ポイント交換「ネットマイル」に不正アクセス、最大約549万人分 退会した会員も対象

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社ウィルズは2026年11月2日、広告事業で運営するポイント交換サービス「ネットマイル」のシステム環境が第三者による不正アクセスを受け、会員の個人情報が漏えいした可能性があると公表しました。

対象は最大約549万人分。項目は氏名、メールアドレス、その他の特典交換に関する情報です。退会した会員の情報も含まれます。

クレジットカード情報とマイナンバーカード情報は保有していないと説明されています。「ネットマイル」と、同社のポイントサイト「すぐたま」は停止中です。

本記事の時点で、侵入経路や確定件数を示す第2報は確認できていません。

ポイントサービスは「名簿の交差点」になっている

ネットマイルは、いろいろなサービスで貯めたポイントを、別のポイントや商品に交換する仕組みです。つまり、複数のサービスをまたいだ「交換の記録」を持っています。

この「特典交換に関する情報」が漏えいした場合、何がわかるのか。その人が、どのサービスを使い、どこへポイントを移したかです。

これは詐欺の材料になります。「○○ポイントへの交換手続きが完了していません」「有効期限が切れます」。実際に使っているサービス名を出されると、人は疑いにくくなります。

そして、ポイントは換金性があります。攻撃者から見ると、盗んだ情報でアカウントに入り込めれば、そのまま価値に換えられます。だからポイント系サービスは繰り返し狙われます。

利用者がやることは3つです。①ネットマイルと同じパスワードを他で使っていたら変える。②交換先のポイントサービス（楽天・Amazonギフト・電子マネー等）の残高と履歴を確認する。③「ポイント」「交換」「期限」を名乗るメールのリンクを開かない。

退会した人の情報が、なぜまだあるのか

公表で見逃せないのが「退会した会員の情報も含まれる」という一文です。本サイトでは2026年10月の@cosme（アイスタイル）の事案でも同じ点を取り上げました。

退会した人の情報が残る理由は、たいてい次のどれかです。①取引記録として法令上の保存が必要（会計・税務は原則7年）。②再入会のときに元の履歴をつなげたい。③消す運用を決めていなかった。

①は正当です。②は事業判断。問題は③です。「消していい」とも「残す」とも決めていないから、残っている。

中小企業がすぐできる整理は、この順番です。

1. 退会・解約後に残す必要がある項目を挙げる。 多くの場合、取引金額と日付、宛名くらいです。

2. それ以外の項目に、保存期間を決める。 「退会から1年で削除」のように数字で書く。

3. 決めたことを、個人情報の取扱いについての記載（プライバシーポリシー）に書く。

4. 実際に消す担当と時期を決める。 「年1回、3月に棚卸し」で構いません。

持っていない情報は、漏れません。保存期間を決めることは、いちばん安いセキュリティ対策です。

時系列で見る経過

• （時期は未公表）「ネットマイル」のシステム環境が第三者による不正アクセスを受ける
• 2026年11月2日株式会社ウィルズが公表。最大約549万人分の漏えいの可能性
• 2026年11月2日以降「ネットマイル」「すぐたま」のサイトを停止し調査を継続
• （調査中）侵入経路、確定件数についての第2報は本記事の時点で未確認

中小企業が学ぶべきポイント

1. 「最大約549万人分」は上限の数字。全員の情報が持ち出されたと確定したものではない。
2. ポイント交換の記録が漏れると、「どのサービスを使っているか」が知られ、その名前を騙る詐欺に使われる。
3. ポイントは換金性があるため、攻撃者にとって直接的な利益になる。繰り返し狙われる理由はそこにある。
4. 交換先のポイントサービスの残高と履歴も確認する。被害は交換先で出ることがある。
5. 退会した人の情報が残っていた。残す項目と保存期間を決めていないと、漏えい件数がその分大きくなる。
6. 保存期間を決めて実際に消すことは、いちばん費用のかからないセキュリティ対策。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
• ネットマイルで最大約549万人分の個人情報が漏洩した可能性（SmartScope）