2026年10月13日、キャッシュレスサービス「IDARE（イデア）」を運営する株式会社Fivotが、不正アクセスによって利用者12万9659人の個人情報が外部に漏えいしたと発表しました。
対象となるのは、2026年9月27日までにIDAREへ登録した利用者で、すでに退会した人も含まれます。漏えいした情報には氏名やメールアドレスなどの登録情報だけでなく、IDAREの残高情報、取引履歴、カードの名義・有効期限なども含まれています。
一方、利用者の残高そのものは安全に保全されており、今回の不正アクセスによる不正取引も確認されていません。ログインパスワードやカード番号の全桁、セキュリティコードなども漏えい対象外と説明されています。
ただし、一部の利用者では本人確認書類の番号、登録したクレジットカード番号の一部、銀行口座番号の一部なども漏えいしています。過去に提供されていた貸付サービス「LADDER」の利用者については、年収や勤務先情報が対象となったケースもあります。
この記事では、情報漏えいの対象者、漏れた情報と漏れていない情報の違い、残高やカードへの影響、パスワード変更・退会の必要性、不正利用が起きた場合の補償まで、IDAREの公式発表をもとに整理します。
IDAREで12万9659人の個人情報が漏えい｜対象者と現在の状況
IDAREは、株式会社Fivotが運営する、残高をチャージして買い物などに利用できるキャッシュレスサービスです。Visa加盟店で使えるプリペイドカード機能や、残高に応じたボーナスを受け取れる仕組みを提供しています。
今回の不正アクセスでは、カスタマーサポートなどの業務で使用していた外部ソフトウェアの脆弱性が悪用され、第三者によってデータベース内の個人情報が取得されました。
まず、2026年10月14日時点で確認できている情報をまとめます。
| 項目 | 内容 |
|---|---|
| サービス名 | IDARE（イデア） |
| 運営会社 | 株式会社Fivot |
| 公表日 | 2026年10月13日 |
| 漏えい対象者 | 129,659人 |
| 退会済みの利用者 | 対象に含まれる |
| 不正な情報取得の期間 | 2026年8月10日～9月27日 |
| 原因 | 業務用の外部ソフトウェアの脆弱性を悪用された不正アクセス |
| 主な漏えい情報 | 氏名・連絡先・残高情報・取引履歴・カード情報の一部など |
| ログインパスワード | 漏えい対象外 |
| カード番号の全桁 | 漏えい対象外 |
| 利用者の残高 | 安全に保全 |
| 今回の攻撃による不正取引 | 確認されていない |
| IDAREのサービス | 通常どおり利用可能 |
| 不正アクセス経路 | 遮断済み |
今回の事案で重要なのは、単に個人情報が漏えいした「可能性がある」という発表ではないことです。Fivotは調査の結果、第三者がデータベースの情報を取得し、実際に個人情報が外部へ漏えいしたことを確認しています。
ただし、漏えいした情報の項目は利用者ごとに異なります。すべての利用者について、本人確認書類の番号やクレジットカード番号の一部まで漏えいしたという意味ではありません。
詳しい内容は、IDARE公式「不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年10月13日）で公表されています。
IDAREの情報漏えいは誰が対象？退会した人も含まれる
今回の情報漏えいの対象者は、2026年9月27日までにIDAREへ登録した12万9659人です。
現在もIDAREを利用している人だけでなく、すでに退会している人も対象に含まれています。
そのため、以前IDAREのアカウントを作成したものの、最近は使っていない人や、過去に退会手続きを済ませた人も、今回の案内を確認する必要があります。
| 利用状況 | 対象となるか |
|---|---|
| 現在IDAREを利用している | 9月27日までの登録者は対象 |
| 登録したが現在は利用していない | 対象に含まれる |
| すでに退会している | 対象に含まれる |
| 以前にIDAREカードを発行した | 登録時期によって対象 |
| 旧LADDERを利用した | 登録時期により対象。追加の属性情報も漏えいした可能性 |
| 9月28日以降に初めて登録した | 今回公表された12万9659人には含まれない |
