全日空商事「選べるe-GIFT」、不正アクセスがギフト不正交換の原因と判明　対策完了しサービス再開

全日空商事株式会社は2026年9月4日、法人向けデジタルギフトサービス「選べるe-GIFT」への不正アクセスについて第2報を公表し、第三者によるギフトの不正交換も今回の不正アクセスに起因していたことを確認したと発表しました。

8月24日の第1報では、契約企業担当者の個人情報への不正アクセスと、一部ギフトの不正交換の関連性は調査中でした。

その後、外部専門機関と調査を進めた結果、不正交換に至ったシステム上の要因と手段を解明し、原因箇所を特定。該当箇所への修正措置を完了しました。

同社は安全性を確認したとして、停止していた「選べるe-GIFT」を9月4日14時から再開しています。

「選べるe-GIFT」不正アクセス第2報のサマリー

• 全日空商事は2026年9月4日、「選べるe-GIFT」への不正アクセスについて第2報を公表しました。
• 不正アクセスは8月11日から12日にかけて管理運用システムで発生しました。
• 第1報では、契約企業担当者の個人情報が漏えいした可能性と、一部ギフトの不正交換が確認されていました。
• 第2報で、第三者によるギフトの不正交換が今回の不正アクセスに起因していたことが確認されました。
• 不正交換に至ったシステム上の要因と手段を解明し、再発防止のためのシステム修正を完了しています。
• 原因箇所も特定し、該当するすべての箇所への必要な修正措置を完了しました。
• 漏えいした可能性のある個人情報の範囲は第1報から変更ありません。
• クレジットカードなどの金融情報やパスワードは対象に含まれていません。
• ギフト受領者の個人情報は全日空商事が取得・保持していないため、本件による漏えいの可能性はありません。
• すでに契約企業へ納品済みのギフトと、利用者が保有する未交換分については、不正交換のおそれがないことを確認しています。
• これまでの調査で個人情報の不正利用などの報告は受けていません。
• 停止していたサービスは9月4日14時に再開しました。
• 個人情報保護委員会への報告と警察への報告を完了しています。
• 対象企業数、対象担当者数、不正交換件数・金額、具体的な攻撃手法は公表されていません。

項目	内容
第1報	2026年8月24日
第2報	2026年9月4日
対象組織	全日空商事株式会社
対象サービス	選べるe-GIFT
不正アクセス期間	2026年8月11日～12日
対象システム	管理運用システム
個人情報	契約企業担当者情報が漏えいした可能性
漏えい可能性のある情報	担当者名、企業名、企業ID、ログインID、メールアドレスの一部
金融情報・パスワード	対象外
ギフト受領者の個人情報	同社が取得・保持しておらず、漏えい可能性なし
ギフト不正交換	確認済み
不正アクセスとの因果関係	第2報で確認
原因	システム上の要因と手段を解明。詳細は非公表
修正	原因箇所を特定し、必要な修正措置を完了
不正交換件数・金額	公表されていません
サービス再開	2026年9月4日14時
個人情報保護委員会	報告済み
警察	報告済み
二次被害	個人情報の不正利用等の報告なし

第1報では調査中だった不正交換との因果関係が確定

全日空商事は8月24日の第1報で、8月11日から12日にかけて「選べるe-GIFT」の管理運用システムへ第三者による不正アクセスがあったと公表しました。

調査では、契約企業担当者の氏名やメールアドレスの一部が記載されたページが数分間にわたって閲覧されたことが確認され、個人情報が漏えいした可能性があると説明していました。

同時に、一部の「選べるe-GIFT」が第三者に不正交換された事象も確認していましたが、第1報の段階では、不正アクセスと不正交換が同じ侵害に起因するかどうかは確定していませんでした。

