「Getchu.com」会員管理システムに不正アクセス、続報でアフィリエイター会員の口座情報も判明

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社ゲインズは2026年11月4日、運営する通販サイト「Getchu.com」の会員管理システムに第三者による不正アクセスがあり、会員ID・メールアドレス・パスワード・氏名・住所・電話番号などが流出した可能性があると公表しました。クレジットカード情報は対象外とされています。

そして11月6日の更新で、アフィリエイター会員の支払口座情報も流出していたことが判明したと発表されました。

件数は公表されていません。

後から「口座情報も」が出てくる理由

初回の公表には口座情報がありませんでした。2日後の更新で加わっています。

これは、公表側が隠していたわけではなく、調査が進んで分かったという形です。本サイトでは11月に入ってから、同じパターンを何度も扱いました。アララ（第1報301万件→第2報7,700万件→第3報8,133万件）、良品計画（第二報でカード番号 全桁が判明）、ApplyNow（約39万人→39万6,920人で確定）、ARTPASS（「影響なし」→最大約100万件）。

なぜ後から出てくるのか。システムの中で、データが別々の場所にあるからです。

会員情報は会員テーブル、注文は注文テーブル、アフィリエイトの報酬支払先は別の管理画面。「どこまで見られたか」を調べるには、場所ごとにログを追う必要があります。 1回で全部は分かりません。

利用者としての受け止め方は、こうなります。第1報の「◯◯は含まれていません」は、その時点の判断です。確定ではありません。

だから、パスワードの変更は第1報の時点でやってしまってください。「カード情報は対象外」と書いてあっても、カードの明細は見てください。 後から変わることがあります。

「アフィリエイター会員」の口座情報という盲点

本件で特に記録しておきたいのが、アフィリエイター会員という存在です。

アフィリエイトは、自分のサイトやSNSで商品を紹介し、売れたら報酬をもらう仕組みです。報酬を振り込むため、サイト運営側はアフィリエイターの銀行口座情報を持っています。

ここが盲点になりやすい。「お客様の個人情報」を守ることは意識していても、「協力者の口座情報」は意識から外れるからです。

中小企業に当てはめると、同じ立場の人がたくさんいます。

・業務委託しているフリーランス（報酬の振込先）

・アルバイト・パート（給与の振込先）

・モニター・アンケート協力者（謝礼の振込先）

・紹介キャンペーンの紹介者（お礼の振込先）

・退職した従業員（最後の給与の振込先が残っている）

これらの口座情報は、顧客データベースではなく、経理の共有フォルダやExcel、あるいは業務システムの片隅にあります。

やるべきことは3つです。①口座情報を持っている相手を全部書き出す。②その保管場所を確認し、見られる人を経理担当に限定する。③支払いが終わって今後の予定がない相手の口座情報は消す。

口座番号は、それ自体では引き出せません。しかし、氏名・住所・口座番号がそろうと、なりすましの材料として十分です。

時系列で見る経過

• （時期は未公表）「Getchu.com」の会員管理システムが第三者による不正アクセスを受ける
• 2026年11月4日公表。会員ID・メールアドレス・パスワード・氏名・住所・電話番号などの流出の可能性
• 2026年11月6日更新。アフィリエイター会員の支払口座情報も流出していたことが判明

中小企業が学ぶべきポイント

1. 初回公表になかった口座情報が、2日後の更新で加わった。調査が進んで分かる形。
2. 第1報の「◯◯は含まれていません」は、その時点の判断であって確定ではない。
3. パスワードの変更は第1報の時点でやる。「カード情報は対象外」と書かれていても明細は見る。
4. アフィリエイター会員の口座情報が流出した。「協力者の口座情報」は意識から外れやすい。
5. フリーランス、アルバイト、モニター、紹介者、退職者。口座情報を持っている相手を全部書き出す。
6. 口座情報の保管場所を確認し、見られる人を経理担当に限定する。
7. 支払いが終わって今後の予定がない相手の口座情報は消す。
8. 口座番号だけでは引き出せないが、氏名・住所とそろうとなりすましの材料になる。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）