対象：クレディセゾン会員向けの優待サービス「トク買」（ベネフィット・ワンが提供）に登録していた人（退会した人を含む）と、業務を外部に委託している事業者。本記事はベネフィット・ワンの公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 原因（侵入の経路）
- 最終的な対象人数
- 不正利用の有無（今後の確認）
- 対象者への個別連絡の完了
- 「トク買」の再開時期
同社は、現在も調査を継続しており人数は今後変動する可能性があること、追加で判明した事項は速やかに同社のウェブサイトで知らせることを、10月28日の発表に書いています。10月30日の時点で、同社のお知らせ一覧にこの件の続報（第2報）は出ていません。
「トク買」の会員だった人が今日やること
自分が対象かを確かめる（退会した人も含まれる）
同社の発表では、対象は「トク買」に登録していた29,465人で、退会済みの会員を一部含みます。同社は、対象の会員に登録のメールアドレス宛に順次個別に連絡するとしています。退会済みなどで連絡が届かない人には、この発表の公表と問い合わせ窓口の設置をもって個別の連絡に代えるとしています。
自分が対象かどうかは、同社の問い合わせ窓口（ベネフィット・ワン お問い合わせ対応窓口、メール security-support@benefit-one.co.jp）で確認できると発表に書かれています。届いたメールが本物かは、メール内のリンクではなく、自分で検索して開いた公式サイトの発表と照らして確かめてください。
同社や提携先を装う連絡のリンクを開かない
氏名、生年月日、性別、郵便番号、メールアドレス、お客様番号がそろうと、宛名も内容も正しい、本物らしい偽の連絡が作れます。同社は、同社、提携先または委託先等を装った不審なメール、電話、SMS等に注意するよう呼びかけ、同社から会員にクレジットカード番号やパスワード等を尋ねることはないとしています。
同社は対象者に個別にメールで連絡する予定なので、それに似せた「対象かどうかの確認」「カード情報の再登録」の連絡が考えられます。カード番号やパスワードを入力させる連絡は偽物と考え、確認は自分で開いた公式サイトで行ってください（見分け方は フィッシングとは）。
カード会社への連絡は、同社の発表からは求められていない。明細は念のため確認する
同社は、クレジットカード番号、有効期限、セキュリティコード等は同社と対象システムでは保有していないとしています。決済代行事業者が管理しており、その事業者のシステムに不正アクセスは及んでいないため、カード情報の漏えいはないという説明です。カード番号を変えるといった対応は、同社の発表では案内されていません。
一方で、決済システムとの連携に使う同社の認証関連情報の一部が漏れたおそれがあり、会費決済に関する不正な処理が行われる可能性があったとしています。同社は10月26日にこの情報を変更し、現在この経路での不正処理はできない状態だとしています。念のため、「トク買」の会費の請求がある明細で、身に覚えのないものがないかを確認してください。
パスワードの変更は、発表からは求められていない
漏えいした項目に、パスワードは挙げられていません。同社の発表も、会員にパスワードの変更を求めてはいません。同じメールアドレスを使う別のサービスで、推測されやすいパスワードを使っていないかを見直す機会として、パスワードマネージャー の導入を検討するのは有益ですが、本件のための必須の対応ではありません。
委託先の不正アクセスで、提携先の会員の情報が漏れた
今回の発表では、漏えいしたのは、ベネフィット・ワンが提携先の会員向けに提供するサービスの、業務委託先が運用するシステムの情報です。同社は、クレディセゾンが管理するシステムから会員の個人情報が漏えいしたものではない、と明記しています。
会員から見ると、カード会社、サービスを提供する会社、その業務を請け負う委託先の3者が関わっていて、今回の不正アクセスは委託先のシステムで起きました。同じ型の過去の例としては、JR東日本・ビューカード・JR九州のメールアドレス漏えいがあります。この例では、同じ原因で複数の組織が個別に発表しました。今回も同じ経過になるとは限りません。
クレディセゾン
会員向けに提供。同社のシステムからの漏えいではない
↓→
ベネフィット・ワン
「トク買」を提供する会社
↓→
業務委託先のシステム
不正アクセスはここで発生
会員の情報は、委託先が運用するシステムから漏えいした（同社の発表）。
何が起きたのか（ベネフィット・ワンの発表より）
以下は、ベネフィット・ワンの2026年10月28日の発表（PDF）と、クレディセゾンの同日のお知らせにもとづきます。
2026年10月14日 13時45分
委託先で本件の不正アクセスが発生し、以降10月20日14時5分まで断続的に繰り返される。10月21日
委託先が不正アクセスの一部を検知（10時30分）。同社が委託先から報告を受け（11時40分）、対象サービスを一時停止（17時）。10月23日
個人情報保護委員会へ報告（速報）。10月24日〜25日
委託先が、21日時点で把握していなかった不正アクセスを追加で検知。25日18時50分に同社が2回目の報告を受ける。10月26日
被害の拡大を防ぐため、決済システムとの連携に使う認証関連情報を変更。10月27日
19時、委託先から3回目の報告を受ける。この時点で、認証関連情報の一部が漏えいしたおそれがあることを認識。10月28日
同社が、26日の変更により、現在はこの経路での不正処理はできない状態になっていることを確認。お詫びとお知らせを公表。
- 対象のサービス
- 「トク買」（株式会社クレディセゾン会員様向けサービス）。クレディセゾンのシステムからの漏えいではないとしている
- 漏えいした項目
- 氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費徴収の決済処理に使う管理番号。対象の項目は、登録内容により会員ごとに異なる
- 管理番号について
- 会員情報と決済情報を紐付けるために使う番号で、クレジットカード番号ではない
- 会員の情報とは別に漏れたおそれ
- 決済システムとの連携に使う同社の認証関連情報の一部。管理番号と組み合わせると会費決済に関する不正な処理が行われる可能性があったが、10月26日に変更済み
