2）の項目 | メールアドレスのみ |
| 事案（2）の確認 | マーキュリーのシステム本体への侵入や、本件に伴う不正ログイン・資産流出は確認されていない |
| 経緯（事案2） | 2026年11月2日に委託先から流出の連絡、11月4日に対象アドレス一覧を受領 |
| 別事案 | セレスは2026年10月7日にも、10月5日から検知した不正アクセスで会員・従業員など計195件が閲覧された可能性を公表している |
図解：この事故の構造
何が起きたのか
株式会社セレスは2026年11月6日、性質の異なる2つの事案を同時に公表しました。
（1）ポイントサイト「ポイントインカム」。 2026年10月29日に開発環境への不正アクセスを検知しました。同環境には、テスト・検証用として2025年11月15日時点の会員情報のバックアップが一時的に保管されており、約1万1,100人分が閲覧された可能性があります。項目は、ニックネーム、登録メールアドレス、生年月日、当時の保有ポイント数、当時のパスワードと秘密の質問の暗号化された文字列。一部に電話番号16人分、口座名義1人分が含まれます。
本番サービスサーバーへの侵入や、最新の顧客情報の閲覧は確認されていません。
（2）暗号資産交換サービス「CoinTrade」（連結子会社マーキュリー）。 委託先が利用するアララのメール配信サービス「repica」への不正アクセスにより、2026年10月8日から29日のメール配信先88,289件（重複除外）のメールアドレスが流出しました。項目はメールアドレスのみで、マーキュリーのシステム本体への侵入や、資産流出は確認されていません。
公表文は「両者は影響を受けたシステムと確認された状況が異なり、同じ侵入事件として扱うことはできない」としています。
「1年前のバックアップ」が開発環境に置いてあった
事案（1）で、いちばん考えるべき点がここです。
2025年11月15日時点の会員情報のバックアップが、2026年10月の時点で開発環境に残っていました。約1年前のデータです。
公表文は「テスト・検証用として一時的に保管されていた」と説明しています。一時的のつもりが、1年残った。 これは、どの会社でも起こります。
なぜ本番データを開発環境にコピーするのか。理由はあります。本番と同じ量・同じ形のデータでないと、動作や速度を確かめられないからです。架空のデータ100件では、10万件のときに起きる問題が見つかりません。
だから「絶対にコピーするな」とは言えません。言えるのは、コピーしたら消す期限を決めることです。
本サイトでは同じ11月に、ソニー少額短期保険（開発・テスト環境のテストデータが実在の従業員情報）、チームスピリット（開発用サーバーに本番の認証情報）を扱いました。開発環境の事案が、1か月で3件です。
中小企業が外注先に確認する質問を、もう一度書いておきます。
「作業のために、当社の本番データをコピーしていませんか。コピーしたものは、いつ消しますか」
そして、契約書や作業依頼書に「作業終了後○日以内に複製データを削除し、削除した旨を報告する」と1行入れる。これだけで、1年残ることは防げます。
なお、セレスは対象約1万1,100人のログインを停止し、パスワードと秘密の質問をリセットしました。「暗号化されているから大丈夫」と言わずに使えなくした判断は、適切です。
2つの事案を「別」とはっきり書いた
公表の形として評価したいのは、2つを同時に出しながら、別物だと明記したことです。
片方は開発環境への直接の侵入。もう片方は委託先のメール配信サービス経由の流出。原因も、対象も、確度（「閲覧された可能性」と「流出を確認」）も違います。
もしこれを「当社グループで約10万件の情報漏えい」とまとめて発表したら、どうなるか。
①対象者が、自分がどちらなのか分からない。 ポイントインカムの会員は再設定が必要ですが、CoinTradeの利用者はメールアドレスだけです。やるべきことが違います。
②原因の説明がぼやける。 2つの原因を1つの文章で書くと、どちらの再発防止策なのか分からなくなります。
③件数を足してしまう。 約1万1,100人と88,289件は、単位も性質も違います（前者は人、後者は件）。
本サイトは、「のべ件数」「項目別の件数」「実人数」を区別する方針を取っています。本件は、公表する側がその区別を実践した例です。
中小企業が複数の事案を抱えたとき（実際、本サイトでは1社で2件・3件の公表が11月に相次ぎました）、まとめずに分けて書くことをおすすめします。分けたほうが、読む人のやることがはっきりします。
なお、セレスは10月7日にも別の不正アクセス（計195件）を公表しています。同じ会社で、1か月に3件という状況です。
時系列で見る経過
- 2025年11月15日この時点の会員情報のバックアップが、後に開発環境へテスト・検証用として保管される
- 2026年10月5日〜（別事案）不正アクセスを検知。計195件が閲覧された可能性として10月7日に公表
- 2026年10月8日〜29日CoinTradeのメール配信先が、後に流出の対象となる
- 2026年10月29日ポイントインカムの開発環境への不正アクセスを検知。外部アクセスを遮断
- 2026年11月2日委託先から、CoinTrade関連のメールアドレス流出の連絡を受領
- 2026年11月4日委託先から対象アドレスの一覧を受領
- 2026年11月6日2つの事案を同時に公表。対象約11,100人のログイン停止とパスワード・秘密の質問のリセットを実施
中小企業が学ぶべきポイント
- 約1年前（2025年11月15日時点）の会員情報のバックアップが、開発環境に残っていた。
- 「一時的に保管」のつもりが1年残る。どの会社でも起こる。
- 本番と同じ量のデータでないと動作や速度を確かめられないため、コピー自体は否定できない。消す期限を決める。
- 外注先に「当社の本番データをコピーしていませんか。いつ消しますか」と聞く。
- 契約書に「作業終了後○日以内に複製データを削除し、報告する」と1行入れる。
- 2026年11月は開発環境が原因の事案が3件あった（ソニー少額短期保険、チームスピリット、本件）。
- 暗号化されたパスワードでも、ログインを停止してリセットした。使えなくする判断が確実。
- 2つの事案を同時に公表しながら「別物」と明記した。原因も対象も確度も違うため。
- まとめて「約10万件」と書くと、対象者が自分のやることを判断できず、件数も足されてしまう。
- 1社で複数の事案を抱えたときは、まとめずに分けて書く。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。