鹿児島銀行、南日本銀行、鹿児島相互信用金庫、鹿児島信用金庫の4行庫は2026年10月28日、キャッシュレス決済アプリ「Payどん」のメール通知システムが第三者による不正アクセスを受け、利用者や加盟店のメールアドレス、決済情報の一部が漏えいした可能性があると発表した。メール送信を委託しているアララへの不正アクセスが原因で、アプリのメール通知機能と新規登録を停止している。
委託先のアララがサービスを停止
発表によると、10月28日、Payどんのメール送信を委託しているアララで不正アクセスが発生していることを確認した。アララは同日17時23分、被害の拡大を防ぎ、情報漏えいの有無と影響範囲を確かめるため、サービスを停止した。調査の結果、メールで送信された個人情報の一部が外部に漏えいした可能性があることがわかったという。
提供を停止しているのは次のサービスである。
- Payどんアプリのメール通知機能（決済・送金完了メール、電子マネーや交通系マネーのチャージに関するメール、地域振興券の購入完了メール、メールアドレスの変更など）
- Payどんの新規登録
漏えいした可能性がある情報は、Payどん利用者のメールアドレス、加盟店のメールアドレス、決済情報（日時、店舗名、支払金額）である。対象の件数は発表では示されていない。現時点で、漏えいした情報の悪用などによる二次被害の報告はないとしている。
漏えいした可能性のある情報に決済日時・店舗名・支払金額も
今回の特徴は、漏えいした可能性のある情報がメールアドレスだけでなく、「いつ、どの店で、いくら払ったか」という決済情報に及んでいる点である。こうした情報を知られると、実際の利用履歴に沿って通知や問い合わせを装う、もっともらしい偽メールの作成に悪用されるおそれがある。
4行庫は、各行庫を名乗る不審なメールに注意し、メールに書かれたURLや添付ファイルを開かないよう呼びかけている。また、当該システムのセキュリティ対策とセキュリティ管理体制を抜本的に見直し、強化するとしている。
委託先への不正アクセスが地域の決済サービスにも影響
アララは10月28日、メール配信サービスへの不正アクセスで宛先のメールアドレスが流出したと公表しており、その影響が地域の決済サービスにも及んだ形である。地域振興券のように地域の施策にも使われるサービスでは、通知メールの停止が利用者や加盟店の不安につながりかねない。
通知メールの送信のような付随的な業務でも、委託先に何の情報を渡しているかを確かめておくことが重要である。通知に載せる情報を必要最小限にすること、委託先が止まったときに利用者へ別の経路で案内できるようにしておくことが、被害と混乱を抑えることにつながる。
同じ手口に、自社は備えられていますか？