ドットマネー、GMOタウンWiFiへ事業譲渡不正アクセスによる停止から8月12日にサービス再開予定|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月11日更新日時: 2026年08月11日

株式会社サイバーエージェントが運営していたポイント交換プラットフォーム「ドットマネー」について、2026年8月10日付でGMOタウンWiFi株式会社へ事業譲渡されることが公表されました。ドットマネーは2026年6月8日から不正アクセスへの対応のためサービスを停止しており、今回の発表では、サービス再開に向けた運営体制の変更、保有マネーやアカウント情報の引き継ぎ、利用規約・プライバシーポリシーの改定方針が示されています。

本件は、単なるサービス運営会社の変更ではなく、不正アクセスによる長期停止後に、利用者のポイント資産、登録情報、交換申請、個人情報の移管をどう扱うかという点で、ポイント交換サービスや会員基盤を持つ事業者にとって参考になる続報です。

ドットマネー事業譲渡とサービス再開のサマリー

株式会社サイバーエージェントは、ポイント交換プラットフォーム「ドットマネー」事業をGMOタウンWiFi株式会社へ譲渡する事業譲渡契約を2026年8月10日付で締結したと公表しました。
ドットマネーは2026年6月8日から、システムへの不正アクセスを理由にサービスを停止していました。セキュリティ対策Labでは既報として、サイバーエージェント運営「ドットマネー」が不正アクセスで全サービス停止およびドットマネーの不正アクセス、復旧は7月上旬ごろ交換中ポイントは消失しないで経緯を取り上げています。
利用者の保有マネー、アカウント、登録情報は原則としてGMOタウンWiFi株式会社へ引き継がれ、改定後の利用規約・プライバシーポリシーへの再同意がサービス再開時のログインで求められます。
サービスは2026年8月12日正午以降、安全性の確認が整った機能から順次再開予定で、全体の再開予定時刻は同日13時とされています。
今回の続報では、事業譲渡と再開予定は明らかになった一方、不正アクセスの原因、侵入経路、個人情報漏えいの有無、個人情報保護委員会への報告状況については、公式ブログ上で追加の詳細は確認できません。

項目	内容
公表日	2026年8月10日
旧運営会社	株式会社サイバーエージェント
新運営会社	GMOタウンWiFi株式会社
譲渡日・効力発生日	2026年8月10日
対象サービス	ドットマネー、ドットポイント、ドットマネーモール、ドットマネーギフト
対象外サービス	ドットマガジン、ドットギフト
背景	2026年6月8日から不正アクセスへの対応のためサービス停止。サービス再開に向け、継続的な運営体制と事業ポートフォリオを見直した結果、GMOタウンWiFiへ譲渡
保有マネー・アカウント	原則としてそのままGMOタウンWiFi株式会社へ引き継ぎ
個人情報の扱い	法令およびサイバーエージェントのプライバシーポリシーに基づき、GMOタウンWiFi株式会社へ引き継ぎ
利用規約・プライバシーポリシー	運営会社変更に伴い改定。サービス再開時にサイト上で公開し、ログイン時に再同意が必要
サービス再開予定	2026年8月12日正午以降、機能ごとに順次再開予定。全体の再開予定時刻は13時
交換中のマネー	交換申請を取り消し、すべて利用者のドットマネー口座へ戻したと案内
不正利用の確認状況	7月29日の公式ブログでは、利用者のマネーへの不正利用は確認されていないと説明
個人情報漏えいの確認状況	8月10日時点の運営会社変更発表では、不正アクセスによる個人情報漏えいの有無に関する新たな詳細は確認できません
個人情報保護委員会への報告状況	8月10日時点の公式ブログおよびGMO側リリースからは確認できません
利用者が注意すべき点	再開時の規約・プライバシーポリシー再同意、交換申請の再実施、不審なメール・SMS・偽サイトへの注意

何が起きたか

ドットマネー公式スタッフブログは2026年8月10日、サイバーエージェントが運営するポイント交換プラットフォーム「ドットマネー」について、GMOインターネットグループ傘下のGMOタウンWiFi株式会社へ譲渡する事業譲渡契約を締結したと公表しました。効力発生日は同日です。

ドットマネーは、各種ポイント、マイル、現金、ギフト券などを相互に交換できるポイント交換サービスです。2026年6月8日から、同社システムへの不正アクセスへの対応としてサービスを停止していました。当初は再開まで約1カ月程度と案内されていましたが、安全性の確認と再発防止に時間を要し、最終的に8月12日正午以降の順次再開予定まで停止期間が長期化しました。

今回の発表で大きいのは、サービス再開の前に運営会社が変更される点です。利用者の保有マネー、アカウント、登録情報は原則としてGMOタウンWiFiへ引き継がれ、サービスは譲渡後も継続されると説明されています。一方で、利用規約・プライバシーポリシーは運営会社変更に伴って改定され、再開後のログイン時に再同意が必要になります。

