GMOペイメントゲートウェイ：お客様情報の一部が窃取された可能性に関するお詫びとお知らせ

GMOペイメントゲートウェイは、ライフカード向けイシュイングサポートサービスの個別機能で2026年10月30日に不正なユーザーによる行為があったと、11月2日に公表した。日本経済新聞や朝日新聞、共同通信も同日、69件の漏えいの可能性を報じている [s4][s5][s7]。rocket-boys.co.jpは、公表された69件は対象アカウント数であり、69人の情報が窃取されたと確定した数ではないと整理している。69件すべてにVプリカの番号やセキュリティコードが含まれるわけでもない [s6]。

GMOグループでは短期間に別の事案が続いている。rocket-boys.co.jpによれば、9月にはGMOトラスト・ログインで、クラウドストレージの公開設定の不備により第三者がファイルを取得した。10月30日の第三報では対象が2,492社・45,030人に更新された。10月にはお名前.com デスクトップクラウドへの不正アクセスが判明し、最大26,739サーバーが影響を受けた可能性があるという。ただし同紙は、これらの事案に共通の攻撃者や侵入経路があると確認されたわけではなく、今回の事案と同一の攻撃を示す情報もないとしている [s6]。朝日新聞によれば、お名前.comデスクトップクラウドの件では利用者のFX口座などで不正取引が相次ぎ、11月2日にグループ代表が記者会見を開いて謝罪した [s5]。日本経済新聞の関連記事の見出しには、GMOが2年前の脆弱性を解決できず不正アクセスを「8月に受けた」とする報道や、警視庁が捜査本部を設置したとする報道が並ぶ [s4]。共同通信も、GMOが脆弱性を2年以上放置し、攻撃は8月で、確認が大幅に遅れたと見出しで伝えている [s7]。これらは今回の事案との関係が本文で示された記事ではない。

今回の事案では、リークサイトへの掲載や攻撃者の主張を伝える報道はない。影響範囲については、GMOペイメントゲートウェイが、問題の機能は他の顧客向けのイシュイングサポートサービスとはシステム基盤が異なり、決済代行サービスなど他のサービスも別基盤で運用していると説明していると、rocket-boys.co.jpと朝日新聞が伝えている [s5][s6]。日本経済新聞も、その他の企業向けの同サービスや決済代行サービスは異なる基盤で運用されており影響はないとしている [s4]。同社は10月26日、お名前.comデスクトップクラウドの事件による自社サービスへの不正アクセスや情報漏えいの影響を確認していないと公表していた。rocket-boys.co.jpは、今回の69件はその後に別のサービスで判明した事案だと整理している [s6]。

同社は5月下旬から6月にも決済サービスの障害を公表していた。原因は特定加盟店のシステムに起因する異常なリクエストの大量到達で、同社は不正侵入や情報漏洩はなかったとしている [s3]。公表日が異なり、今回の事案との関連を示す記述もない。

rocket-boys.co.jpは、Vプリカ番号、専用セキュリティコード、有効期限の組み合わせが対象となる3件はカード情報の不正利用につながるおそれがあると指摘する。対象の利用者にはライフカードからの案内を確認し、利用履歴を点検するよう促している。また、補償やカード再発行、本人確認を装って追加の情報を聞き出す連絡に注意し、問い合わせ先はライフカードの公式サイトや公式アプリで確認する方法が安全だとしている [s6]。企業の情報システム部門に対しては、同一グループのブランド名だけで事案をひとまとめにせず、対象システム、委託先、情報項目、確定した被害範囲と調査中の範囲を分けて記録・周知するよう求めている [s6]。

同種の事案として、ライフカードは10月28日に、メール配信委託先ユミルリンクの「Cuenote FC」への不正アクセスにより、33万9,610契約の顧客情報が漏えいした可能性があると公表している。rocket-boys.co.jpは、委託先も対象システムも異なり、今回の事案と同じ侵害として扱う根拠はないとしている [s6]。