全日空商事の法人向けデジタルギフト「選べるe-GIFT」に不正アクセス。ギフトが第三者に交換される

01発表されている事実

1. 2026年8月11日〜12日

   管理運用システムへの不正アクセス。担当者の氏名やメールアドレスの一部が表示されるページが数分間閲覧された

2. 8月24日（第1報）

   公表。サービスの一部を停止し、侵入経路を遮断。個人情報保護委員会と警察に報告。対象企業と担当者への個別連絡を開始

3. 9月4日（第2報）

   ギフトの不正交換も今回の不正アクセスが原因と確認。原因箇所をすべて修正し、14時にサービスを再開

4. 10月9日

   個人情報保護委員会への確報を完了

5. 10月16日（第3報・最終報）

   再開後、新たな漏えいや不正交換はなく、二次被害の報告もない

漏えいの可能性がある情報は、契約企業の担当者の氏名（個人名を登録した場合）、企業名、企業ID、ログインID、メールアドレスの一部（先頭3文字とドメイン）です。カードなどの金融情報とパスワードは含まれません。ギフトを受け取った一般の人の個人情報は、同社がもともと持っていないため、漏えいの可能性はないとしています。不正交換の件数や金額は公表されていません。第2報では、契約企業に納品済みのギフトや、受け取った人がまだ交換していないギフトには、不正交換のおそれはないと説明しています。

02読者への影響

ギフトを受け取った人は、手元のギフトをそのまま使えます。契約企業の担当者は、ログインIDと名前の一部が知られた可能性があります。全日空商事やe-GIFTを装う不審なメールや電話が来たら、URLや添付ファイルを開かずに破棄してください。

03同じことを防ぐには（ギフト・ポイント・クーポンを扱う企業）

デジタルギフトやポイントは、交換されればすぐに現金同様の価値になります。管理画面や交換の仕組みは、個人情報と同じかそれ以上に狙われます。

• 管理運用システムは社内や決まった接続元からしか開けないようにし、多要素認証をかける
• 短時間に大量の交換、普段と違う時間帯の交換など、異常な動きを検知して止める仕組みを用意する
• ギフトコードや交換URLを推測しにくい作りにし、脆弱性診断で確かめる

今回、全日空商事は不正アクセスを把握した後、サービスの一部を止めて経路を遮断し、原因の修正を確かめてから再開しています。交換が止まると利用者に不便が出ますが、被害の拡大を防ぐには早めの停止が有効です。停止の判断を誰がするか、利用企業への連絡をどう出すかを、平時に決めておいてください。

キャンペーンでギフトを配る側の企業も、委託先の運営会社に、不正交換が起きたときの連絡と補償の取り決めを確認しておくと安心です。図鑑では、Webサイトへの攻撃への備えとして脆弱性診断のサービスを比べられます。