事案の概要データ
| 報道 | 2026年10月29日（Security NEXT） |
|---|---|
| 不正アクセス | 2026年10月25日、システムの脆弱性を突く不正アクセス（報道） |
| 被害 | 第三者により「eギフト」が不正に発行された |
| 金銭損失の見込み | 10月26日時点で約5億5,000万円（報道） |
| 個人情報 | 流出は確認されていない（報道） |
| 利用者の損失 | 保有eギフトの不正使用は確認されておらず、金銭的損失は否定（報道） |
| 対応 | 脆弱性と攻撃経路を特定し、当該システムを停止。再開予定はない（報道） |
| 他サービス | 主要サービスは平常どおり稼働（報道） |
| 注意 | 会社自身の公表文・適時開示を確認できておらず、内容は報道にもとづく |
図解：この事故の構造
何が起きたのか
電子ギフトを手がけるギフティで、2026年10月25日にシステムの脆弱性を突く不正アクセスがあり、第三者によって「eギフト」が不正に発行されたと報じられました。
報道によれば、不正発行にともなう金銭損失は、10月26日時点で約5億5,000万円と見込まれています。
個人情報の流出は確認されておらず、利用者が保有するeギフトの不正使用も確認されていないとされています。会社は脆弱性と攻撃の経路を特定して当該システムを停止し、再開の予定はないとしています。主要サービスは平常どおり稼働しているとのことです。
なお、本記事の時点では会社自身の公表文・適時開示を確認できていません。内容は報道にもとづきます。
個人情報が漏れていないのに、5億5,000万円
この事案は、2026年10月に相次いだ事案の中で性格が違います。個人情報が漏れていないのに、現金に近い損失が5億円を超えたからです。
不正アクセスの被害は、3つに分けて考えると整理できます。
①情報が漏れる（顧客名簿、カード情報、メールアドレス）。報道されるのはほとんどこれです。
②業務が止まる（ランサムウェアでサーバーが暗号化され、受注や出荷ができない）。ドン・キホーテ／コックスの事案がこれでした。
③お金が直接出ていく（本件）。発行したギフトは、誰かが店で使えばその分を会社が負担します。攻撃者が換金すれば、そのまま会社の損失です。
漏えいのニュースばかり見ていると、③を忘れます。しかし自社で金券に相当するものを発行している会社は、③の当事者です。
自社で「価値のあるもの」を発行していないか
中小企業にとって、この事案は遠い話に見えるかもしれません。電子ギフト券を発行している会社は限られます。
しかし、「システムで価値のあるものを発行している」会社は、思っているより多いです。
・ECサイトの割引クーポン（クーポンコードを発行している）
・ポイント（貯まる、使える、商品と交換できる）
・回数券・チケット（オンラインで発券している）
・電子マネーのチャージ（自社アプリで残高を持たせている）
・返金・キャンセルの処理（返金額を入力して実行できる画面がある）
これらはすべて、発行の操作が通れば、そのまま会社のお金が出ていく仕組みです。顧客名簿と同じか、それ以上に守る必要があります。
やることは3つです。①1回あたりの上限を決める（1件で発行できる金額・枚数の上限）。②1日あたりの合計を監視する（いつもの日と比べて何倍か）。③異常なときに自動で止める、または担当者にすぐ通知する。
本件で損失が5億円に達した背景には、短時間に大量の発行が通ってしまったことがあるはずです（手口の詳細は公表されていません）。上限と監視があれば、被害は桁で小さくなります。
「再開の予定はない」という判断
もう1つ注目したいのは、「当該システムの再開予定はない」と報じられている点です。
システムを止めるだけなら、よくある対応です。しかし再開しないと決めるのは、その機能を使っていた顧客や取引先に別の方法を用意するか、その事業をやめるという判断を含みます。
脆弱性が特定できているなら、直して再開するのが通常の流れです。それをしないということは、直すコストと再発リスクを考えて、この機能は持たないという結論に至った可能性があります。
これは重い決断ですが、中小企業にも通じる考え方です。事故が起きたあと「元に戻す」ことだけを目標にすると、同じ構造の弱点を抱えたまま再開してしまいます。この機能は本当に自社で持つ必要があるかを、復旧の前に一度問うべきです。
自社で発行の仕組みを持たず、外部の決済・ギフトサービスに任せるという選択もあります。手数料は払いますが、不正発行のリスクはそちらが負います。
利用者が注意すること
報道の時点では、利用者が保有するeギフトの不正使用は確認されておらず、個人情報の流出も確認されていないとされています。
そのうえで、次の点に注意してください。
保有しているギフトの残高・履歴を確認する。 身に覚えのない使用履歴がないか見てください。
「ギフトの再発行」「補償の手続き」を名乗る連絡に応じない。 大きな事案のあとは、必ずこれを装う詐欺が出ます。
ギフトコードをSNSやメールで他人に見せない。 コードは現金と同じです。画面のスクリーンショットを共有すると、先に使われます。
時系列で見る経過
- 2026年10月25日システムの脆弱性を突く不正アクセスが発生（報道）
- （その後）第三者により「eギフト」が不正に発行される
- 2026年10月26日この時点での金銭損失を約5億5,000万円と見込む（報道）
- （対応）脆弱性と攻撃経路を特定し、当該システムを停止。再開予定はないとされる
- 2026年10月29日報道により判明（会社の公表文は未確認）
中小企業が学ぶべきポイント
- 不正アクセスの被害は3種類。①情報が漏れる ②業務が止まる ③お金が直接出ていく。③を忘れやすい。
- 自社で発行しているクーポン・ポイント・回数券・チャージ残高は、金券と同じ重さで守る。
- 発行には1回あたりの上限を決め、1日あたりの合計を監視し、異常時に止める仕組みを入れる。
- 返金や金額を入力して実行できる画面は、顧客名簿以上に危ない。操作ログと承認を入れる。
- 復旧の前に「この機能は本当に自社で持つ必要があるか」を問う。持たない判断もある。
- ギフトコードは現金と同じ。スクリーンショットの共有も避ける。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。