9月28日以降の新規登録者については、今回発表された対象者の範囲には含まれていません。ただし、これは10月13日の公表内容に基づく区分であり、今後の追加調査によって対象範囲が変更される可能性までは否定できません。
また、退会済みのアカウントについても、Fivotが保有していた情報が今回の対象に含まれています。退会したことを理由に、自動的に情報漏えいの対象外になるわけではありません。
運営会社は、漏えいした情報の範囲が利用者ごとに異なるため、対象者に対してメールで個別に案内するとしています。
漏えいした情報は？残高・取引履歴・カード情報の内訳
今回漏えいした情報は、大きく分けて「すべての対象者について漏えいした情報」と「一部の対象者について漏えいした情報」の2つです。
まず、Fivotがすべての対象者に関する漏えい情報として挙げているのは、電話番号やメールアドレスなどの登録情報、IDAREの残高情報、取引履歴、IDAREカードの名義・有効期限です。
| 対象範囲 | 漏えいした情報 |
|---|---|
| すべての対象者 | 電話番号・メールアドレス・生年月日・ユーザーID・表示名など |
| すべての対象者 | アカウントの設定情報・ステータス |
| すべての対象者 | IDAREの残高情報・取引履歴 |
| すべての対象者 | IDAREカードの名義・有効期限 |
| 一部の対象者 | 氏名・住所・性別・利用目的など本人確認時の申請内容 |
| 一部の対象者 | 本人確認書類の番号 |
| 一部の対象者 | IDAREカード番号の下4桁 |
| 一部の対象者 | 登録した入金用クレジットカード番号の先頭6桁と下4桁 |
| 一部の対象者 | 登録した銀行口座番号の下3桁 |
| 一部の対象者 | リアルカードのアクティベーションコード |
| 一部の対象者 | 旧LADDER利用時の年収・勤務先などの属性情報 |
特に注意したいのは、残高情報と取引履歴も今回の漏えい対象になっていることです。
これらの情報から、利用者がどの程度の残高を保有していたのか、どのような取引を行っていたのかといった内容を第三者に知られた可能性があります。
ただし、残高情報が漏えいしたことと、残高そのものが第三者に送金されたり、盗まれたりしたことは別の問題です。Fivotは、今回の不正アクセスによる不正取引は確認されておらず、残高は安全に保全されていると説明しています。
なお、漏えいした情報の詳しい内容は利用者によって異なります。自分の氏名や住所、カード情報の一部が対象になっているかどうかは、運営会社からの個別案内を確認する必要があります。
クレジットカード番号や本人確認書類の画像は漏れた？
今回の情報漏えいでは、カードに関する情報も対象となっていますが、カード番号の全桁やセキュリティコードまで漏えいしたわけではありません。
ここで混同しやすいのが、IDAREが発行するカードと、IDAREへの入金に利用するクレジットカードの違いです。
IDAREカードについては、名義と有効期限がすべての対象者の漏えい情報に含まれています。一方、IDAREカード番号は一部利用者について下4桁のみが対象です。
入金用に登録されたクレジットカードについては、一部利用者でカード番号の先頭6桁と下4桁が漏えいしていますが、有効期限やセキュリティコードは対象外とされています。
| 情報の種類 | 今回の漏えい状況 |
|---|---|
| IDAREカードの名義・有効期限 | 漏えい対象 |
| IDAREカード番号の下4桁 | 一部の利用者で漏えい |
| IDAREカード番号の全桁 | 対象外 |
| IDAREカードのセキュリティコード・暗証番号 | 対象外 |
| 入金用クレジットカード番号の先頭6桁・下4桁 | 一部の利用者で漏えい |
| 入金用クレジットカード番号の全桁・有効期限・セキュリティコード | 対象外 |
| 銀行口座番号の下3桁 | 一部の利用者で漏えい |
| 銀行口座番号の全桁・暗証番号 | 対象外 |
| 本人確認書類の番号 | 一部の利用者で漏えい |
| 本人確認書類の画像・顔写真 | 対象外 |
| マイナンバー | 対象外 |
| ログインパスワード | 対象外 |
また、本人確認時に提出した運転免許証などの書類についても、番号などの情報が一部で漏えいした一方、書類の画像や顔写真そのものは流出していないと説明されています。マイナンバーも漏えい対象には含まれていません。
