バンドルカード、分析用の委託先に顧客情報を誤送信 延べ575万人

何が起きたのか

カンムは、2026年10月29日、「バンドルカード」のアプリとサポートサイトから、委託先のサービスに送るべきでない顧客情報を送っていたと公表しました。

同社は、アプリとサポートサイトの利用状況を分析するために、外部のサービスを使っています。そのサービスへデータを送るプログラムに不備があり、本来は除くはずの氏名やメールアドレスなどが送信データに入っていました。

同社は、不正アクセスなどで自社や委託先の環境が侵害されたものではないと説明しています。委託先からさらに外へ流出した事実も確認されていません。

漏れた情報

アプリでは、2019年11月22日から2026年10月22日までに、氏名やメールアドレスなどを登録・変更する操作をした人が対象です。項目はメールアドレス、氏名（漢字・かな）、ユーザー名で、5,161,998人です。

サポートサイトでは、2017年11月21日から2026年10月22日までに、アプリから問い合わせフォームを開いた人が対象です。送信せずに閉じた人も含みます。項目はメールアドレス、電話番号、ユーザー名で、590,594人です。

両方に当てはまる人もいるため、人数には重複があります。カード番号やセキュリティコード、ログイン用のパスワードは含まれていません。

会社の対応

10月22日に送信プログラムを直し、委託先へのデータ送信を止めました。同じ日に、すべての利用者を対象にアプリの強制アップデートを行っています。23日までに、委託先に溜まったデータの削除を申し入れました。削除の完了を確認したら、改めて知らせるとしています。