全日空商事の「選べるe-GIFT」に不正アクセス、企業担当者の個人情報漏えいの可能性　ギフトの不正交換も確認

全日空商事株式会社(ANA)は2026年8月24日、法人向けデジタルギフトサービス「選べるe-GIFT」の管理運用システムが第三者による不正アクセスを受け、一部の契約企業担当者の個人情報が漏えいした可能性があると公表しました。

不正アクセスは8月11日から12日にかけて発生し、調査の過程で、担当者の氏名やメールアドレスの一部などが記載されたページが数分間にわたり閲覧されたことが判明しました。また、一部の「選べるe-GIFT」が第三者に不正に交換された事象も確認されています。

同社は不正アクセス経路を遮断し、一部サービスを停止しています。外部専門機関が、個人情報漏えいの範囲や不正交換との関連性を含めて調査中です。現時点では、対象となる企業・担当者の件数、不正交換されたギフトの件数や金額、具体的な侵入経路は公表されていません。

「選べるe-GIFT」不正アクセスのサマリー

• 確認済み：全日空商事は2026年8月24日、「選べるe-GIFT」への不正アクセスを第一報として公表しました。
• 確認済み：2026年8月11日から12日にかけて、サービスの管理運用システムへ第三者による不正アクセスが行われました。
• 確認済み：契約企業担当者の氏名やメールアドレスの一部などが記載されたページが数分間にわたり閲覧されました。
• 可能性：一部の契約企業担当者の個人情報が漏えいした可能性があります。
• 確認済み：一部の「選べるe-GIFT」が第三者に不正に交換された事象も確認されています。
• 調査中：不正アクセスとギフトの不正交換の関連性は、外部専門機関が調査しています。
• 確認済み：漏えいした可能性がある情報に、クレジットカードなどの金融情報とパスワードは含まれていません。
• 確認済み：「選べるe-GIFT」を受け取った個人利用者の個人情報は全日空商事が取得・保持していないため、本件による漏えいの可能性はないとしています。
• 確認済み：全日空商事は不正アクセス経路を遮断し、一部サービスを停止しています。
• 確認済み：個人情報保護委員会への報告と警察への被害申告を行っています。
• 確認済み：8月24日時点で、個人情報の不正利用などの報告は受けていません。
• 未確認：対象企業数、対象担当者数、不正交換件数・金額、侵入経路、攻撃者の属性、サービス全面再開時期は公表されていません。

項目	内容
公表日	2026年8月24日
対象組織	全日空商事株式会社
対象サービス	法人向けデジタルギフト「選べるe-GIFT」
不正アクセス発生	2026年8月11日～12日
対象システム	「選べるe-GIFT」の管理運用システム
インシデント	第三者による不正アクセス、一部ギフトの不正交換
侵入経路	調査中／公表されていません
漏えい	契約企業担当者の個人情報が漏えいした可能性
漏えいの可能性がある情報	担当者名、企業名、企業ID、ログインID、メールアドレスの一部
金融情報・パスワード	漏えいした可能性のある情報には含まれず
ギフト受領者の個人情報	全日空商事が取得・保持していないため、本件による漏えいの可能性なし
対象件数	公表されていません
不正交換件数・金額	公表されていません
対応	不正アクセス経路の遮断、一部サービス停止、外部専門機関による調査
個人情報保護委員会	報告済み
警察	被害申告済み
二次被害	8月24日時点で個人情報の不正利用などの報告なし

8月11日から12日に管理運用システムへ不正アクセス

全日空商事によると、2026年8月11日から12日にかけて、「選べるe-GIFT」の管理運用システムに対する第三者による不正アクセスが行われました。

その後、同社が調査を進める中で、契約企業担当者の氏名やメールアドレスの一部が記載されたページが、第三者によって数分間にわたり閲覧されたことが判明しました。

このため、同社は対象となる個人情報について「漏えいした可能性がある」としています。

現時点では、情報が実際に外部へ保存・持ち出されたことまで確認したとの説明ではありません。「第三者による閲覧が確認された」ことと、「個人情報の漏えいが確認された」ことは分けて整理する必要があります。

また、全日空商事は、不正アクセスをどの時点で検知・把握したのかについて具体的な日時を公表していません。

氏名、企業ID、ログインIDなどに漏えいの可能性

漏えいした可能性があるのは、「選べるe-GIFT」を契約している企業の担当者に関する情報です。

全日空商事が公表した対象情報は次のとおりです。

情報	対象
担当者名	氏名、または姓・名のいずれか。個人名を登録していた場合
企業名	対象
企業ID	対象
ログインID	対象
メールアドレス	冒頭3文字とドメインのみ

メールアドレスについては完全な文字列ではなく、冒頭3文字とドメインだけが表示される形式だったとしています。

一方、今回漏えいした可能性がある情報には、クレジットカードなどの金融情報やパスワードは含まれていません。

「ログインID」が対象に含まれているものの、パスワードは対象外です。ただし、ログインIDや企業名、担当者名などが第三者に取得されていた場合、企業担当者を狙ったなりすましメールやフィッシングに利用される可能性があります。

