決済プラットフォームELESTYLEの管理システムに不正アクセス、加盟店7,162件 アクセス制御の不備を悪用される

事案の概要データ

図解：この事故の構造

何が起きたのか

ELESTYLEは2026年10月29日、自社の管理システムへの不正アクセスを公表しました。同社は、PayPayやAlipayなど複数のモバイル決済を1つの窓口でまとめて導入できる「elepay」を提供する決済事業者です。

公表文によれば、2026年10月25日9時半頃から16時頃まで、「当社管理システムの一部機能におけるアクセス制御の不備を悪用した不正アクセス」を確認。同日中に外部からのアクセスを遮断し、不備は10月27日に修正しました。

取得された可能性があるのは、加盟店の登録情報の一部 7,162件。ユーザー名（企業名または氏名をユーザー名にしていた場合はその企業名・氏名）、メールアドレス、システム内部識別子などです。

含まれないものも明記されています。「ログインパスワード、エンドユーザー情報、クレジットカード情報、銀行口座情報、取引情報（注文情報・決済情報）、本人確認書類等は含まれておりません」。さらに「管理画面への不正ログインやサーバーへの侵入につきましても確認されておりません」「決済処理への影響は確認されておりません」としています。

「アクセス制御の不備」とは何か

原因として書かれている「アクセス制御の不備」は、中小企業がWebサービスを作るときにも起きる、ごくありふれた問題です。

簡単に言えば、「本来その人が見られないはずのデータが、見られる状態になっていた」ということです。

典型的なのは、こういう形です。管理画面のURLが `.../customer/1234` のようになっていて、末尾の番号を `1235` に変えると他人のデータが表示される。ログインはしているので「正規の利用者」ではあるのですが、本来その人のものではないデータまで見られてしまう。

あるいは、一覧を取得する機能（API）に件数の上限がなく、本来は自分の分だけ取るはずが、全件返ってきてしまう。今回「7,162件」という具体的な数字が出ていることから、一覧として取得された可能性がうかがえます（公表文に手口の詳細はありません）。

この種の不備が厄介なのは、攻撃に高度な技術が要らないことです。ブラウザのアドレス欄を書き換えるだけで成立します。そして、普通に使っているだけでは絶対に気づきません。 テストでは自分のデータしか見ないからです。

中小企業が自社のWebサービスやシステムを持っているなら、制作会社に次の2つを聞いてください。

①「URLの番号を変えると、他の利用者のデータが見られませんか」。 これを権限チェックと呼びます。

②「一覧を取得する機能に、取得できる範囲の制限はかかっていますか」。

そして、第三者による脆弱性診断を一度受けることを検討してください。自社や制作会社が自分でテストしても、この種の不備は見つかりにくいからです。費用は規模によりますが、数十万円からあります。顧客情報を預かるサービスなら、投資する価値があります。

「使っていないアカウントを削除してください」という依頼

この公表文には、加盟店向けに1つのお願いが書かれています。

「管理画面で現在ご利用になっていないアカウントがございましたら、削除していただくようお願い申し上げます」

さらりと書かれていますが、これは重要な依頼です。

今回漏えいしたのは、ユーザー名とメールアドレスです。これだけでは直接ログインはできません。しかし、「どのメールアドレスが、この決済サービスの管理画面にアクセスできるか」が分かります。

攻撃者にとって、これは狙い撃ちのリストです。そのメールアドレス宛に、ELESTYLEを装ったフィッシングメールを送れば、受け取った側は「自分が使っているサービスからの連絡だ」と考えます。

そして、使われていないアカウントは最も危ない。誰も見ていないので、乗っ取られても気づきません。パスワードも古いまま、変更されていない可能性が高い。

本サイトでは、バンダイロジパルの事案（侵入経路は「同社アカウントの不正利用」）でも同じ指摘をしました。使っていないアカウントは、機能を提供していないのに権限だけを持ち続けています。

中小企業が今日できる棚卸しは、これです。自社が使っているすべてのクラウドサービスで、ユーザー一覧を開く。 そして、次の3種類を探して削除してください。

①退職した人のアカウント。②異動して使わなくなった人のアカウント。③テスト用に作ったまま残っているアカウント。

クラウド会計、グループウェア、ECの管理画面、決済サービス、広告の管理画面、SNSの企業アカウント。どれも同じです。1つ消すたびに、入口が1つ減ります。

なお、この事案は被害の規模としては小さい部類です（7,162件、エンドユーザー情報やカード情報は含まれない）。しかし公表文の質は高いと言えます。発生時刻を時間帯まで書き、原因を名指しし、修正日を書き、含まれない情報を列挙し、利用者に具体的な行動を依頼しています。規模の小ささと、公表の丁寧さは別の話です。

時系列で見る経過

• 2026年10月25日 9時半頃〜16時頃当社管理システムの一部機能におけるアクセス制御の不備を悪用した不正アクセス
• 2026年10月25日同日中に外部からのアクセスを遮断
• 2026年10月27日原因となったアクセス制御の不備を修正
• 2026年10月29日「当社システムへの不正アクセスによる情報漏えいの可能性に関するお詫びとご報告」を公表。加盟店の登録情報の一部 7,162件。個人情報保護委員会へ報告
• （公表後）対象の加盟店へ、同社または提携先より個別に連絡。関連機能の点検および監視体制の強化を実施
• 2026年11月4日報道（ScanNetSecurity）が事案を取り上げる

中小企業が学ぶべきポイント

1. 「アクセス制御の不備」とは、本来見られないはずのデータが見られる状態のこと。
2. URLの番号を変えると他人のデータが見える、という形が典型。高度な技術は要らない。
3. 普通に使っているだけでは気づけない。テストでは自分のデータしか見ないため。
4. 制作会社に「URLの番号を変えると他の利用者のデータが見られませんか」と聞く。
5. 「一覧を取得する機能に、取得できる範囲の制限はかかっていますか」も聞く。
6. 顧客情報を預かるサービスなら、第三者による脆弱性診断を一度受ける価値がある。
7. ユーザー名とメールアドレスだけでも、攻撃者には狙い撃ちのリストになる。
8. 使っていないアカウントは、誰も見ていないので乗っ取られても気づかない。
9. 全クラウドサービスのユーザー一覧を開き、退職者・異動者・テスト用を削除する。
10. 被害の規模が小さくても、公表の丁寧さは別の話。時刻・原因・修正日・含まれない情報を書ける。

出典・参考

• 当社システムへの不正アクセスによる情報漏えいの可能性に関するお詫びとご報告（ELESTYLE・2026年10月29日）
• ELESTYLEのシステムに不正アクセス、加盟店の登録情報が外部に取得された可能性（ScanNetSecurity）