Tier表ACCESS／台湾子会社のCROS事案の概要と評価
ACCESSの台湾子会社が提供するCROSへの不正アクセスで、顧客ID155,280件・注文ID231,998件等が流出しました。カード情報は重複除外後1,305アカウントで、4アカウントはセキュリティコードも含みます。
- 発生日
- 未確認
- 公表日
- 顧客ID
- 155,280件
- 注文ID
- 231,998件
事案の概要
- 企業・サービス
- ACCESS／台湾子会社のCROS
- 確認状況
- 流出確認
- 発生日
- 未確認
- 公表日
経緯
ACCESSは2026年10月15日、台湾子会社AP TAIWANが提供する小売向けサービスCROSへの不正アクセスによる情報漏えいを公表しました。9月11日に不正アクセスの兆候を検知し、対象サーバーを停止・隔離しました。特定の取引先1社専用のBIツールが侵入の起点とされ、その後の対応ではCROS全体を停止しました。CROSのサービスはその後復旧しています。
データベースのパスワード変更と全顧客のカード情報マスキング等を実施しました。決済認証情報の再発行等は一部実施・継続中で、BIツールの再開とカード情報を保存しない運用への変更は今後の対応として示されています。
流出した情報と流出していない情報
台湾、香港、マカオ、シンガポールの顧客情報が対象で、顧客ID155,280件、注文ID231,998件、氏名、電話番号、住所、メールアドレス、注文情報等が含まれます。ID数や注文数を同一の人数として合算しません。 他の取引先の情報漏えいは確認されていないとしています。
未処理決済に関するカード情報は延べ1,671件、重複除外後1,305アカウントです。このうち4アカウントはカード番号、有効期限、名義、セキュリティコード等を含み、残る1,301アカウントにはセキュリティコードが含まれません。
決済サービスのアカウント認証情報とメール送信サービスの鍵情報も漏えいしました。窃取されたキーで11,441件のメールが送られましたが、宛先は攻撃者が用意したリストであり、流出した顧客リストではないとしています。
対象情報
- 氏名流出確認
顧客氏名。
- 電話番号流出確認
顧客電話番号。
- 住所流出確認
顧客住所。
- メールアドレス流出確認
顧客メールアドレス。
- ID・識別子流出確認
顧客ID・注文ID。
- 決済情報流出確認
カード情報延べ1,671件、重複除外後1,305アカウント。うち4アカウントはCVVを含む。
- 認証トークン等流出確認
決済サービスのアカウント認証情報とメール送信サービスの鍵情報。後者が不正メール送信に使われた。
被害に遭われた方、心当たりのある方向けの対処法
対象の方へ
対象となる店舗・利用者は、サービス提供元や利用店舗からの個別案内を確認してください。カード情報の対象範囲が不明な場合は公式通知の窓口へ確認し、カード利用明細に身に覚えのない取引がないか確認してください。
Sとした理由
決済可能なカード秘密情報を含む4アカウントと、窃取されたメール送信サービスの鍵情報による不正送信を確認したためS2。全カード対象をCVV付きとはせず、顧客IDと注文IDを人数に換算しない。
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。