こんにちは。風読珈琲店のカエデです。
2026年10月13日、「残高に応じてボーナスが貯まる」プリペイド型キャッシュレスサービス「IDARE（イデア）」を運営する株式会社Fivotが、第三者による不正アクセスで利用者の個人情報が漏えいしたと公表しました。対象は退会済みの方を含む12万9,659人。電話番号やメールアドレスに加えて、残高や取引履歴まで漏えい項目に含まれているのが今回の特徴です。
IDAREは、このブログでも10月の「入金条件撤廃」のニュースを取り上げたばかりのサービスです。私自身、本格的に使い込んではいないもののアカウント登録はしていたので、登録者全員が対象という今回の発表は他人事ではありませんでした。この記事では、公式発表で分かっている事実を整理したうえで、会社で業務ITに触れている一社会人としての所感と、利用者が今日からできる対策をまとめます。
IDARE不正アクセスの概要（公式発表ベース）
まずは事実関係です。以下はIDARE公式サイトのお知らせ（2026年10月13日）に基づく内容です。
- 不正アクセスの期間：2026年8月10日〜9月27日の間に、複数回にわたって不正アクセス
- 原因：カスタマーサポート等の業務で導入していた外部ソフトウェアの脆弱性が悪用され、データベースの情報が第三者に取得された
- 対象者：2026年9月27日までに登録した129,659人（退会済みの方を含む）
- 対応：不正アクセス経路を遮断し、当該ソフトウェアの利用を終了。関連する認証情報の更新も完了。新たな不正アクセスは確認されていない
- 被害状況：残高は保全されており、サービスは通常どおり利用可能。本件に起因する不正な取引は確認されていない
- 今後：法令に基づく報告、弁護士を含む第三者による調査、再発防止策の策定を進める。対象者にはメールで個別に案内
公式発表の全文は下記からご確認ください。
漏えいした情報・していない情報
漏えい項目は「全対象者」と「一部の対象者」に分かれています。
- 全対象者：電話番号、メールアドレス、生年月日、ユーザーID、表示名、アカウントの設定・ステータス、残高、取引履歴、IDAREカードの名義と有効期限
- 一部の対象者：本人確認時の申請内容（氏名・住所・性別・利用目的・本人確認書類の番号）、IDAREカード番号の下4桁、入金用クレジットカード番号の先頭6桁と下4桁、入金用銀行口座番号の下3桁、リアルカードのアクティベーションコード（第三者のアカウントでは利用不可）、終了した貸付サービス「LADDER」の利用目的で入力した年収・勤務先（2021年10月までの登録者のみ）
- 漏えいしていないとされる情報：本人確認書類や容貌の画像（マイナンバーの流出もなし）、ログインパスワード、IDAREカード・クレジットカード・銀行口座の全桁番号、セキュリティコード、暗証番号（PIN）
また、IDAREはログインに多要素認証が必須のため、漏えいした情報だけでは第三者がログインできないと説明されています。お金を直接抜かれるリスクは低い一方、詐欺の「材料」になる情報が揃ってしまった、というのが今回の正確な構図だと思います。
一利用者・業務IT目線の所感
「残高と取引履歴」が漏れる重さ
今回いちばん引っかかったのは、全対象者について残高と取引履歴が漏えい項目に入っている点です。氏名やメールアドレスの漏えいはここ最近の事案でも多く見てきましたが、「この人はいくら持っていて、どこで何に使っているか」まで分かる情報は、詐欺をする側から見ると格好のターゲットリストになります。
IDAREは「残高が多いほど年率が上がる」仕組みなので、まとまった資金を置いている利用者も少なくありません。残高の多いユーザーを狙い撃ちにして、実際の残高額や直近の利用店舗まで書き込んだもっともらしい連絡を送る——そんな手口は十分に想定できます。本物の情報が混ざった詐欺ほど見抜きにくいので、ここは一番警戒したいところです。
入口は「サポート用の外部ソフト」だった
原因がサービス本体ではなく、カスタマーサポート等で使っていた外部ソフトウェアの脆弱性だった点も、業務で社内IT（Microsoft 365やIntuneなど）を触っている立場として考えさせられました。サポートツールは問い合わせ対応のために顧客情報やアカウント状態を参照できる設計になっていることが多く、本体と同じくらい重要なデータへの「裏口」になりえます。
会社のIT管理でも、メインのシステムは厳重に守っていても、部署ごとに入れたSaaSや外部ツールのアップデート・権限管理が後回しになりがちなのは、正直よく聞く話です。今回も8月10日から9月27日まで、約1か月半にわたって複数回の不正アクセスが続いていたことになります。再発防止策に「脆弱性情報の継続的な監視」と「アクセスログの監視・アラート体制の整備」が挙がっているのは、まさにここが弱点だったことの裏返しでしょう。
評価したい点もある
