IDAREに不正アクセス（12万9,659人）：残高・取引履歴や一部の本人確認書類の番号が漏えい、利用者がやること

対象は、2026年9月27日までにIDAREに登録した人です。退会した人も含みます。漏えいした項目は利用状況によって異なり、同社が対象者にメールで個別に案内するとしています。

メールに書かれたリンクからは操作せず、IDAREのアプリを自分で開くか、公式サイトをブックマークや検索から開いて確認してください。問い合わせの窓口は、アプリ内の「お問い合わせ」と、Webサイトのお問い合わせフォームです。

同社は、同社やIDAREを装った不審なメール・SMS・電話が来る可能性があるとしています。そのうえで、同社がメール・SMS・電話でパスワード、暗証番号、セキュリティコード、多要素認証の認証コードなどを尋ねることはないとしています。

今回は残高と取引履歴が漏れているため、偽の連絡に本当の残高や最近の買い物が書かれていることがありえます。内容が合っていても本物の証拠にはなりません。身に覚えのない連絡のリンクや添付ファイルは開かず、個人情報を入力しないでください（見分け方は フィッシングとは）。

同社によれば、ログインには、登録した方法による多要素認証（パスワードに加えて別の方法で本人かを確かめる仕組み）が必須です。逆に言えば、認証コードを他人に伝えると、この守りが働かなくなります。

一部の人は、入金用に登録したクレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁も漏えいしました。カード番号の先頭6桁からは、一般にカードの発行会社やブランドが分かります。

このため、「ご登録のカード（下4桁 ××××）に不正利用の疑いがあります」のように、本物らしく書かれたカード会社や銀行を名乗る連絡がありえます。連絡に書かれた電話番号やリンクは使わず、カードの裏の番号、通帳、銀行やカード会社の公式アプリから問い合わせてください。同社は、全桁の番号・有効期限・セキュリティコード・暗証番号は保持しておらず、取得の可能性はないとしています。

同社は、10月13日時点で不正な取引は確認されておらず、残高は保全されているとしています。それでも、アプリの取引履歴に心当たりのない決済がないかを一度見ておくと安心です。

同社のヘルプセンターの補償制度の案内では、不正利用に気づいたら、まずアプリからカードをロックし、アプリの「お問い合わせ」で「身に覚えのない取引」を選んで、決済日時・金額・加盟店名を伝えるよう求めています。補償の対象は、損害の発生日から30日以内に同社と警察署に申告したものに限られます。

同じ案内では、利用者自身が行った取引は、第三者に強要された場合も含めて補償の対象外とされています。電話やメッセージで指示されて、自分で送金や決済の操作をしないでください。

一部の人は、本人確認のときに申請した氏名・住所・性別・利用目的と、本人確認書類の番号が漏えいしました。どの書類（運転免許証など）の番号かは発表に書かれていません。本人確認書類の画像、顔の画像、マイナンバーは漏えいしていないとしています。

画像がなく番号だけでも、氏名・住所・生年月日と組み合わさると、なりすましの申し込みに使われるおそれがあります。備えとして、信用情報機関（CIC・JICC・全国銀行個人信用情報センター）への本人申告を検討してください。費用や登録期間、自分の信用情報を開示して確かめる方法は 運転免許証の情報が漏れたら：悪用を防ぐためにやること にまとめています。

なお、銀行口座の開設などのオンライン本人確認は、2027年4月から書類の画像を送る方法が原則廃止され、ICチップの読み取りに変わります。読み取りにはカードの実物と暗証番号が必要です（オンラインの本人確認がICチップ読み取りに変わる）。

2021年10月までに登録した人のうち、貸付サービス「LADDER」（2021年10月に終了）を使うために年収や勤務先などを入力した人は、その情報も漏えいしました。

年収や勤務先を知っていることを材料にした、融資やお金の相談を装う連絡には応じないでください。Fivotは本件とは別に、2026年4月7日のお知らせで、同社の従業員やサービス名を名乗る偽の融資勧誘に注意するよう呼びかけています。その中で、同社が端末を送って個人情報や口座情報の入力・返送を求めることはないとし、公式サイトとして fivot.co.jp・idare.jp・flex-capital.jp を挙げています。

不審な連絡に応じて送金した、認証コードや暗証番号を伝えた、カード情報を入力した、という場合は、IDAREのアプリでカードをロックし、カード会社や銀行にも連絡してください。

あわせて、警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。偽のページにパスワードを入力してしまった場合は、すぐに変更し、同じパスワードを他のサービスで使っていればそちらも変えます（パスワードマネージャーの選び方）。

問い合わせ管理やチャットなどの顧客対応ツールは、担当者が利用者の状況を確かめるために、会員情報や取引の画面とつながっていることが多くあります。まず、こうした外部ツールごとに、読める項目と、使っている認証情報（APIキーやデータベースのアカウント）を一覧にします。

本人確認書類の番号や取引履歴のように、日常の問い合わせ対応で全件を読む必要のない項目は、ツールから読めないようにするか、1件ずつ照会する形に絞ります。

同社は、本人確認書類の画像、顔の画像、ログインパスワードなどについて、今回不正アクセスを受けたシステムからは参照できない仕組みで管理していたか、そもそも保持していなかったため、取得の可能性はないとしています。

重い情報を別の保管場所と別の権限に分けておくと、一部のシステムが破られても持ち出される範囲が限られます。カード番号の全桁のように、自社で持たなくてよい情報は持たないことが最も確実です。

今回は、2021年10月に終了した貸付サービスのために入力された年収・勤務先などの情報も対象に含まれました。保存していた理由は発表に書かれておらず、貸付業務の記録には法令上の保存義務がある場合もあります。

一般に、終了したサービスのデータは、法令で保存が必要なものとそうでないものに分け、不要なものは消し、残すものは日常業務のシステムから読めない場所に移します。

不正アクセスは8月10日〜9月27日に複数回あったとされています。同社は再発防止策に、ソフトウェアの脆弱性情報の継続的な監視と、アクセスログの監視・アラートの体制を挙げています。

最初の1つとしては、外部ツールが使うデータベースのアカウントやAPIキーごとに、1時間あたりに読み出す件数の上限を決め、普段の数倍を超えたら担当者に通知する設定が始めやすい形です。導入している外部ツールの脆弱性情報は、提供元のお知らせやセキュリティ情報を購読して追います。