アイル「CROSS POINT」、漏れたAPIキーで会員情報を取得

ポイント・顧客管理の「CROSS POINT」を提供するアイルは2026年11月10日、導入企業1社で会員情報が第三者に取得されたと公表しました。その企業専用の正規のAPI認証キーが外部に漏れ、悪用されたとしています。ほかの利用企業で漏えいの痕跡はないとしていますが、同社は全利用企業のキーを無効にして再発行しました。

何が起きたのか

CROSS POINTはネットショップと実店舗のポイントと顧客情報をまとめて管理するクラウドのサービスとして、同社が2013年に発表したものです。

同社によると、11月7日未明に外部からの不正なアクセスを検知しました。調べた結果、会員情報を取り出すAPIを通じて、導入企業1社の会員情報が不正に取得されていたことが分かりました。APIは別のシステムからデータを読み書きするための接続の口です。APIキーはその口を使う資格を示す合い言葉にあたります。

同社は自社の内部のデータベースへの侵入や改ざん、プログラムの脆弱性によるものではないとしています。使われたのは、外部に漏れたその企業専用の正規のキーでした。キーがどこから、どのような経緯で漏れたかは、お知らせに書かれていません。導入企業の名前と、取得された会員の件数も公表されていません。

取得された会員情報

取得されたのは次の項目です。

• 氏名、生年月日、性別
• 郵便番号、住所、電話番号、携帯電話番号、メールアドレス
• 会員番号、会員ランク、保有ポイント、実店舗のカード番号、ネットショップの会員ID
• 購買の統計（累計の購入金額、購入回数、初回と最後の購入日など）

クレジットカードの情報とログインのパスワードは、CROSS POINTでは持っていないため対象外としています。

会社の対応

同社は検知のあと、すぐにその企業のAPIアクセスキーを無効にして作り直し、不正なアクセスの元を遮断しました。さらに11月9日22時15分、緊急のメンテナンスとして全利用企業のAPIアクセスキーを無効にして再発行し、不正を検知する仕組みを強めています。メンテナンスの案内が直前になったことも謝っています。

再発防止策にはAPI認証情報の管理の強化、認証情報の定期的な入れ替え、APIで使える権限を最小にすることを挙げています。原因と影響の範囲は、その企業と一緒に調べるとしています。個人情報保護委員会への報告や、会員への連絡を誰がするかは、お知らせに書かれていません。新しい事実が分かれば、同社のサイトなどで知らせるとしています。

中小企業が学べること

今回はサービスの側が破られたのではなく、正しい鍵が外に出て、そのまま使われた形です。正しいキーで来たアクセスは、サービスの側からは本人の利用と見分けにくくなります。

外部のサービスと連携するときに発行されるAPIキーは、パスワードと同じように扱います。設定を頼んだ制作会社とのメールやチャット、共有フォルダの手順書、公開しているプログラムのコードにキーが書かれたままになっていないかを洗い出し、見つかったものは作り直します。担当者や委託先が替わったときにキーを作り直すことと、キーに必要な操作だけを許すことは、同社の再発防止策と同じ方向の対策です。

CROSS POINTを使っている会社は、11月9日夜の再発行のあと、ネットショップや店舗のシステムとの連携が止まっていないかも確かめます。サービスの事故のあとに連携先のキーを入れ直す例は、メール配信「アララメッセージ」に不正アクセス、約8,100万件が流出でも取り上げています。