国内のギフティグループは、連結子会社ギフティのシステムが不正アクセスを受け、eギフトが不正発行されたと発表した。損失額は約5.5億円と見込み、2026年12月期第4四半期に特別損失を計上する方針だ。
不正発行の経路を遮断、既存ギフトの被害は確認されず
2026年10月26日のギフティグループの発表によると、10月25日にギフティが運用する一部システムの脆弱性を悪用した第三者の侵入が判明した。攻撃者は対象システムを経由して新たなeギフトを不正に発行しており、利用者がすでに所有するギフトを盗み取ったり、不正に使用したりした事案ではない。
同社は発覚した25日中に脆弱性を特定し、対象システムを停止し、問題の経路から新たにギフトが発行される状態を遮断した。対象システムは今後も再稼働しない方針で、並行して影響範囲の調査を続ける。
一部のeギフト交換サービスでは一時的に利用上の支障が生じたものの、現在は順次解消しているという。その他の主要サービスは通常どおり稼働し、現時点で個人情報の漏えいや顧客の保有資産の減少・毀損は確認されていない。
不正発行による金銭的損失はグループ側が負担する見込みだ。売上高と営業利益への重大な影響は想定していない一方、約5.5億円を特別損失（※）として計上する見通しである。警察への相談や届出なども進めるとしている。
※特別損失：企業の通常の営業活動とは別に発生した、臨時的・例外的な損失を指す会計上の区分。日本の損益計算書では営業利益や経常利益とは区別され、税引前当期純利益の計算に反映される。
発行権限の管理が焦点、信頼回復には監視強化の実効性が重要
今回の事案で特徴的なのは、利用者が持つeギフトの流出ではなく、発行機能そのものが悪用された点だ。デジタルギフトは電子的に発行できる利便性を持つ一方、発行処理への不正なアクセスを許せば、既存の利用者資産に直接被害がなくても、運営企業に多額の損失が生じうる。
対象システムの停止と経路の遮断は被害拡大を防ぐうえで重要な措置である。ただし、再稼働させない方針だけで、他のシステムに類似の弱点が存在しないと証明できるわけではない。今後は発行に関わる権限の分離や操作記録の監視など、再発防止策をどこまで実効的に整備できるかが問われるだろう。
顧客資産の毀損や個人情報の漏えいが確認されていないことは、利用者にとって一定の安心材料となる。しかし、確認されていないことと、影響が完全にないと確定したことは異なる。調査の進展に応じて影響範囲や損失額が変わる可能性にも注意したい。
短期的には主要サービスの稼働継続が事業への影響を抑える一方、中長期的には企業向けの発行基盤に対する信頼が重要となる。ギフティグループが管理・監視体制の強化をどう具体化し、その効果を説明できるかが、取引先や利用者の評価を左右すると考えられる。
関連記事:
総務省が情報漏えい対策を要請 委託先含む対策強化を呼びかけ
カプコン「CAPCOM ID」に不正アクセス 約1177万件の情報漏えい、196件でパスワード不正変更
