Fivot／IDARE事案の概要と評価

事案の概要

企業・サービス

Fivot／IDARE

確認状況

個人情報の流出確認

発生日

未確認

公表日

2026/10/13

経緯

Fivotは2026年10月13日、運営するIDAREのデータベースから、第三者が複数回にわたって情報を取得したと公表しました。資料は取得期間を「8月10日から9月27日」としていますが、この期間の年は明記していません。

同日の発表では、不正アクセス経路の遮断、対象ソフトウェアの利用終了、関連する認証情報の更新を完了したとしています。不正な取引は確認されておらず、残高を保全し、サービスは通常どおり利用できるとしています。

流出した情報と流出していない情報

対象は2026年9月27日までに登録した129,659人で、退会済みの人も含みます。全対象者について、電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報、アカウントの設定・ステータス、残高、取引履歴、IDAREカードの名義と有効期限が対象です。

一部の対象者では、氏名、住所、性別、利用目的、本人確認書類の番号などの申請内容、IDAREカード番号の下4桁、入金用クレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁、リアルカードのアクティベーションコードも含まれます。同社は、このコードを第三者のアカウントからは利用できないとしています。

年収・勤務先情報等は、2021年10月までに登録し、同月に終了した貸付サービスLADDERの利用目的で入力した人に限られます。対象者ごとの詳細は個別に連絡するとしています。

マイナンバー、本人確認資料や本人容貌の画像、ログインパスワード、IDAREカードや登録クレジットカードの番号全桁・セキュリティコード・暗証番号、銀行口座番号全桁・暗証番号は流出していないとしています。登録クレジットカードの有効期限も対象外で、IDAREカードの有効期限とは区別しています。

原因

同社は、カスタマーサポート等で使用していた外部ソフトウェアの脆弱性を悪用した不正アクセスが原因としています。脆弱性やアクセスログの監視体制の整備、外部専門家による調査の受け入れ、情報管理の強化は、発表時点で今後の対策として挙げています。

対象情報

• メールアドレス流出確認

  対象者のメールアドレス。

• 電話番号流出確認

  対象者の電話番号。

• 生年月日流出確認

  対象者の生年月日。

• ID・識別子流出確認

  ユーザーID・表示名。

• 氏名流出確認

  カード名義。一部の対象者は本人確認時の氏名。

• 住所流出確認

  一部の対象者の本人確認時の住所。

• 本人確認書類・個人番号流出確認

  一部の対象者の本人確認書類の番号。マイナンバー・本人確認資料の画像は対象外。

• 決済情報流出確認

  残高・取引履歴、IDAREカード名義・有効期限。一部対象者はIDAREカード下4桁、入金用カード先頭6桁と下4桁、口座下3桁。全桁・セキュリティコード・暗証番号は対象外。

Aとした理由

本人に結び付く残高・取引履歴の流出をA1、129,659人の規模をA2で評価。本人確認書類は番号だけで画像は対象外。漏えい情報だけで不正ログイン・決済が可能との根拠はなく、S1・S2への引上げ条件は確認していません。

Aの評価基準

金融・人事・具体的な生活や行動履歴の露出、一定規模以上の連絡先流出、又は代替対応を要する一部業務・サービスの停止。

評価基準を見る →

出典

1. 「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び⁠↗idare.jp