Fivotによると、こうした情報は今回不正アクセスを受けたシステムから参照できない方法で管理されていたか、同社が情報自体を保有していないため、第三者による取得の可能性がないとしています。
ただし、カード番号の一部や氏名、連絡先、取引履歴などが漏えいしたこと自体は事実です。これらを組み合わせた不審な連絡や、本人になりすました問い合わせが発生する可能性には注意が必要です。
詳しい情報項目は、IDAREの公式発表で確認できます。
IDAREの残高やボーナスは大丈夫？現在も利用できる？
現在IDAREに残高を保有している利用者にとって、最も気になるのは預けているお金への影響ではないでしょうか。
Fivotは10月13日の公式発表で、利用者の残高は安全に保全されており、IDAREのサービスは通常どおり利用できると説明しています。
また、今回の情報漏えいに起因する不正取引についても、発表時点では確認されていません。
つまり、残高の金額や取引履歴などの情報は漏えいしたものの、それによって利用者の残高が直接盗まれたという発表ではありません。
IDAREでは、チャージした残高をVisa加盟店での決済などに利用できます。また、平均残高などの条件に応じてボーナスが付与される仕組みもあります。
今回の公式発表では、サービスを停止する措置や、残高・ボーナスを一律に失効させる対応は案内されていません。
ただし、今後も必ず不正利用が起こらないと保証されたわけではありません。念のためアプリ内の残高と取引履歴を確認し、身に覚えのない支払いがないかをチェックしておくことをおすすめします。
身に覚えのない支払いが見つかった場合は、アプリでカードをロックし、公式窓口へ問い合わせる必要があります。
パスワード変更やカード停止は必要？利用者が確認したいこと
今回、IDAREのログインパスワードは漏えいしていません。
また、IDAREへのログインには多要素認証が必要であり、Fivotは、今回漏えいした情報だけを使って第三者が利用者のアカウントへ不正ログインすることはできないと説明しています。
そのため、10月13日の発表では、すべての利用者に対して直ちにパスワード変更やカード停止を求める案内は出されていません。
ただし、利用者が何もしなくても絶対に安全という意味ではありません。
現時点では、次の点を確認しておくとよいでしょう。
・IDAREに登録しているメールアドレスへ公式案内が届いていないか
・アプリ内の残高や取引履歴に不審な点がないか
・IDAREを装ったメールやSMSが届いていないか
・身に覚えのない認証コードの通知がないか
・ほかのサービスで同じパスワードを使い回していないか
なお、今回の事故ではパスワード自体は漏えいしていません。パスワードの使い回しを見直すことは一般的なセキュリティ対策として有効ですが、今回の漏えいによってIDAREのパスワードが流出したという意味ではありません。
カードの不正利用が心配な場合は、アプリからカードロックを設定することも可能です。カードロックはカードによる支払いを一時的に制限する機能であり、退会とは異なります。
ただし、すべての利用者が必ずカードロックをしなければならないという公式指示ではありません。利用予定や取引状況を踏まえて判断してください。
カードロックや身に覚えのない支払いへの対応は、IDARE公式「身に覚えのない支払いがある場合はどうすればいいですか？」で説明されています。
IDAREは退会した方がいい？残高とボーナスの失効に注意
個人情報漏えいのニュースを受けて、IDAREの退会を考える人もいるかもしれません。
しかし、今回の問題を理由に急いで退会する場合には注意が必要です。
IDAREは退会すると、残っている残高やボーナスがすべて失効します。退会後にアカウントを復元することもできません。
また、IDAREカードで支払った商品の返品やキャンセルによって返金が発生する場合、退会後はその返金を受け取れないことがあります。
| 退会時の注意点 | 公式FAQの内容 |
|---|---|
| 残高 | 退会すると失効 |
| ボーナス | 退会すると失効 |
| アカウント復元 | できない |
| 退会後の返金 | 受け取れない |
| 同じ電話番号・メールアドレスでの再登録 | 退会後30日間は不可 |
| カードの利用 | 退会後は利用不可 |
そのため、単に今後のカード利用を一時的に止めたいだけであれば、退会するのではなくカードロックを利用する方法もあります。
なお、今回すでに情報が漏えいした利用者については、退会したからといって、第三者に取得された情報まで消えるわけではありません。
