キャッシュレス アプリ IDARE（イデア）に不正アクセスによるサイバー攻撃、12万9,659人の個人情報漏えいを確認―残高・取引履歴や本人確認情報も対象

キャッシュレスアプリ「IDARE（イデア）」を運営する株式会社Fivotは2026年10月13日、第三者による不正アクセスにより、利用者12万9,659人の個人情報が外部に漏えいしたと発表しました。退会済みの利用者も対象です。

攻撃者は、同社がカスタマーサポートなどに利用していた外部ソフトウェアの脆弱性を悪用し、8月10日から9月27日にかけて複数回、同社のデータベースから情報を取得していました。メールアドレスや電話番号だけでなく、生年月日、残高情報、取引履歴、カード情報の一部が流出しています。

同社によると、ログインパスワードやカード番号の全桁、本人確認書類の画像などは漏えいしておらず、10月13日時点で本件に起因する不正な取引は確認されていません。利用者の残高は保全され、サービスは通常どおり利用できます。

IDARE不正アクセス・個人情報漏えいのサマリー

• 公表日：2026年10月13日
• 対象サービス：貯まるキャッシュレスアプリ「IDARE」
• 運営会社：株式会社Fivot
• 不正アクセス期間：2026年8月10日～9月27日
• 侵入の原因：カスタマーサポートなどで使用する外部ソフトウェアの脆弱性の悪用
• 漏えい対象：2026年9月27日までに登録した12万9,659人（退会済み利用者を含む）
• 全対象者の主な情報：電話番号、メールアドレス、生年月日、ユーザーID、アカウントの設定・状態、残高、取引履歴、IDAREカードの名義・有効期限など
• 一部対象者の情報：住所・氏名・本人確認書類番号、カードや銀行口座の番号の一部、旧貸付サービスに関する年収・勤務先情報など
• 対象外：ログインパスワード、本人確認書類や顔の画像、カード番号・銀行口座番号の全桁、各種暗証番号
• 対応：侵入経路の遮断、該当ソフトウェアの利用終了、関連認証情報の更新、対象者への個別メール通知
• 現時点の利用状況：サービス継続、残高保全、不正取引は未確認

外部ソフトウェアの脆弱性を悪用、約1か月半にわたり情報を取得

Fivotによると、同社がカスタマーサポートなどの業務に導入していた外部ソフトウェアの脆弱性が悪用されました。攻撃者は2026年8月10日から9月27日にかけて複数回、IDAREのデータベースに保存された情報を取得したとしています。

同社は不正アクセス経路の遮断、当該ソフトウェアの利用終了、関連する認証情報の更新を完了しました。その後、新たな不正アクセスは確認されていません。弁護士を含む第三者による調査や法令に基づく報告も進めています。

今回の発表では、悪用されたソフトウェアの製品名やCVE番号、攻撃の具体的な技術的手法は明らかにされていません。

漏えいした情報の内訳―残高・取引履歴、本人確認書類の番号も含まれる

漏えいした情報は利用者の登録状況やサービスの利用状況によって異なります。Fivotは、対象者ごとの詳しい情報について個別に連絡するとしています。

全12万9,659人が対象となる情報

• 電話番号、メールアドレス、生年月日、ユーザーID、表示名など
• アカウントの設定情報、ステータス
• 残高情報、取引履歴
• IDAREカードの名義、有効期限

残高や取引履歴は、連絡先情報と結び付くことで、本人の利用状況を把握する手掛かりとなります。

一部の利用者が対象となる情報

「LADDER」関連の情報は、2021年10月までにIDAREへ登録し、同月に終了した貸付サービスの利用目的で情報を入力した利用者に限られます。

一方、Fivotは、マイナンバー、本人確認書類・顔画像、ログインパスワード、カード番号や口座番号の全桁、セキュリティコード、暗証番号は漏えいしていないと説明しています。また、リアルカードのアクティベーションコードは、第三者のアカウントから利用できないとしています。

漏えいによるリスクは？カード番号が全桁流出していなくても二次被害に注意

残高・取引履歴を使った「本物らしい」詐欺連絡

氏名や生年月日、電話番号、残高、過去の取引情報などが組み合わさると、攻撃者が利用者の事情を知っているかのように装うことができます。

たとえば、「IDARE残高の保全手続き」「不審な入金の確認」「補償の受け取り」などを口実に、偽サイトへ誘導してログイン情報やSMS認証コードを入力させるフィッシングが考えられます。これは漏えい情報から想定される悪用例であり、今回そのような詐欺が発生したと確認されたものではありません。

