最終更新：10 月 27 日 10:11（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ ギフト券を持っている人 ／ 業績への影響 ／ ギフト券を配っている会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
ギフト券を勝手に作られた事故。損をしたのはギフティ側（10 月 26 日の発表まで）
- ギフティのシステムの弱点（脆弱性）を突かれて外から入り込まれ、コンビニやカフェなどで使えるデジタルのギフト券（e ギフト）を、勝手に作られた（不正発行）。10 月 25 日に分かり、その日のうちにシステムを止めた
- 利用者が持っているギフト券が勝手に使われたり、減ったりしたわけではない。名前や連絡先などの個人情報が漏れたことも確認されていない
- 損をするのはギフティグループで、損失は約 5.5 億円の見込み。決算では「特別損失」（ふだんの営業とは別の、その期だけの損失）として計上する見込み
どうすればいい？
よくある疑問と答え
-
持っている e ギフトは大丈夫？
発表では、利用者のギフト券が勝手に使われたり、減ったりはしていません。交換がうまくいかないときは、少し時間をおいて試してください（一部の交換の不具合は直りつつあると発表されています）。
→ 持っている人がやること - 名前やメールアドレスは漏れた？ 漏れたことは確認されていません。
-
気をつけることは？
「お詫びに補償します」「ギフト券を作り直します」といったメールや SMS が来ても、リンクは開かないでください。この件に便乗した詐欺の可能性があります（この記事での整理）。
→ 最近の偽メール・偽 SMS の傾向 -
株価や業績への影響は？
会社は、約 5.5 億円の損失が出る見込みと発表しました。売上や本業のもうけ（営業利益）への大きな影響は、今のところ見込んでいないとしています。株価の見通しは、この記事では扱いません。
→ 業績への影響 -
どんな弱点を突かれた？
発表は「システムの脆弱性を悪用した不正アクセス」とだけ書いていて、脆弱性の種類や CVE 番号、攻撃の手口は出ていません。システム担当者向けに、発表から分かることと点検の観点を下にまとめています。
→ 技術的な詳細 -
ギフト券を配っている会社は？
お客さまに聞かれたら、上の発表の内容で答えます。そのまま使える答え方の例を下に載せています。
→ 答え方の例
詳しくは：ギフト券を持っている人 ／ お客さまへの答え方の例 ／ クーポンを発行している会社の点検表
この記事では、ギフティへの不正アクセス（e ギフトの不正発行）について、親会社ギフティグループの 10 月 26 日の発表（適時開示）だけをもとに、何が起きたのかと、ギフト券を持っている人・配っている会社がやることを整理します。
何が起きたか
10 月 26 日の発表で分かっていることです。ギフティグループによると、子会社のギフティが動かしているシステムの一部に、外から何者かが入り込みました。そして、そのシステムを使って、本来はお金を払って作られるはずの e ギフトを、勝手に新しく作りました。
ギフティは 10 月 25 日にこれに気づき、入り込まれた原因の弱点を見つけて、その日のうちにシステムを止めました。このシステムは、今後も使わないとしています。
| こと | 発表の内容 |
|---|---|
| 利用者のギフト券 | 勝手に使われていない。減ってもいない |
| 個人情報 | 漏れたことは確認されていない |
| お金の損失 | ギフティグループが負う。約 5.5 億円の見込み |
| サービス | ギフト券の交換の一部が一時使いにくくなったが、順に直っている。ほかの主なサービスはふだんどおり |
| これから | 警察に相談する。ほかに影響がないかを調べ続け、ギフト券を作る仕組みの見張りを強める |
まだ発表されていないこと
- どのサービスのシステムか 「システムの一部」とだけ書かれていて、サービスの名前は出ていません。
- 勝手に作られた枚数や金額 損失の見込み（約 5.5 億円）のほかは、枚数もブランドも出ていません。
- 勝手に作られたギフト券がどうなったか 使えないようにしたのか、もう使われたのかは書かれていません。
e ギフトを持っている人がやること