退会を希望する場合は、残高やボーナスを使い切り、返金予定や月額サービスの支払い設定などを確認してから手続きする必要があります。
詳しい条件は、IDARE公式「退会（解約）するには？」で確認してください。
旧LADDER利用者は年収や勤務先情報も漏えいした
今回の公式発表には、現在のIDAREだけでなく、過去に提供されていた貸付サービス「LADDER」に関する情報も含まれています。
LADDERは、2021年10月にサービスを終了した貸付サービスです。
Fivotによると、2021年10月までにIDAREへ登録し、LADDERを利用する目的で年収や勤務先などの属性情報を入力した一部の利用者については、それらの情報も今回の漏えい対象になっています。
ここで注意したいのは、IDAREの利用者全員について年収や勤務先が漏えいしたわけではないことです。
あくまでも、当時の貸付サービスを利用する目的で情報を入力していた一部の利用者に限られます。
また、LADDERのサービス終了から約5年が経過していることもあり、現在IDAREを使っていない人が対象に含まれる可能性もあります。
以前LADDERを利用したことがある場合は、Fivotからの個別案内を確認し、具体的にどの情報が漏えいしたのかを確かめることが重要です。
不正アクセスはなぜ発生した？8月10日から9月27日までの経緯
今回の不正アクセスは、Fivotがカスタマーサポートなどの業務で利用していた外部ソフトウェアの脆弱性を悪用されたことが原因です。
第三者は2026年8月10日から9月27日までの間、複数回にわたってFivotのデータベースへ不正にアクセスし、情報を取得していました。
つまり、情報漏えいは公表直前の10月に突然発生したのではなく、8月から9月にかけて繰り返しデータが取得されていたことになります。
| 日付・期間 | 判明している内容 |
|---|---|
| 2026年8月10日 | 第三者による不正な情報取得が確認された期間の初日 |
| 8月10日～9月27日 | 複数回にわたりデータベースの情報を取得 |
| 9月27日 | 公表された不正取得期間の最終日。対象者の登録日の基準 |
| 10月13日 | Fivotが12万9659人の情報漏えいを公表 |
| 10月14日時点 | 侵入経路を遮断済み。新たな不正アクセスは確認されていない |
ただし、Fivotが最初に不正アクセスを発見した日時については、今回確認できた公式発表では明らかになっていません。9月27日を発見日と断定することはできません。
現在は不正アクセスの経路を遮断し、原因となった外部ソフトウェアの利用を終了するとともに、関連する認証情報の更新を完了しています。
また、弁護士を含む第三者による調査や法令に基づく報告、再発防止策の策定も進めています。
今後の対策としては、ソフトウェアの脆弱性情報を監視する体制の整備、アクセスログの監視やアラート機能の強化、外部専門家による調査、情報管理体制の強化などが挙げられています。
なお、原因となった外部ソフトウェアの具体的な製品名や、今回の攻撃者の身元については公表されていません。
不正利用が起きたら補償される？カードロックと申請方法
IDAREでは、第三者によってアカウントやカードが不正利用された場合に備えた補償制度が設けられています。
ただし、今回の情報漏えいによって、12万9659人全員に補償金が支払われるという発表ではありません。
Fivotは10月13日時点で、今回の不正アクセスに起因する不正取引は確認されていないと説明しています。補償制度は、実際に第三者による不正な決済などが発生した場合に、所定の条件に従って申請できる仕組みです。
もし身に覚えのない取引が発生した場合は、まずアプリ上でカードをロックし、取引履歴を確認してください。
そのうえで、アプリ内の「お問い合わせ」から「身に覚えのない取引」を選び、決済日時、金額、加盟店名などの情報を伝えます。
IDAREの補償制度では、原則として損害が発生した日から30日以内にFivotと警察の両方へ申告することが補償条件になっています。また、損害発生時点でアカウントの本人確認が完了していない場合など、補償の対象外となる条件も定められています。
補償の対象となると判断された場合は、原則として不正利用された金額から他の方法で回収できた金額を差し引き、相当するIDAREポイントをアカウントに加算する方法で補償されます。