9月4日の第2報で、外部専門機関の調査により、不正交換も今回の不正アクセスに起因していたことが確認されました。

このため、第1報時点で「不正アクセスによってギフトが不正交換された」と断定できなかった部分が、第2報で正式に確定したことになります。

原因箇所を特定、システム修正を完了

全日空商事は、不正交換に至ったシステム上の要因と手段を解明し、同様の事象が発生しないようシステム修正を完了しました。

さらに、今回の事象に至った原因箇所を特定し、該当するすべての箇所に必要な修正措置を実施したとしています。

ただし、悪用された具体的な脆弱性、認証回避の有無、APIや管理画面の問題だったのかなど、攻撃に利用された技術的な詳細は公表されていません。

「原因箇所を特定した」ことは確認できますが、外部から同じ事象を再現できるような詳細情報までは公開されていません。

個人情報の対象範囲は第1報から変更なし

漏えいした可能性のある個人情報について、第2報で対象範囲の変更はありませんでした。

対象は契約企業の担当者に関する、担当者名として登録された情報、企業名、企業ID、ログインID、メールアドレスの一部です。

メールアドレスは全体ではなく、冒頭3文字とドメインのみが表示される形式でした。

クレジットカードなどの金融情報とパスワードは、漏えいした可能性のある情報に含まれていません。

また、契約企業からギフトを受け取った一般利用者の個人情報については、全日空商事が取得・保持していないため、本件による漏えいの可能性はないことを改めて確認しています。

納品済み・未交換分のギフトは不正交換のおそれなし

第2報では、不正交換に関する影響範囲も更新されました。

全日空商事は、すでに契約企業へ納品済みの「選べるe-GIFT」と、利用者が保有している未交換分について、不正交換のおそれがないことを確認したとしています。

不正交換の被害を受けた契約企業には個別に報告し、対応を進めています。

ただし、不正交換されたギフトの件数、金額、交換先、発生日時などは第2報でも公表されていません。

そのため、被害規模を金額や件数で推測することはできません。

9月4日14時にサービスを再開

全日空商事は、不正アクセスと不正交換に関する調査と対策措置が完了したとして、停止していた「選べるe-GIFT」の提供を9月4日14時に再開しました。

第1報では一部サービスの停止のみが公表され、再開時期は未定でした。

第2報では、原因特定、修正、安全性確認、再開まで進んだことになります。

また、対象となる契約企業と担当者への個別報告も完了しています。

個人情報の不正利用は現時点で報告なし

全日空商事は、これまでの調査で個人情報の不正利用などの報告は受けていないとしています。

ただし、担当者名、企業名、ログインID、メールアドレスの一部などが第三者に閲覧された可能性があるため、同社や「選べるe-GIFT」を装った不審なメールや電話には引き続き注意が必要です。

全日空商事は、身に覚えのない連絡が届いた場合、記載されたURLをクリックしたり添付ファイルを開いたりせず、破棄するよう呼びかけています。

個人情報保護委員会と警察への報告も完了

全日空商事は、本件について個人情報保護委員会への報告と警察への報告を完了しています。

第1報では「警察への被害申告」としていましたが、第2報では「警察への報告を完了」と説明しています。

同社は今後も国内外の法令に従って対応を進めるとしています。

情報システム部門への示唆

今回の第2報で重要なのは、個人情報への不正アクセスとデジタルギフトの不正交換が、同じ侵害に起因していたことが確認された点です。

インシデント調査では、個人情報の閲覧だけを見て影響範囲を確定すると、同じ侵入経路を使った別の不正操作を見落とす可能性があります。

特に、ポイント、ギフト、クーポン、残高、チケットなどのデジタル資産を扱うサービスでは、個人情報へのアクセスだけでなく、資産の発行、交換、移転、失効、再発行などの操作ログまで横断して確認する必要があります。

また、今回のように原因箇所を修正しただけでなく、納品済み・未交換分への影響有無まで確認してからサービス再開を判断することも重要です。

サービス停止を伴うインシデントでは、復旧速度だけでなく、「侵入経路を塞いだか」「同種の操作を再現できないか」「既存資産への不正操作リスクが残っていないか」を確認した上で再開する必要があります。

セキュリティ対策Labでは、第1報の段階から本件を追跡しています。

関連記事：全日空商事の「選べるe-GIFT」に不正アクセス、企業担当者の個人情報漏えいの可能性　ギフトの不正交換も確認

出典

• 「選べるe-GIFT」に対する不正アクセスについて（第2報） – 全日空商事株式会社
• 「選べるe-GIFT」に対する不正アクセスについて（第1報） – 全日空商事株式会社
• 全日空商事の「選べるe-GIFT」に不正アクセス、企業担当者の個人情報漏えいの可能性　ギフトの不正交換も確認 – セキュリティ対策Lab