「スマイルeポイント」約1万4,000件・800万ポイントが不正交換 サービス停止後もギフトコード化が続いた

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社NTTスマイルエナジーは2026年11月6日、太陽光発電の遠隔監視サービス「エコめがね」への不正アクセスについて第2報を公表しました。

新たに判明したのは、同社が運営する還元サービス「スマイルeポイント」で、デジタルギフトコードへの不正交換が約1万4,000件、計800万ポイント分発生していたことです。

第三者が、ポイント交換に必要な管理番号、交換用URL、ポイント数などを不正に読み取った形跡があり、その情報を使って短時間に大量の交換が実行されていました。

不正交換は10月30日に約1,500件・100万ポイント、10月31日に約1万2,500件・700万ポイントと、31日に集中しています。

同社は、2026年10月28日時点でポイントを保有していた利用者に、全額補償する方針を表明しました。氏名・住所・連絡先などの個人情報の外部漏えいは、11月6日時点では確認されていません。

「情報が漏れた」ではなく「価値が持ち出された」

本サイトが扱う事案の多くは、情報の漏えいです。漏れた情報が、その後フィッシングなどに使われるおそれがある、という形でした。

本件は違います。実際に、価値が持ち出されました。 ポイントはギフトコードに換えられ、ギフトコードは使われます。被害は「おそれ」ではなく、確定した損失です。

本サイトでは2026年10月以降、同じ性質の事案をいくつか扱っています。ギフティ（脆弱性を突かれ電子ギフトが不正発行、金銭損失は約5億5,000万円の見込み）、GMOのデスクトップクラウド（不正取引の損失補償）、そして本件です。

換金できる仕組みを持っている会社は、情報の管理だけでなく「価値の管理」も必要になります。

ポイント、電子マネー、クーポン、ギフト券、回数券。これらを発行している中小企業が確認すべきことは3つです。

1. 1日あたり・1人あたりの交換上限を設けていますか。 本件は2日間で1万4,000件です。1日の総交換件数に上限があれば、31日の1万2,500件は止まっていた可能性があります。

2. 異常な件数を検知したら、誰に通知が行きますか。 本件で異常に気づいたのは、ポイント交換の提携会社でした。自社ではありません。

3. 交換を止める手順が決まっていますか。 提携会社は10月31日に緊急停止しました。自社だけで止められますか、相手に連絡が必要ですか。夜間・休日はどうしますか。

サービスを止めたのに、被害が続いた

経緯を時刻で並べると、この事案のいちばん重要な点が見えてきます。

10月28日 20時20分、不審なアクセスの形跡を検知。22時30分、サービス画面を緊急停止。10月29日 2時50分、クラウド環境上のサーバー通信を遮断し、顧客情報のデータベースサーバーも停止。

ここまでは、速い対応です。 検知から2時間でサービスを止めています。

ところが、不正交換は10月30日と31日に行われました。 止めたあとです。

なぜか。攻撃者は、すでに「交換に必要な情報」を手元に持っていたからです。管理番号と交換用URLとポイント数。これらがあれば、元のシステムに入り直す必要がありません。 交換は、提携会社側の仕組みで行われます。

ここから引き出せる教訓は、重いです。「自社のシステムを止めた＝被害が止まった」ではありません。

持ち出された情報が、他の場所で使える形をしていたら、そちらを止めない限り続きます。

中小企業に当てはめると、こうなります。自社のシステムで事故が起きたとき、止めるべきものは自社のシステムだけではありません。

・外部の決済サービスの受付を止める

・ポイント・ギフトの交換を止めてもらう

・発行済みのクーポンコードを無効化する

・連携しているサービスのAPIキーを失効させる

これらは、相手の会社に連絡しないとできません。 だから、平時に「事故のときにすぐ連絡する先」の一覧を作っておく必要があります。担当者名と、夜間の連絡先まで。

最後に、数字の読み方を2つ補足します。「約1万4,000件」は不正交換の件数であり、1万4,000人の個人情報が漏れたという意味ではありません。そして「800万」はポイントの数で、被害額が800万円と発表されたわけではありません。

時系列で見る経過

• 2026年10月28日 20時20分「エコめがね」のWebサーバーで不審なアクセスの形跡を検知
• 2026年10月28日 22時30分サービス画面を緊急停止
• 2026年10月29日 2時50分クラウド環境上のサーバー通信を遮断。顧客情報のデータベースサーバーも停止
• 2026年10月30日スマイルeポイントの不正交換 約1,500件・100万ポイント
• 2026年10月31日不正交換 約12,500件・700万ポイント。ポイント交換の提携会社が異常な急増を検知し、交換を緊急停止
• 2026年11月4日提携会社から、不正交換の疑いが強い件数とポイント数について回答を受領
• 2026年11月6日第2報を公表。約14,000件・800万ポイント分の不正交換。10月28日時点の保有者に全額補償する方針

中小企業が学ぶべきポイント

1. 情報が漏れただけでなく、ポイントがギフトコードに換えられ、価値が実際に持ち出された。
2. ポイント・電子マネー・クーポンを発行している会社は、情報の管理だけでなく「価値の管理」も要る。
3. 1日あたり・1人あたりの交換上限があれば、31日の1万2,500件は止まっていた可能性がある。
4. 異常に気づいたのは自社ではなく、ポイント交換の提携会社だった。
5. 検知から2時間でサービスを止めたのに、その2日後に不正交換が行われた。
6. 攻撃者は交換に必要な管理番号・URL・ポイント数を手元に持っており、元のシステムに入り直す必要がなかった。
7. 「自社のシステムを止めた＝被害が止まった」ではない。持ち出された情報が他の場所で使える形なら続く。
8. 事故のとき、外部の決済・ポイント・クーポン・APIキーも止める。相手に連絡しないとできない。
9. 「事故のときにすぐ連絡する先」の一覧を、担当者名と夜間の連絡先まで含めて平時に作る。
10. 「約1万4,000件」は不正交換の件数であり人数ではない。「800万」はポイントの数で、金額ではない。

出典・参考

• NTTスマイルエナジー、不正アクセスで「スマイルeポイント」約1万4,000件を不正交換 800万ポイント分の被害確認、保有者に全ポイント補償へ（セキュリティ対策Lab・2026年11月6日）