なお、ほかのクレジットカード会社などが提供する決済サービス側で不正利用が発生した場合は、IDAREの補償制度とは取り扱いが異なることがあります。
補償は自動的に確約されるものではないため、詳細はIDARE公式「不正利用に対する補償制度について」を確認してください。
対象者へのメール通知はいつ？問い合わせ先と不審メールへの注意
Fivotは、今回の情報漏えいについて対象となる利用者にメールで個別に案内すると発表しています。
漏えいした情報の項目は利用者ごとに異なるため、自分のカード番号の一部や本人確認情報などが対象かどうかは、個別の案内を確認する必要があります。
ただし、すべての対象者への通知がいつ完了するのかについては、10月13日の公式発表では明らかにされていません。
現時点でメールが届いていないことだけを理由に、自分が対象外だと判断しない方がよいでしょう。
今回の問題に便乗して、FivotやIDAREを装った不審なメール、SMS、電話などが届く可能性にも注意が必要です。
運営会社は、メール・SMS・電話を通じて、パスワード、暗証番号、セキュリティコード、多要素認証の認証コードを尋ねることはないと説明しています。
例えば、「情報漏えいの対象確認」「本人確認のやり直し」「残高を保護するための認証」などとして、パスワードやカード情報の入力を求められた場合は、不審な連絡である可能性を考える必要があります。
メールにIDAREの名前や自分の氏名が記載されていても、それだけで正規の連絡とは判断できません。
不審な連絡を受けた場合は、メールやSMSに記載されたリンクを開かず、アプリや公式サイトから直接確認してください。
今回の情報漏えいに関する問い合わせは、次の窓口が案内されています。
IDARE公式お問い合わせ窓口
・IDAREアプリ内の「お問い合わせ」
・IDARE公式お問い合わせフォーム
お問い合わせフォームでは、登録したメールアドレスなどを使って本人確認を行ったうえで案内する仕組みになっています。
なお、問い合わせ本文にパスワード、暗証番号、カード番号などを記載しないよう、公式フォームでも注意が呼びかけられています。
IDAREの情報漏えいと利用者への影響まとめ
2026年10月13日、Fivotはキャッシュレスサービス「IDARE」において、12万9659人の個人情報が外部に漏えいしたことを公表しました。
対象には、2026年9月27日までに登録した利用者だけでなく、すでに退会した人も含まれます。漏えいした情報には氏名や連絡先、IDAREの残高情報・取引履歴、カード情報の一部などがあり、一部利用者では本人確認書類の番号や、旧LADDERサービスで登録した年収・勤務先情報も対象となっています。
一方、ログインパスワード、カード番号の全桁、セキュリティコード、本人確認書類の画像などは漏えい対象外です。また、Fivotは利用者の残高は保全されており、今回の不正アクセスによる不正取引も確認されていないと説明しています。
そのため、現時点では今回の情報漏えいを理由に、すべての利用者が直ちにカードを停止したり、IDAREを退会したりする必要があるという公式案内は出されていません。
特に退会すると残高やボーナスが失効するため、慌てて手続きせず、現在の取引履歴や残高を確認してから判断することが重要です。
また、今回漏えいした氏名や連絡先、取引情報などを悪用した不審メールやフィッシング詐欺が発生する可能性もあります。IDAREを名乗る連絡であっても、不審なリンクからパスワードやカード情報を入力しないよう注意してください。
今後、Fivotから漏えいの調査結果や追加の対応が発表された場合は、公式情報に基づいて状況を確認する必要があります。
なお、2026年9月末から10月にかけては、ほかにも国内で大規模な情報漏えい・不正アクセスが相次いでいます。主な事例については、「2026年9月末～10月の情報漏えいまとめ｜相次ぐ不正アクセスの主な事例を整理」でも紹介しています。
主な参考資料と確認日
情報確認日：2026年10月14日。株式会社Fivot・IDAREが2026年10月13日に公表した不正アクセスおよび個人情報漏えいに関する公式発表と、IDAREの利用規約・公式FAQをもとに作成しています。12万9659人は退会済みの利用者を含む漏えい対象者数です。今回の情報漏えいによる不正取引は10月13日時点で確認されていませんが、今後の調査結果や個別通知、補償制度などの運用状況によって情報が変更される可能性があります。
コメント