全日空商事は2026年8月24日、同社が提供する法人向けデジタルギフトサービス「選べるe-GIFT」が外部の第三者による不正アクセスを受け、契約企業の担当者の個人情報が漏えいした可能性があると公表した。あわせて、一部の利用者のギフトが第三者によって不正に交換された事象も確認されている。同社は一部サービスを停止し、外部の専門機関による調査を進めている。
調査で判明した「数分間のページ閲覧」
同社の第1報によると、不正アクセスが行われたのは2026年8月11日から12日にかけて。標的となったのは本サービスの管理運用システムだった。調査を進める中で、担当者の氏名やメールアドレスの一部が記載されたページが数分間にわたり閲覧されたことが判明し、個人情報が漏えいした可能性があると判断された。
漏えいした可能性がある情報として同社が挙げているのは、担当者名として登録された情報（氏名、または姓・名のいずれかのみ）、企業名、企業ID、ログインID、メールアドレスの一部である。メールアドレスは冒頭3文字とドメインのみが表示される形式で、同社は「abc****@anatc.com」という例を示している。クレジットカードなどの金融情報およびパスワードは含まれていない。また、契約企業からギフトを受け取った個人の情報は同社が取得・保持していないため、本件による漏えいの可能性はないとしている。
もう一つの事象が、ギフトの不正交換である。同社は一部の顧客の「選べるe-GIFT」が第三者に不正に交換されたことを確認しており、対象となる契約企業には個別に連絡して対応を進めているという。第1報の時点では、この不正交換と不正アクセスの関連性についても外部専門機関の調査対象とされており、両者が同一の攻撃によるものかは確定していない。
「マスクされていた」ことが被害を抑えた側面
今回公表された漏えい範囲を見ると、メールアドレスが冒頭3文字とドメインのみという部分マスクの状態で表示されていたことがわかる。金融情報とパスワードも含まれていない。侵入されたのが管理運用システムであるにもかかわらず、画面上に完全なメールアドレスが並んでいなかった点は、結果的に二次被害のリスクを下げている。
とはいえ、企業名・企業ID・ログインID・担当者名という組み合わせが漏れている点は軽視できない。これらは、そのアカウントの持ち主に対して「あなたの会社の、あなたのIDについて」と名指しで語りかける材料になる。同社も二次被害への注意喚起として、自社や「選べるe-GIFT」を装った不審なメールや電話に注意し、身に覚えのない連絡が届いた場合はURLをクリックしたり添付ファイルを開いたりせず破棄するよう呼びかけている。
換金性の高いデジタルギフトという的
同社は事態の判明を受けて直ちに不正アクセスの経路を遮断し、外部専門機関による調査を実施。個人情報保護委員会への報告と警察への被害申告も行った。対象となる契約企業と担当者には8月24日から順次個別に連絡している。
この事案で注目すべきは、情報漏えいの懸念と金銭的価値の直接的な奪取が、同じサービス上で起きたことだ。デジタルギフトは、受け取った側が電子マネーやギフト券などの中から交換先を選ぶ仕組みで、換金性の高い資産といえる。攻撃者にとっては、個人情報を持ち出して売るという迂回路を通らずとも、管理システム上の操作がそのまま利益に変わる。狙う動機の強さが、通常の会員サイトとは質的に異なる。
法人向けサービスであることも、リスクの形を変えている。契約企業の担当者アカウントは、その企業が購入したギフトの原資を扱う入口だ。ID一つの背後に、個人ではなく組織の資産がぶら下がっている。管理運用システムという「サービスの内側」に到達されたときの影響範囲は、利用者向け画面が破られた場合よりも広くなりやすい。
デジタルギフトや電子マネーを福利厚生やキャンペーン原資として使う企業は増えている。自社が発行側でなく利用側であっても、担当者アカウントの認証強化、付与・交換履歴の照合、そして委託先で事故が起きたときに社内の誰が何時間で気づけるのかという点は、あらためて確認しておく価値がある。管理システムへの侵入は、痕跡が「数分間の閲覧」という細さで残ることもある。それを拾える監視があるかどうかが、被害の輪郭を決める。
同じ手口に、自社は備えられていますか？