ギフティで5.5億円分のeギフトが不正発行。盗まれたのは情報ではなく「発行する仕組み」だった

• ギフティグループが10月26日、子会社ギフティのシステムの一部に不正アクセスがあり、eギフトが不正に発行されたと発表した。損失は約5.5億円の見込み
• 利用者が持っているeギフトが使われたのではなく、攻撃者が新しくeギフトを発行した。利用者の資産の減少や個人情報の漏えいは確認されていない
• 盗まれたのは情報ではなく、「価値を発行する仕組み」だった。クーポンやポイント、ギフトコードを発行するサービスなら、どこでも起こりうる

発表されたこと

ギフティグループ（東証プライム）の適時開示によると、経緯と対応は次のとおりだ。

• 10月25日、子会社ギフティが運用するシステムの一部で、脆弱性を悪用した不正アクセスが起き、そのシステムを経由してeギフトが不正に発行されていたことが分かった
• 同日、原因の脆弱性を特定し、システムを停止して発行の経路を断った。このシステムは今後も再開しない方針
• 一部のeギフト交換サービスで一時的に支障が出たが、順次解消している。ギフティのほかの主要サービスは通常どおり動いている
• 個人情報の漏えいは確認されていない。警察への相談・届出を進める
• 損失は約5.5億円の見込みで、2026年12月期の第4四半期に特別損失として計上する見込み

どのシステムの、どんな脆弱性だったのか、何件が不正に発行されたのかは、公表されていない。

「漏えい」ではなく「刷られる」被害

今週はJoshinやユミルリンクのように、情報が盗まれる事件が続いた。ギフティの件は種類が違う。

eギフトは、発行された時点でお金と同じように使える。攻撃者にとっては、データを盗んで売るより、使える価値を直接作るほうが早い。発行の仕組みに入られることは、お金を刷る機械を乗っ取られるのに近い。

ギフティの発表では、損失は会社が負い、利用者の資産は減っていない。その点で、利用者がすぐやることは多くない。

利用者が気をつけること

• 持っているeギフトは、今回の発表では不正に使われていない。慌てる必要はない
• 一般論として、公式以外の場所で格安に売られているギフトコードは買わない。不正に作られたものが混ざっていると、あとで使えなくなることがある（ここは筆者の見方）
• この件に便乗した「お詫びのギフトを差し上げます」のような連絡には注意する。受け取りのために個人情報やカード番号を求められたら、詐欺を疑う

発行する仕組みを持つサービスの守り

ここからは筆者の見方だ。クーポン、ポイント、ギフトコード、招待特典、無料体験の付与。Webサービスには、「価値を発行する仕組み」があちこちにある。中小のサービスでも、次の点は見直しておきたい。

1. 発行に上限を付ける。1回あたり、1時間あたり、1日あたりの発行数や金額に上限を置く。上限を超えたら自動で止まるようにする
2. いつもと違う発行を知らせる。夜中の大量発行、ふだん使われない経路からの発行、同じ相手への連続発行を、すぐ担当者に通知する
3. 発行の権限を分ける。発行できるのは決まった仕組みと担当者だけにし、ほかのシステムから発行できる経路を作らない。古い連携や、使っていない管理画面は止める
4. 帳尻を毎日合わせる。売れた数、配った数と、発行された数を突き合わせる。ずれたら原因が分かるまで発行を止める
5. 止める手順を決めておく。ギフティは発覚した日に止めた。誰の判断で、どのボタンで発行を止めるかを、平時に決めておく

ギフティが「当該システムは今後も再開しない」としたのは、直して使い続けるより、経路そのものをなくす判断だ。古いシステムを抱えている会社ほど、参考になる。更新・停止・作り直しの考え方も参考にしてほしい。

まとめ

• ギフティのシステムの脆弱性を突かれ、eギフトが不正に発行された。損失は約5.5億円の見込みで、会社が負う
• 利用者のeギフトや個人情報は無事と発表されている。脆弱性の中身や件数は未公表
• 情報の漏えいではなく「価値を刷られる」被害。発行の仕組みは、お金を刷る機械と同じ重さで守る
• 発行する側は、上限・異常の通知・権限の分離・毎日の突き合わせ・止める手順を

出典

• ギフティグループ「当社連結子会社の一部システムへの不正アクセスに伴うeギフトの不正発行および特別損失計上見込みに関するお知らせ」（2026年10月26日、適時開示）
• 共同通信「5.5億円分のデジタルギフトが不正発行」（2026年10月26日配信）

本記事は2026年10月26日時点の公式発表に基づく。被害の分類、ギフトコードの購入についての注意、「発行する仕組みを持つサービスの守り」は筆者の見方である。