IDAREで13万人分が漏えい、それでも今年は小さい方だ

10月13日、キャッシュレスサービス「IDARE」の運営会社Fivotは、利用者12万9659人分の個人情報が外に出たと発表した。電話番号、メールアドレス、生年月日に加えて、アカウントの残高と取引履歴まで含まれている。IDAREは、先にお金を入れて使うプリペイド式のサービスだ。

なぜ抜かれたのか。入口は、問い合わせ対応などに使っていた外部のソフトだった。そのソフトに脆弱性があり、そこを突かれた。Fivotによると、8月10日から9月27日まで、社内のデータベースに何度も入られていた。1か月半だ。

何が出て、何が出なかったのか

人によっては、もっと出ている。氏名、住所、性別、本人確認書類の番号。IDAREカード番号の下4桁、入金に使うクレジットカード番号の先頭6桁と下4桁。2021年10月に終わった貸付サービス「LADDER」のために年収や勤務先を入れていた人は、それも出た。

では、お金は大丈夫なのか。パスワードと暗証番号、カード番号の全桁、セキュリティコード、本人確認書類の画像は出ていない。13日の時点で、漏れた情報を使った不正な取引も見つかっていない。侵入の経路はふさぎ、問題のソフトは使うのをやめた。第三者の調査は続いている。

上場企業だけで、2日に1件

この12万9659人を、よその事故と並べてみる。東京商工リサーチの集計では、上場企業とその子会社が2025年に公表した個人情報の漏えい・紛失は180件だった。公表した会社は158社で、過去最多。人数は3063万6910人分で、前の年の約2倍。365日を180件で割れば、2日に1件になる。

2025年でいちばん多かったのは、AOKIホールディングスの729万87人分（会社は「漏えいの可能性」としている）。2012年からの合計は1634件、のべ2億1313万人分になる。

2026年は、もっと速い。同じ集計で、100万件を超える漏えいが10月5日までに10件。2025年の1年間は6件だった。KDDIで1223万1954件、「焼肉きんぐ」のアプリを運営する物語コーポレーションで1078万8963件。カー用品のイエローハットは、4月に317万9454件、8月にも最大180万1499件の可能性を公表した。1年で2回だ。

不正アクセスやウイルス感染が原因の事故は、同じ集計で1件あたり平均56万3637人分。IDAREの12万9659人は、その4分の1以下だ。残高と取引履歴まで出た事故が、今年の日本では大きい方に入らない。落ち着かないのは、そこだ。

ネットの評判

並んだのは、怒りよりも皮肉だ。節約情報を扱うまとめサイトの記事には11件のコメントが付き、「さてさて、今日はどの企業が発表するかな？」という書き込みもあった。発表の書き方への不満も出た。「本人確認書類等の画像は漏れてないから安心しろみたいな書き方が腹立ちますね…」

自衛策を教え合う書き込みもある。お金の貸し借りの記録を扱う信用情報機関（JICC、CIC、全銀協）に自分で申告しておく、運転免許証を再交付してもらう、といった中身だ。Fivotも、IDAREをかたった不審なメールやSMS、電話に注意するよう呼びかけている。

12万9659人には、すでに退会した人も入っている。アプリをやめても、登録した電話番号や生年月日は、会社のデータベースに残っていた。