既報からの主な更新点

セキュリティ対策Labでは、6月時点でサイバーエージェント運営「ドットマネー」が不正アクセスで全サービス停止として初報を取り上げました。この時点では、ドットマネー・ドットギフトの全サービス停止、保有ポイントの不正利用被害は確認されていないこと、不審な連絡や偽サイトへの注意喚起が主な内容でした。

その後、ドットマネーの不正アクセス、復旧は7月上旬ごろ交換中ポイントは消失しないでは、交換中のポイントが保全されること、有効期限を迎えるドットマネーやドットギフトコードについて再付与等の対応を予定していることを整理しました。

今回の続報では、復旧計画そのものに加えて、事業譲渡という経営・運営面の変更が加わりました。つまり、不正アクセスへの技術的対応だけでなく、今後のサービス継続体制を別会社へ移す判断が示されたことになります。

ただし、不正アクセスの原因、侵入経路、影響範囲、個人情報漏えいの有無について、8月10日の運営会社変更発表だけで詳細が明らかになったわけではありません。読者としては、サービス再開や譲渡の案内と、インシデント調査結果の開示を分けて確認する必要があります。

事業譲渡の対象とGMO側の発表内容

GMOインターネットグループの発表によると、GMOタウンWiFiは2026年8月10日付でサイバーエージェントと「ドットマネー事業」の事業譲受契約を締結しました。目的はポイント交換基盤の強化であり、GMOプロダクトプラットフォームの連結企業集団が提供するポイントプラットフォームの機能を強化し、既存クライアントへの提供価値向上と利便性の高いポイントサービスの実現を目指すとしています。

GMO側の発表では、ドットマネー事業の実績として、年間ポイント流通額約180億円、累計口座開設数約3,500万件、ポイント交換元約180社、ポイント交換先約60商品が示されています。これは単なる一サービスの移管ではなく、多数の利用者、提携先、交換先を持つ大規模なポイント交換基盤の承継であることを意味します。

譲受対象には、ポイント交換プラットフォーム事業、ドットマネーモール、ドットポイントのほか、事業継続に必要なソースコード、ドメイン、商標などをはじめとする資産やポイント負債が含まれるとされています。利用者から見ると、保有マネーが事業譲渡後もどう扱われるかが最大の関心事ですが、GMO側はポイント負債も譲受対象として明記しています。

引き継がれるものと引き継がれないもの

サイバーエージェント側の公式ブログでは、利用者の保有マネー、アカウント、登録情報は原則としてそのままGMOタウンWiFiへ引き継がれ、サービス再開後もこれまでどおり利用できると案内されています。

対象事業には、ポイント交換プラットフォーム「ドットマネー」、ポイント発行・管理サービス「ドットポイント」、ドットマネーが貯まる広告・コンテンツ掲載サービス「ドットマネーモール」、ドットマネーを第三者に送れるサービス「ドットマネーギフト」が含まれます。一方で、「ドットマガジン」および「ドットギフト」は対象事業に含まれないと明記されています。

ここは利用者が誤解しやすい点です。今回の譲渡対象には「ドットマネーギフト」は含まれますが、「ドットギフト」は含まれません。名前が近いため、公式案内を確認したうえで、自分が利用していたサービスがどちらに該当するかを把握する必要があります。

サービス再開予定と利用者が確認すべきこと

ドットマネー公式スタッフブログは、2026年8月12日正午以降、安全性の確認が整った機能から順次サービスを再開する予定だと公表しています。全体の再開予定時刻は同日13時とされていますが、機能によって再開タイミングが異なる場合があるとも説明しています。再開直後はアクセス集中により、画面表示や各種手続きに時間がかかる可能性もあります。

交換中のマネーについては、サービス停止前に申し込まれたものの交換が完了していなかった申請を取り消し、すべて利用者のドットマネー口座へ戻していると案内されています。そのため、利用者はサービス再開後、必要に応じて改めて交換申請を行う必要があります。

有効期限についても、6月末失効分は7月13日に再付与済みで新期限は8月末、7月末失効分は8月5日に再付与済みで新期限は9月末とされています。メンテナンス前に交換申請を行い返却された分についても、8月5日に再付与済みで新期限は9月末と案内されています。

サービス再開後に利用者が確認すべき点は、保有マネーの残高、返却された交換申請分の有無、有効期限、利用規約・プライバシーポリシーの改定内容、交換先ごとの再開状況です。特に、再開直後に交換を急ぐ利用者は、偽サイトや不審なSMSに誘導されないよう、公式サイトや公式ブログからアクセスすることが重要です。

