アイル（東証プライム）は2026年11月10日、同社が提供するポイント・顧客管理システム「CROSS POINT（クロスポイント）」の導入企業1社で、API（システム同士がデータをやり取りするための窓口）を利用した不正アクセスにより、会員情報の一部が第三者に取得されたと発表した。同社によると、外部に流出していた当該企業専用の正規のAPI認証キー（APIを利用する権限を確認するための情報。以下、APIキー）が悪用されたという。内部データベースへの直接の侵入やプログラムの脆弱性によるものではないとしている。
11月7日未明に検知、全利用企業のAPIキーを再発行
同社によると、2026年11月7日未明に外部からの不正アクセスを検知し、調査の結果、会員情報の取得用APIを通じて、情報が不正に取得されていたことを確認した。
判明後、同社は直ちに当該企業のAPIキーを無効にして再発行し、不正アクセス元を遮断した。さらに、同じ手口による被害を防ぐため、11月9日22時15分に全利用企業のAPIキーを無効化・再発行し、不正を検知する仕組みも強化した。現時点で、ほかの利用企業で情報が漏えいした痕跡はないとしている。
取得された会員情報
取得された情報として、同社は次の項目を挙げている。
- 氏名、生年月日、性別、郵便番号、住所、電話番号、携帯電話番号、メールアドレス（携帯メールを含む）
- 会員番号、会員ランク情報、保有ポイント情報、リアル店舗カード番号、ネットショップ会員ID
- 購買統計情報（累計購入金額、購入回数、初回・最終購入日など）
クレジットカード情報とログインパスワードは、このシステム内に保持していないため対象外だという。被害を受けた導入企業の名前や、取得された件数は公表されていない。同社は当該企業と連携して原因と影響範囲の調査を続けており、API認証情報の管理体制の強化、認証情報の定期的な切り替え、APIで利用できる機能や取得できる情報を必要な範囲に絞ることを再発防止策として挙げている。
「正規の鍵」が漏れれば正規の通信と見分けにくい
同社の説明によると、今回の不正アクセスはプログラムの脆弱性を突いたものではなく、本来の利用企業に発行された正規のAPIキーを使って行われた。正規のAPIキーを使った通信は、システムから見ると通常の利用と区別しにくい。キーがどこから流出したのかは公表されていないが、APIキーはプログラムの設定ファイルや連携先のシステム、担当者の端末などに保存されることが多く、保存先を含めた管理状況の確認が重要になる。
APIで外部サービスと連携している企業は、どのキーを誰がどこで使っているかを一覧にしておき、使っていないキーの停止や定期的な切り替え、キーごとに使える機能を必要な範囲に絞る設定ができているかを確かめておきたい。あわせて、ふだんと違う量や時間帯のデータ取得に気づける監視の仕組みがあるかも見直しておきたい。
同じ手口に、自社は備えられていますか？