キャンペーンの景品や自治体の給付、友だちからのプレゼントなどで、ギフティの e ギフトを受け取った人に向けた整理です。発表に利用者へのお願いは書かれていませんが、次のことをしておくと安心です（この記事での整理）。
- 手持ちのギフト券の有効期限と使える店を、いつもの画面で確かめ、期限内に使う
- 交換が進まないときは、少し時間をおいて試す。それでもだめなら、ギフト券の案内に書かれた問い合わせ先に聞く
- 「お詫びに補償します」「ギフト券を作り直します」といった連絡が来ても、メールや SMS のリンクは開かない。カードの番号やパスワードも入れない。本物か迷ったら、自分で公式サイトを開いて確かめる
- ギフト券の URL やコードは、それだけで使えてしまうことがある。SNS に載せたり、人に見せたりしない
業績への影響（株主・投資家の方へ）
株価や業績への影響を調べている人に向けて、発表に書かれた業績への影響を並べます。
- 損失：約 5.5 億円の見込み。2026 年 12 月期の決算のうち、10〜12 月の分（第 4 四半期）に特別損失として計上する見込み
- 売上と本業のもうけ：ギフティの主なサービスはふだんどおり動いていて、売上高と営業利益への大きな影響は、今のところ見込んでいない
- 損をするのは：会社の側。サービスを使っている人のお金やギフト券が減ったことは確認されていない
- これから：新しく知らせることが出てきたら、すぐに知らせるとしている
この記事での整理です。続報は、ギフティグループの投資家向けのページと、東京証券取引所の適時開示（TDnet）に出ます。この記事は出来事と発表の内容をまとめるもので、株価の見通しは扱いません。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 26 日 | ギフティグループが発表（適時開示）。損失は約 5.5 億円の見込みで、特別損失として計上する見込み。利用者のギフト券は勝手に使われておらず、個人情報が漏れたことも確認されていないと説明 |
| 10 月 25 日 | システムの弱点を突かれ、ギフト券を勝手に作られていたことが分かった。その日のうちにシステムを止め、この経路をふさいだ。このシステムは今後も使わない |
e ギフトを配っている会社がやること
キャンペーンの景品やアンケートのお礼などで、ギフティの e ギフトを配っている会社に向けた整理です。発表のとおりなら、お客さまのギフト券は減っていません。それでも、ニュースを見たお客さまから問い合わせが来ることはあります（この記事での整理）。
- 発表の内容を、問い合わせの担当の人と共有する。まだ分かっていないこと（どのシステムか・勝手に作られたギフト券がどうなったか）は、推測で答えない
- 自社のキャンペーンに影響があるかを、ギフティの担当窓口に確かめて、記録しておく
- 交換の不具合の問い合わせが来たときの案内先（ギフト券の案内にある問い合わせ先）を決めておく
ひな形
お客さまに聞かれたときの答え方の例（この記事での整理）
お問い合わせありがとうございます。当社がキャンペーンでお送りしたデジタルギフトは、株式会社ギフティのサービスで発行しています。ギフティグループの 10 月 26 日の発表では、今回の件はギフト券が勝手に新しく作られたもので、お客さまがお持ちのギフト券が使われたり減ったりしたものではなく、個人情報が漏れたことも確認されていないとのことです。交換がうまくいかない場合は、少し時間をおいてお試しいただき、それでも解決しない場合は、ギフト券の案内に書かれた問い合わせ先へご連絡ください。当社やギフティを名乗って補償や作り直しを案内する連絡には、ご注意ください。
続報が出たら、答え方を見直してください。自社のギフト券に影響があると分かった場合は、この例ではなく、ギフティからの案内に沿ってお客さまに知らせます。
よくある情報漏えいとのちがい
「不正アクセス」と聞くと、名前やメールアドレスが漏れる事故を思い浮かべがちです。今回は「お金として使えるもの」を勝手に作られた事故なので、困る人もやることも変わります（この記事での整理）。
| こと | よくある情報漏えい | 今回の件 |
|---|---|---|