残高や過去の取引について正しい数字を示されても、それだけで連絡元が正規の運営会社だと判断しないことが必要です。

本人確認書類の番号や旧貸付サービスの情報によるなりすまし

一部利用者では、本人確認書類の番号や住所、年収、勤務先なども漏えいしました。これらは、金融サービスの申し込みや本人確認を装う不審な連絡の信頼性を高める情報になり得ます。

ただし、今回の漏えいに本人確認書類の画像や顔画像は含まれていません。書類番号だけで第三者が直ちに本人になりすまして口座開設や融資を受けられると断定することはできません。

カード番号の一部から直ちに不正決済できるわけではない

IDAREカードや登録クレジットカードについては番号の一部が対象ですが、カード番号の全桁、セキュリティコード、暗証番号は漏えいしていません。

そのため、今回公表された情報だけで通常のカード決済に必要な情報がすべてそろったわけではありません。一方、番号の末尾や残高、連絡先を使って、カード会社やサポート窓口を装い追加の情報を聞き出す行為には注意が必要です。

対象の利用者が取るべき対策

1．IDAREからの個別通知を公式アプリやサイトで確認する

Fivotは対象利用者にメールで個別案内するとしています。ただし、不正アクセスを口実にした偽メールが届く可能性もあります。

「補償」「本人確認」「残高保全」「緊急の認証」を求めるメールやSMSに記載されたリンクを安易に開かず、普段利用しているIDAREアプリや公式サイトから案内を確認してください。問い合わせはアプリ内の「お問い合わせ」か、公式サイトの問い合わせフォームを利用できます。

2．残高・取引履歴と登録済みの入金手段を確認する

IDAREのアプリで残高、取引履歴、身に覚えのない操作がないかを確認します。必要に応じて登録しているクレジットカードや銀行口座の明細も点検してください。

不審な取引や登録情報の変更があれば、IDAREの正規窓口へ連絡し、決済・口座側で被害が疑われる場合は発行会社や金融機関にも相談します。

3．パスワードや認証コードを第三者に伝えない

Fivotはログインパスワードの漏えいを否定しており、ログイン時には多要素認証を必須としています。今回の発表だけを理由に、全利用者が直ちにパスワードを変更しなければならない状況ではありません。

ただし、他サービスと同じパスワードを使っている場合は固有のものに変更し、認証コードを要求する不審な連絡に応じないでください。Fivotはメール・SMS・電話でパスワード、暗証番号、セキュリティコード、認証コードを尋ねることはないと案内しています。

4．本人確認情報が対象だった場合は、なりすまし契約にも注意する

個別通知で本人確認書類番号、年収、勤務先情報などが漏えい対象と分かった場合は、見覚えのないローンやカードの申込通知、本人確認依頼などがないか注意してください。

身に覚えのない契約や信用情報への不審な登録が疑われる場合は、契約先への照会や信用情報機関への本人開示、警察への相談を検討できます。書類の番号だけが漏れたという理由で、全員にカードや免許証の再発行が必要になるわけではありません。

漏えいした情報別の対応は、個人情報が漏えいしたらどうする？種類別のリスクと対策でも整理しています。

情報システム部門への示唆―サポート用ソフトウェアも重要な侵入経路に

今回の攻撃は、利用者向けアプリ本体ではなく、カスタマーサポートなどの業務で使用していた外部ソフトウェアの脆弱性を起点としていました。

企業では、問い合わせ管理、顧客対応、BI、運用管理などの周辺システムから、本番データベースや個人情報へアクセスできる範囲を把握しておく必要があります。外部ソフトウェアの脆弱性情報の収集、適切な権限の設定、アクセスログの監視、不要になったシステムや認証情報の整理などが点検対象になります。

Fivotは再発防止策として、ソフトウェアの脆弱性情報の継続監視、ログの監視とアラート、外部専門家による第三者調査、情報管理体制の強化を挙げています。

出典

• 「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び（2026年10月13日）－IDARE／株式会社Fivot