個人情報の移管で確認すべき点

今回の事業譲渡に伴い、利用者の個人情報は、法令およびサイバーエージェントのプライバシーポリシーに基づき、GMOタウンWiFiへ引き継がれると説明されています。引き継ぎ後の個人情報は、改定後のプライバシーポリシーで定める利用目的の範囲内で取り扱われ、当該範囲を超えて利用する場合には、改めて利用者の同意を取得するとされています。

個人情報保護委員会は、合併や組織再編等を行う事業者に対し、当初取得時に特定し、通知・公表している利用目的が、事業内容の変更・追加後も過不足なく反映されているか確認する必要があると注意喚起しています。事業承継に伴って他社から取得した個人情報は、承継前の利用目的の達成に必要な範囲、またはその利用目的と関連性を有すると合理的に認められる範囲内で利用できるという整理です。

そのため、本件で利用者が見るべきポイントは、事業譲渡そのものが直ちに問題かどうかではなく、譲渡後のプライバシーポリシーで何が変わるかです。利用目的、共同利用、第三者提供、外部委託、広告・分析目的での利用、退会・削除の手続き、問い合わせ窓口の変更は確認しておくべきです。

公式ブログでは、引き継ぎ後の個人情報の削除または退会を希望する場合は問い合わせ窓口に連絡するよう案内されています。再開時の再同意画面を流れで承諾するのではなく、ポイント残高とアカウント継続の必要性を踏まえて判断するのが現実的です。

ポイント交換サービスにおけるインシデントの難しさ

ドットマネーのようなポイント交換サービスは、個人情報を扱うだけでなく、利用者のポイント資産、交換申請、提携先とのデータ連携、広告・キャンペーンとの接続を持っています。金融機関そのものではないとしても、利用者にとっては換金性のある価値が口座に蓄積されるため、不正アクセス時の影響は単なるログイン障害にとどまりません。

ポイント交換サービスでは、攻撃者が狙う対象も複数あります。アカウント乗っ取りによるポイント不正交換、交換先アカウントとの紐付け変更、フィッシングによる認証情報の窃取、復旧・補償を装った偽サイト誘導、提携事業者を巻き込んだ問い合わせ混乱などです。既報でも取り上げたように、PinTの事案では不正ログインとポイント不正利用が問題になっており、ポイントは攻撃者にとって換金しやすい標的の一つです。

ドットマネー公式ブログも、初報段階から不審な連絡や偽サイトへの注意を呼びかけていました。サービス停止や再開、運営会社変更のタイミングは、利用者が公式案内を探す機会が増えるため、攻撃者にとっても便乗しやすい局面です。セキュリティ担当者の目線では、復旧作業だけでなく、利用者向け広報、公式導線の明確化、なりすまし監視、問い合わせ窓口の負荷対策まで含めて設計する必要があります。

情報システム部門への示唆

今回の続報は、ポイント交換サービスの不正アクセス事案であると同時に、インシデント対応中に事業譲渡とサービス再開が重なるケースとして見る必要があります。情報システム部門やセキュリティ担当者にとって重要なのは、復旧可否だけでなく、利用者資産、個人情報、委託先・提携先、法務・広報を横断して管理できるかどうかです。

自社で会員基盤やポイント、電子クーポン、ギフトコード、プリペイド残高に近い価値を扱っている場合、まず棚卸しすべきなのは「漏えいしたか」だけではありません。停止中の申請、未処理の交換、期限切れとなる残高、キャンペーンで付与予定だったポイント、外部提携先へ送る予定だったデータなど、利用者にとって経済的価値を持つ状態を正確に把握する必要があります。

復旧時には、古い環境をそのまま再開するのではなく、認証強化、MFAまたはSMS認証の適用範囲拡大、交換先ごとの安全性確認、異常交換の監視、ログの保存期間見直し、問い合わせ窓口の本人確認強化をセットで行うべきです。ドットマネー公式ブログでは、提携パートナーIDサービスで作成された口座にもSMS認証を新たに導入すると案内されており、これは再開後のアカウント保護策として重要な更新点です。

事業譲渡や運営会社変更が絡む場合は、セキュリティレビューの対象をシステムだけに限定してはいけません。ソースコード、ドメイン、商標、ポイント負債、利用者データ、ログ、インシデント調査資料、提携先契約、個人情報保護上の利用目的、利用規約、プライバシーポリシー、問い合わせ履歴まで、どの資産を誰が承継し、誰が責任を持つのかを明確にする必要があります。

利用者向けには、公式サイト・公式ブログ・公式アプリ上で同じ内容を案内し、メールやSMSだけに依存しない導線を作ることが重要です。再開直後は、不正アクセスに便乗した偽ログイン画面、補償手続き、返金申請、本人確認、認証コード入力を求めるフィッシングが発生しやすくなります。広報文には、正規窓口、要求しない情報、リンクを開かず公式サイトから確認することを明記しておくべきです。