キャッシュレスの「IDARE」、約13万人の個人情報が漏えい 残高や取引の履歴も、不正な取引は確認されず

前払い式のキャッシュレスサービス「IDARE(イデア)」で、不正アクセスにより、利用者12万9,659人の個人情報が外に漏れた。運営するFivotが2026年10月13日に発表した。今のところ、漏れた情報を使った不正な取引は確認されていないという。

何が起きたのか

発表によると、会社が問い合わせへの対応などの仕事で使っていた、外部のソフトウェアの弱点を突かれた。8月10日から9月27日にかけて、何度も、会社のデータベースの情報を第三者に取り出された。

対象は、9月27日までにIDAREに登録した人で、すでに退会した人も含まれる。

会社は、不正アクセスの通り道をふさぎ、問題のソフトウェアを使うのをやめた。関係する認証の情報も新しくした。その後、新しい不正アクセスは確認されていないとしている。

どんな情報が漏れたのか

漏れた情報の範囲は、人によって違う。

対象の全員

• 電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報
• アカウントの設定、残高、取引の履歴
• IDAREカードの名義と有効期限

一部の人

• 氏名、住所、性別、本人確認の書類の番号など、本人確認のときに申請した内容
• IDAREカードの番号の下4桁
• 入金用に登録したクレジットカードの番号の、先頭6桁と下4桁
• 入金用に登録した銀行口座の番号の下3桁

漏れていないもの

• ログインのパスワード
• 本人確認の書類の画像、顔の画像
• IDAREカードやクレジットカードの番号の全桁、セキュリティコード、暗証番号
• 銀行口座の番号の全桁、暗証番号

かんたんに言うと

IDAREは、先にお金を入れておいて、カードやスマートフォンで支払う、前払い式のサービスだ。

今回は、サービスそのものではなく、会社が裏側の仕事で使っていた別のソフトウェアから入り込まれた。会社は、ログインには、パスワードに加えてもう1つの確認(多要素認証)が必ず要るため、漏れた情報だけでは、他人がアカウントに入ることはできないと説明している。残高は安全に守られていて、サービスも通常どおり使えるという。

日本ではどうなるのか

日本の利用者に関わる話だ。対象の人には、どの情報が漏れたのかを、メールで1人ずつ知らせる。

会社は、IDAREを名乗る不審なメールやSMS、電話が来るおそれがあるとして、注意を呼びかけている。会社が、メールやSMS、電話で、パスワードや暗証番号、セキュリティコード、認証コードを聞くことは無い。身に覚えのない連絡のリンクや添付ファイルは開かず、個人情報を入力しないよう求めている。

まとめ

お金を預けるサービスで、残高や取引の履歴まで漏れた。パスワードやカード番号の全桁は無事だが、連絡先や使い方を知られたことで、本物らしい詐欺の連絡が来るおそれがある。使っている人は、会社からのメールを確かめ、不審な連絡に気をつけたい。