- 含まれないとされるもの
- クレジットカード番号、有効期限、セキュリティコード等のカード情報（決済代行事業者が管理。その事業者のシステムには不正アクセスが及んでいない）
- 不正利用の確認状況
- 同社の認証情報の変更までの期間を確認した結果、本件に起因すると考えられる不正な決済処理は確認されていない。本件情報の不正利用による被害は確認されていない
- とった対応
- 対象サービスの一時停止、判明している不正アクセス経路の遮断、認証関連情報の変更
- 進めている対応
- 関係先および委託先との共同調査、第三者の専門調査機関による調査、個人情報保護委員会への報告、警察への相談、影響範囲と原因の調査
分かっていること・分かっていないこと
2026年10月30日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスの期間 | 2026年10月14日13時45分から10月20日14時5分まで断続的。24〜25日に、21日時点で把握していなかった不正アクセスを追加で検知 | 確定（同社の発表） |
| 対象人数 | 29,465人（退会済みを一部含む）。調査の継続により変動する可能性 | 確定（現時点。変動の可能性あり） |
| 氏名・フリガナ・生年月日・性別・郵便番号・メールアドレス | 会員ごとに異なる（登録内容による） | 漏えいを確認（同社） |
| お客様番号・入退会情報 | 同上 | 漏えいを確認（同社） |
| 会費徴収の決済処理に使う管理番号 | クレジットカード番号ではない | 漏えいを確認（同社） |
| 決済システムとの連携に使う認証関連情報 | 一部が漏えいしたおそれ。10月26日に変更済み | 可能性（同社） |
| クレジットカード番号・有効期限・セキュリティコード | 保有しておらず、漏えいはない | 含まれない（同社） |
| パスワード | 漏えい項目に挙げられていない | 記載なし |
| 不正な決済処理 | 本件に起因すると考えられるものは確認されていない | 確認されていない（同社） |
| 不正利用による被害 | 現時点で確認されていない | 確認されていない（同社） |
| 原因・侵入の経路 | 業務委託先のシステムが第三者から不正アクセスを受けた。詳細は調査中 | 調査中 |
| 対象者への個別連絡 | 登録のメールアドレス宛に順次連絡 | 予定 |
| 「トク買」の再開 | 原因の究明と再発防止策の完了後。時期は決まり次第、同社のウェブサイトで案内 | 未定 |
読み方の注意：「確認されていない」は「起きていない」という意味ではない
同社は、不正な決済処理や不正利用による被害を「確認されていない」と書いています。調査は継続中で、人数も変わる可能性があるとしています。氏名・生年月日・メールアドレスなどは、すでに漏れた情報としてあとから偽の連絡に使われうるため、カード情報が含まれないことと、連絡への警戒は別の話です。
漏れた項目の組み合わせで起きうること
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- 氏名＋生年月日＋メールアドレス＋お客様番号：宛名や番号が合っている、本物らしい「確認のお願い」「手続きのご案内」のメールが作れる
- メールアドレス＋サービス名（トク買）：「トク買の会費」「退会手続き」「カードの再登録」を装う連絡の入口になる
- 入退会情報：退会済みの会員にも「退会の確認」を装う連絡が届きうる
委託先を使う事業者へ：公表された経緯から確認できること
原因は公表されていません。本節は同社や委託先の対応を評価するものではなく、公表された経緯から、委託先を使う事業者が自社で確かめられることに絞ります。
- 委託先でも、追加の不正アクセスが後から見つかることがある。 発表の経緯では、21日の検知のあとに、24〜25日に21日時点で把握していなかった不正アクセスが追加で見つかり、報告が3回に分かれています。委託先に、報告は一度で終わらない可能性があることと、調査の途中経過をどの間隔で受けるかを、契約や取り決めの段階で決めておけるかを確認してください。
- 決済システムとの連携用の認証情報は、取り換えられる状態にしておく。 発表では、被害の拡大を防ぐために連携の認証関連情報を変更し、その後に委託先から、その一部が漏えいしたおそれがあるとの報告を受けています。一般に、連携の認証情報を委託先に渡している場合は、いつでも変更できる手順と、変更した場合に影響が出る範囲を事前に把握しておくと、被害の拡大を防ぐまでの時間を短くできます。
- 委託先が持つ項目を棚卸しする。 今回、委託先のシステムには、会員の氏名から入退会情報、決済処理用の管理番号までが置かれていました。委託先が持つ項目が業務に必要な範囲かを定期的に確認し、退会済みの会員の情報を持ち続ける必要があるかも見直してください。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない侵入の経路や手口は推測していません。
- 株式会社ベネフィット・ワン「当社業務委託先への不正アクセスによる提携先会員の個人情報漏えいに関するお詫びとお知らせ」（2026年10月28日、PDF） — corp.benefit-one.co.jp
- 株式会社クレディセゾン「株式会社ベネフィット・ワンが提供する「トク買」における個人情報漏えいについて」（2026年10月28日） — saisoncard.co.jp
- ITmedia NEWS（2026年10月29日）。公式発表の内容と一致することの確認に使用 — itmedia.co.jp
更新履歴
2026-10-30：初版。ベネフィット・ワンの10月28日の発表（PDF）と、クレディセゾンの同日のお知らせにもとづく。10月30日の時点で同社のお知らせ一覧に続報（第2報）は出ていないことを確認。同社は追加で判明した事項を知らせるとしているため、公表され次第更新します。
次に読む
- 同じ型の事案：JR東日本・ビューカード・JR九州のメールアドレス漏えい
- 便乗詐欺の見分け方：フィッシングとは ／ パスワードマネージャーの仕組みと選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）