ACCESS 連結子会社の「CROS」で不正アクセス、通販サービス利用者の個人情報が流出

何が起きたか

株式会社ACCESSの連結子会社であるACCESS AP TAIWAN. Co. Ltd.（以下、AP台湾）が、海外に進出するEC事業者向けに提供する業務支援サービス「CROS」において、第三者による不正アクセスが確認され、AP台湾の取引先企業が運営する通販サービスを利用した顧客の個人情報が外部に流出した。あわせて、不正アクセスが行われたサーバーから窃取された情報を用いて、第三者に対する不正なメール送信が行われたことも判明した。

調査の過程で、不正アクセスの経路は「CROS」を利用する取引先企業のうち特定の1社にのみ提供しているBI（Business Intelligence）ツールが起点となったことも判明しており、現時点までに他の取引先企業に関連する個人情報の漏えいは確認されていない。

時系列

• 2026年9月11日 - 「CROS」で利用しているサーバーに対する不正アクセスの徴候を検知し、当該サーバーの緊急停止と隔離措置を実施して調査を開始
• 調査の過程 - 第三者による不正アクセス・攻撃により、当該サーバーを通じて参照可能だった個人情報や設定情報の一部が不正に取得されたことが判明
• 2026年10月15日 - 「連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ」を適時開示

影響

現時点で漏えいが確認されている主な情報は、氏名、電話番号、住所、メールアドレスおよび関連する受注情報。開示された区分ごとの内容は次のとおり。

• ID関連：お客様ID、受注IDについて155,280件および231,998件。対象地域は台湾、香港、マカオ、シンガポール
• クレジットカード関連：延べ1,671件。重複登録・複数注文を突合した後のアカウント件数は1,305件で、うち全件が漏えいしたものは4件、残り1,301件はセキュリティコード以外の情報が漏えい。漏えいしたクレジットカード情報は、クレジットカード決済が未完了であった受注のみ
• 決済サービス関連：利用している決済サービスのアカウント情報
• その他：不正メール送信11,441件。メール情報の解析結果から、漏えいした個人情報そのものが使われたのではなく、侵入者が用意した別のリストを用い、不正アクセスされたサーバーから窃取したメール送信サービスの鍵情報を利用して送信されたものと判断されている

株式会社ACCESSの連結業績に与える影響は軽微と見込まれているが、精査中とされている。

当事者の対応

• 不正アクセスの対象となったサーバーの隔離・緊急停止
• メール送信用の認証情報の無効化・更新
• 二次被害防止のため、他の取引先も含むCROSサービス全体を一時停止し、データベースパスワードを変更（現在は復旧済み）
• 稼働中システムにおける全クライアントを対象としたクレジットカード情報のマスク処理
• 決済サービスの秘密鍵の更新（一部完了し、一部作業中）
• 再発防止として、BIツールのセキュリティ強化のうえでの再稼働、決済未完了のクレジットカード情報自体を保持しないよう「CROS」本体のプログラムを修正、本社のセキュリティスペシャリストおよびサーバースペシャリストによる支援を予定
• 対象のBIツールを利用するサービス事業者による個人情報保護委員会への報告、AP台湾から台湾当局への報告、通販サービス利用顧客への通知を実施（AP台湾から取引先への情報提供・技術サポートを実施）

出典

• 資料名：連結子会社における不正アクセスの発生及び個人情報漏洩に関するお知らせ
• 公表主体：株式会社ACCESS（TDnet 適時開示）
• URL： https://www.release.tdnet.info/inbs/140120261015551574.pdf
• 公表日：2026年10月15日