一方で、パスワードや本人確認書類の画像、カードの全桁番号は漏れておらず、多要素認証も必須だったことで、直接の金銭被害は防げている（発表時点で不正取引なし）のは不幸中の幸いです。漏えい項目を「全員」「一部」「漏えいなし」と細かく分けて公表し、退会済みの人まで対象として明示した点も、誠実な開示だと感じました。
ただ、発覚の経緯や、9月27日の最後のアクセスから10月13日の公表までの間に何があったのかは、まだ詳しく分かっていません。第三者調査の結果とあわせて、続報できちんと説明してほしい部分です。同時期のほかの漏えい事案は、下記記事にまとめています。
IDARE登録者が今日からできる対策
IDAREに登録したことがある方（退会済みの方を含む）は、次の対策をおすすめします。
- 公式からの個別メールを確認：対象者にはメールで案内が届く。ただし同じ体裁の偽メールも出回りうるので、リンクは踏まず、アプリや公式サイトのお知らせから内容を照合する
- コードやパスワードは誰にも伝えない：IDAREはメール・SMS・電話でパスワード、暗証番号、セキュリティコード、多要素認証のコードを求めることはないと明言している
- アプリで残高・取引履歴を確認：身に覚えのない取引がないか、しばらくは定期的にチェックする
- 使っていないならカードロック：当面使う予定がなければ、アプリからカードをロックしておくと安心
- 入金元のカード・口座の明細も確認：カード番号は全桁漏れていないとされるが、先頭6桁・下4桁を持ち出した偽の「確認連絡」に備え、入金用クレジットカードや銀行口座の明細にも目を通しておく
- 同じメールアドレス・電話番号のサービスを点検：パスワードの使い回しがあれば変更し、パスキーや二段階認証を設定する
中でも大事なのは、認証コード（SMSで届く数字）を絶対に人に教えないことです。多要素認証があるから安全、というのは「コードを自分しか知らない」前提の話。電話やメッセージで「本人確認のためコードを読み上げてください」と言われたら、それだけで詐欺だと判断してください。
パスキーなど、決済まわりの安全対策は下記記事で詳しく解説しています。
こんな連絡が来たら要注意（想定される手口）
漏えい項目から考えると、次のような連絡が届く可能性があります。あくまで想定ですが、知っておくだけで身構えられます。
- 残高保全を装うSMS：「不正アクセスの影響で残高を一時保全しました。解除はこちら」と偽サイトへ誘導し、ログイン情報や認証コードを入力させる
- 補償・お詫びを装うメール：「お詫びとしてボーナスを上乗せします」とURLへ誘導する
- 取引履歴を引用した電話：「◯月◯日の◯◯での決済について確認です」と実際の利用内容を持ち出し、信用させてから認証コードやカード情報を聞き出す
- 他社を装う連絡：生年月日や電話番号を使い、銀行・通販・宅配業者などIDARE以外を名乗るフィッシング
特に3つ目は、実際の取引内容が話に出てくるので信じてしまいやすい手口です。「正しい情報を知っている＝本物」ではありません。少しでも違和感があれば一度切って、アプリ内の「お問い合わせ」や公式サイトのフォームから自分で確認するのが鉄則です。
「貯まるプリカ」とどう付き合うか
IDAREのように「残高を置いておくとボーナスが貯まる」サービスは、高めの年率が魅力で人気を集めてきました。ボーナス条件の改善については、下記記事で紹介しています。
今回の件で残高が失われたわけではなく、公式も残高は保全されていると説明しています。ただ、前払式支払手段（プリペイド）は銀行預金とは仕組みが異なり、預金保険の対象ではありません。高い年率に惹かれて資金を置くなら、「生活防衛資金のメインの置き場にはしない」「置く金額は自分で決めた上限まで」くらいの距離感で付き合うのが、個人的にはちょうどいいと感じています。
私自身も今回をきっかけに、登録だけして使っていないサービスを棚卸ししました。使わないアカウントは、持っているだけで漏えい時のリスクになります。今回「退会済みの方を含む」とあるように、退会しても情報が残る場合はありますが、それでも登録先を減らしておくことは、被害範囲を小さくする地道で確実な対策だと思います。
まとめ
- IDAREを運営するFivotは2026年10月13日、不正アクセスによる個人情報漏えいを公表
- 対象は9月27日までの登録者129,659人（退会済み含む）。原因はサポート業務用の外部ソフトウェアの脆弱性
- 全員分の電話番号・メールアドレス・生年月日・残高・取引履歴などが漏えい。パスワードやカード全桁番号は漏えいなし
- 残高は保全され、不正取引は確認されていない。多要素認証が必須のため漏えい情報だけではログイン不可
- 最大の注意点は、実際の残高や取引内容を使ったもっともらしい詐欺。認証コードは誰にも教えない
お金を預けるサービスだからこそ、原因の詳細と再発防止策をきちんと示して、安心して使えるサービスに戻ってほしいと思います。登録したことがある方は、しばらく届く連絡に慎重になってくださいね。
