福利厚生サービスを手がけるベネフィット・ワンは2026年10月28日、クレディセゾンと提携してカード会員向けに提供している優待サービス「トク買」で、業務委託先のフォレステックが運用するシステムが不正アクセスを受け、会員2万9,465人分の個人情報が漏えいしたと発表した。クレディセゾンも同日、会員向けに同じ内容を知らせている。クレジットカード番号などのカード情報は漏えいしていないとしている。
1週間にわたって断続的に不正アクセス
ベネフィット・ワンの発表によると、フォレステックのシステムには10月14日13時45分から10月20日14時5分まで、断続的に不正アクセスが繰り返された。主な経緯は次のとおりである。
- 10月21日：フォレステックが不正アクセスの一部を検知し、ベネフィット・ワンに報告。同日17時に「トク買」を一時停止
- 10月23日：個人情報保護委員会へ速報
- 10月24日〜25日：フォレステックが、21日時点で把握していなかった不正アクセスを追加で検知
- 10月26日：ベネフィット・ワンが、決済システムとの連携に使う認証関連情報を変更
- 10月27日：フォレステックからの3回目の報告で、この認証関連情報の一部が漏えいしたおそれがあると認識
漏えいした項目は、氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費徴収の決済処理に使う管理番号である。対象には退会した会員も一部含まれ、人数は今後変わる可能性がある。詳しい原因は調査中としている。
漏えいのおそれがある認証情報を使った不正処理は対策済みと説明
調査の過程で、会員の個人情報とは別に、ベネフィット・ワンが決済システムとの連携に使う認証関連情報（正規の接続であることを確かめるための情報）の一部が漏えいしたおそれがあることもわかった。会費徴収用の管理番号と組み合わせると、会費決済に関する不正な処理が行われる可能性があったという。
ただし同社は、この決済システムは「トク買」の会費を徴収する目的に限って使うもので、第三者が金銭を得られる仕組みではないと説明している。10月26日の認証情報の変更により、この経路での不正な処理はできない状態になっており、10月14日以降に本件が原因とみられる不正な決済は確認されていないという。クレジットカード情報は決済代行事業者が管理しており、不正アクセスはそのシステムには及んでいないとしている。
提携先の業務委託先まで把握できているか
今回、不正アクセスを受けたのは、カード会社の提携先であるベネフィット・ワンが業務を委託するフォレステックのシステムである。会員から見れば「カード会社の優待サービス」でも、実際の情報は提携先の業務委託先のシステムに置かれていることがある。
提携サービスや委託先に会員情報を渡す企業は、情報がどの事業者のどのシステムに置かれているか、決済などにつながる認証情報を誰が管理しているかを把握しておく必要がある。不正アクセスが断続的に続いていたことを踏まえれば、委託先のシステムでも異常なアクセスを早く見つける監視の仕組みが求められる。
同じ手口に、自社は備えられていますか？