ギフト受領者の個人情報は対象外

「選べるe-GIFT」は、複数の電子マネーやポイント、クーポンなどから受取人が希望する商品を選択できるデジタルギフトサービスです。

企業のキャンペーン賞品、ポイント交換、アンケート謝礼、イベント参加特典など、法人のマーケティング用途で利用されています。

今回の不正アクセスで漏えいの可能性があるのは、サービスを契約する企業側の担当者情報です。

全日空商事は、契約企業から「選べるe-GIFT」を受け取った個人利用者については、個人情報を同社が取得・保持していないため、本件による個人情報漏えいの可能性はないと説明しています。

したがって、「選べるe-GIFTの受取人全体の個人情報が漏えいした可能性がある」と捉えるのは正確ではありません。

一部の「選べるe-GIFT」が第三者に不正交換

個人情報へのアクセスとは別に、全日空商事は、一部の「選べるe-GIFT」が第三者によって不正に交換された事象を確認しています。

これは「漏えいした可能性」にとどまる個人情報とは異なり、不正交換という実被害が確認されたものです。

ただし、8月24日の第一報では、不正交換されたギフトの件数、金額、交換先、不正交換が行われた日時などは公表されていません。

対象となった契約企業には、不正交換の事象と内容を個別に連絡し、対応を進めています。

また、管理運用システムへの不正アクセスとギフトの不正交換が、同一の侵害行為によって発生したものかどうかについても現段階では確定していません。全日空商事は「両事象の関連性も含め」外部専門機関による調査を実施しています。

このため、「不正アクセスによってギフトが盗まれた」と因果関係まで断定するのは現時点では適切ではありません。

不正アクセス経路を遮断、一部サービスを停止

全日空商事は本件の判明後、被害拡大を防ぐため、不正アクセスに使われた経路を遮断する措置を講じました。

また、「選べるe-GIFT」の一部サービスを停止しています。

ただし、第一報では、停止している具体的な機能や対象範囲、サービス再開時期は公表されていません。

同社は外部専門機関とともに、不正アクセスの原因、影響範囲、個人情報漏えいの有無や対象、不正交換との関連などについて調査を続けています。

侵入経路についても、「経路を遮断した」ことは公表されていますが、脆弱性悪用、認証情報の窃取、設定不備など、具体的にどのような手段で侵入されたかは明らかにされていません。

第一報の段階で侵入方法を推測することはできません。

個人情報保護委員会へ報告、警察にも被害申告

全日空商事は本件について、個人情報保護委員会への報告と警察への被害申告を行いました。

対象となる契約企業と担当者には、8月24日から順次個別に連絡しています。

8月24日の公表時点では、今回漏えいした可能性がある個人情報について、不正利用などの報告は受けていないとしています。

一方、企業名、担当者名、ログインID、メールアドレスの一部といった情報は、実在する企業や担当者になりすました攻撃に利用される可能性があります。

全日空商事は、同社や「選べるe-GIFT」を装った不審なメールや電話に注意し、身に覚えのない連絡に記載されたURLをクリックしたり、添付ファイルを開いたりしないよう呼びかけています。

現時点でフィッシングなどの二次被害が確認されたという意味ではなく、今後想定されるリスクへの注意喚起です。

第一報で未公表の事項

今回の公表は「第1報」であり、調査中の項目が多く残っています。

特に今後確認が必要なのは、対象となる契約企業と担当者の件数、個人情報が実際に外部へ持ち出されたか、不正交換されたギフトの件数と金額、具体的な侵入経路、不正アクセスと不正交換の関連性です。

また、不正アクセスが8月11日から12日に行われた一方、8月24日の公表までにどのような経緯で侵害を把握したのか、いつサービスを停止したのかも明らかにされていません。

ランサムウェア、身代金要求、攻撃者によるデータ公開、特定の脅威アクターとの関連についても、全日空商事は公表していません。

今後の調査結果が公表された場合は、第一報の「漏えいの可能性」と、実際に確認された漏えい範囲を分けて更新する必要があります。

情報システム部門への示唆

今回の事案では、個人情報へのアクセスに加え、デジタルギフトの不正交換という金銭的価値を持つ資産への実被害も確認されています。

デジタルギフト、ポイント、マイレージ、クーポン、プリペイド残高などは、クレジットカード情報そのものではなくても、攻撃者が換金・消費できる「価値を持つデジタル資産」です。

こうしたサービスでは、個人情報保護だけでなく、ギフトの発行、保管、交換、失効などの操作を対象とした不正利用監視が必要です。

管理運用システムについては、一般利用者向け画面よりも高い権限を持つ可能性があります。管理者・法人担当者アカウントへの多要素認証、権限の最小化、管理画面への接続元制限、異常なログインや大量照会の監視などを確認する必要があります。

また、ギフト交換についても、通常と異なるIPアドレスや端末、短時間の大量交換、普段とは異なる交換先、失敗を繰り返した後の成功などをリスクシグナルとして監視する仕組みが考えられます。

今回の第一報では、個人情報への不正アクセスとギフトの不正交換の関係はまだ調査中です。インシデント対応では、一つの侵害兆候だけで調査範囲を限定せず、認証、管理画面、データ閲覧、資産移転、API操作などを横断してログを確認することが重要です。

セキュリティ対策Labでは、不正アクセスの基本的な考え方や企業で必要となる対策について「不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説」でも整理しています。

出典

• 「選べるe-GIFT」に対する不正アクセスについて（第1報） – 全日空商事株式会社
• デジタル・メディア事業「選べるe-GIFT」 – 全日空商事株式会社
• 不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説 – セキュリティ対策Lab