東証上場のセレスは2026年10月7日、運営するポイントサイト「ポイントインカム」のシステムで、第三者による不正アクセスがあったと発表した。調査の結果、一部のアカウントで個人情報が第三者に閲覧された可能性があり、対象は会員88件と同社の従業員等107件の合計195件にのぼる。同社は10月5日未明に不審な挙動を検知した時点でサービスの提供を一時停止しており、安全確認とセキュリティ強化を終えた10月7日21時30分にWeb版を再開した。スマートフォンアプリは、作業が完了した後に順次リリースするとしている。
10月5日未明から断続的に不審なアクセスを検知
セレスの発表によると、不正アクセスの疑いがある不審な挙動は、2026年10月5日（月）の未明から断続的に検知された。同社は個人情報を守るため、直ちにサービスの提供を止めて緊急メンテナンスに入り、不審なアクセスの遮断、原因の特定、システム全体にわたる緊急点検を実施した。調査結果を踏まえて不正アクセスがあったと判断し、個人情報保護委員会へも報告している。
侵入の経路や手口、閲覧された個人情報の具体的な項目については、現時点で公表されていない。
会員88件と従業員等107件、決済情報は保持せず
閲覧された可能性がある個人情報195件の内訳は、会員の情報が88件、同社の従業員等の情報が107件である。対象となる可能性がある会員には、同社が個別にメールで連絡している。個別の案内が届いていない会員については、今回の件による個人情報閲覧の影響は確認されていないという。
クレジットカードなどの決済関連の情報は、同社のサーバー内に保持していないため、漏えいや閲覧の事実はないとしている。
サービス再開後も安全に利用してもらうため、ログイン時にパスワードの再設定を求める場合があるという。
件数よりも注目したい、検知直後に止めた判断とポイントを狙う攻撃への備え
今回の件は、閲覧された可能性がある件数こそ195件と限られているが、同社は不審な挙動を検知した段階でサービスそのものを止める判断をした。ポイントサイトはポイントを現金や電子マネー、ギフト券などに交換できるため、アカウントが乗っ取られると、個人情報だけでなくお金に近い価値を持つポイントも狙われる。被害の広がりを防ぐうえで、まず止めてから調べるという初動は一つの選択肢である。
ただし、止めた分だけ利用者への影響は大きくなる。今回は10月5日未明の検知から7日夜まで、Web版のサービスが使えない状態が続き、アプリの再開はさらに後になる。日ごろから、異常を検知したときに「どこまでを止めるか」「誰が判断するか」を決めておかなければ、いざというときに迷い、対応が遅れかねない。
また、対象に会員だけでなく従業員等の情報が含まれている点にも目を向けたい。利用者向けのサービスであっても、社内の関係者の情報が同じ仕組みの中で扱われていれば、侵害されたときの影響は社外だけにとどまらない。
2026年9月以降、国内では不正アクセスによる個人情報の漏えい公表が相次いでおり、10月8日にはJPCERTコーディネーションセンター（JPCERT/CC）も、国内組織での不正アクセスの相次ぐ被害について注意喚起を出した。会員制のWebサービスを運営する企業は、管理者アカウントの多要素認証、不審なログインや大量アクセスの監視、異常時にサービスを止める手順と判断基準を、改めて確認しておきたい。
同じ手口に、自社は備えられていますか？