GMOペイメントゲートウェイのVプリカ向け機能で69件窃取の可能性

何が起きたのか

GMOペイメントゲートウェイは2026年11月2日、お客様情報の一部が窃取された可能性があると公表しました。

対象はライフカードに提供している「イシュイングサポートサービス」の個別機能です。10月30日にこの機能で不正なユーザーによる行為が発生しました。手口、経路、検知の時期は公表されていません。

Vプリカはライフカードが提供するチャージ式のプリペイドカードです。

漏れた情報

合計は69件で、このうち63件は氏名、メールアドレス、電話番号、住所の一部です。3件はVプリカの番号、専用のセキュリティコード、有効期限、氏名で、残る3件はVプリカの番号の一部です。

会社の対応

同社は、この機能が他の顧客向けのサービスとは別のシステム基盤で動いているため、他の顧客への影響はないと説明しています。決済代行サービスなどの他のサービスも別の基盤で動いており、影響はないとしています。

対象のサービスは一部を止め、必要な対策と安全の確認を進めています。再開の時期は示されていません。対象のお客様にはライフカードを通じて個別に案内します。発表には、本件のための電話やメールの窓口は書かれていません。新しく公表することが分かったら、速やかに公表するとしています。

ライフカード側の対応

INTERNET Watchの記事によると、ライフカードは10月31日に、Vプリカのサービスに使う委託先のシステムへの不正アクセスを確認し、利用者の個人情報が漏えいした可能性があるとして、サービスの一部を止めました。11月2日の発表で、委託先であるGMOペイメントゲートウェイのシステムで不正ユーザーによる行為があったと分かったとしています。

同記事によると、Vプリカの番号などが漏れた3件は、10月31日付で退会の処理をしました。対象者には個別に連絡したと伝えています。二次被害は確認されていません。この部分はGMOペイメントゲートウェイの発表にはなく、報道による情報です。

中小企業が学べること

この件で同社は、基盤が分かれていることを影響がない理由に挙げています。自社のサービスでも、取引先ごとや機能ごとにデータを分けておくと、事故の影響を狭くできます。

• 取引先ごとの機能やデータが、同じ基盤や同じデータベースに混ざっていないかを確かめます。分かれていなければ、1つの機能への侵入が他の取引先に及ぶ恐れがあります
• 特定の取引先のために個別に作った機能が、脆弱性の点検の対象から漏れていないかを確認します。個別の機能は、標準の機能と別に更新や診断が必要になることがあります
• 事故が起きたとき、お客様に直接知らせられない場合があります。今回は取引先のライフカードを通じて案内します。取引先を通じて連絡する手順を、契約のときに決めておきます