| 取られたもの | お客さまの名前・連絡先・買い物の記録など | 勝手に作られたギフト券。個人情報が漏れたことは確認されていない |
| 困る人 | 情報を漏らされたお客さま（詐欺の連絡が来やすくなる） | ギフト券を作った会社（損失を負う） |
| 利用者がやること | パスワードを変える・不審な連絡に気をつける・明細を見る | 便乗した連絡に気をつける。交換の不具合は時間をおいて試す |
同じ時期に、ギフティは別の件として、メール配信サービス「ブラストメール」への不正アクセスのお知らせも出しています。こちらはギフト券とは関係のない、外部のメール配信サービスの事故です。10 月 26 日の第 3 報では、運営会社が漏れたと確認した分に、ギフティの契約は入っていなかったとしています。くわしくは「ブラストメールの不正アクセス」にまとめています。
技術的な詳細（システム担当者向け）
ここからは、クーポン・ポイント・ギフトコードなどを発行する仕組みを運用している担当者・エンジニア向けです。まず、10 月 26 日の適時開示から読み取れる技術的な点を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 侵入の経路 | ギフティが運用するシステムの一部の脆弱性を悪用した、第三者による不正アクセス |
| 起きたこと | そのシステムを経由して、e ギフトが新たに不正に発行された（既存の e ギフトの不正使用ではない） |
| 初動 | 原因の脆弱性を特定し、10 月 25 日にシステムを停止して、その経路からの不正発行を遮断。このシステムは今後も利用を再開しない |
| 影響の範囲 | 個人情報の漏えいは確認されていない。一部の e ギフト交換サービスに一時的な支障が出たが、順次解消。影響の範囲の確認は続いている |
| 再発防止 | e ギフト発行に係る管理体制と監視体制の強化 |
| 発表に無いこと | 脆弱性の種類・CVE 番号・使われていた製品やライブラリ・攻撃の手口・不正アクセスが始まった時期・不正に発行された件数と額面・発行済みの不正な e ギフトを失効させたかどうか |
この記事での整理です。「情報は漏れていないのに、発行の仕組みを使われただけで損失になる」のが、この種の事故の特徴です。顧客データを守る対策（暗号化・アクセス権）だけでは防げず、発行の操作そのものを、誰が・どの経路から・どれだけ行えるかを絞り、いつもと違う発行にすぐ気づける作りにしておく必要があります。
クーポン・ポイントの発行の仕組みの点検表
クーポン・ポイント・割引コード・商品券のように、ホームページや会員ページから「お金として使えるもの」を出している会社は少なくありません。こうした仕組みは、情報が漏れなくても、勝手に作られるだけで損になります。次の点を確かめておくと、同じような被害を小さくできます（この記事での整理）。
| 点検すること | 中身 |
|---|---|
| 発行できる経路を一覧にする | 管理画面・発行用の API・外部のサービスとの連携・古いキャンペーン用のページなど、クーポンやポイントを作れる入口をすべて書き出す。使っていない入口と API キーは止める。管理画面には多要素認証と接続元の制限を |
| 発行の上限を決める | 1 回・1 時間・1 日に発行できる数と額面の合計に上限（レート制限）を設け、超えたら止まるようにする。API キーごと・アカウントごとにも上限を分ける |
| 急な増え方に気づく | 発行の記録（誰が・いつ・どの経路で・いくつ）をログに残し、いつもより多いときに担当者へ通知（アラート）が届くようにする。夜間や休日も誰かが気づけるかを確かめる |
| すぐ止める手順を決める | 誰が、どの画面で、発行を止められるかを決めて書いておく。外部のサービスを使っているなら、提供元の緊急の連絡先も控える |
| 発行済みのものを無効にできるか | 不正に作られたクーポンやコードを、発行の記録から特定して、あとから使えなく（失効）できるかを確かめる |
| 仕組みを最新に保つ | 今回は脆弱性を悪用されたと発表されている。発行に使うシステム・プラグイン・ライブラリの更新を誰がいつ行うかを決め、外部からの脆弱性診断も定期的に受ける |
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、電子マネーの発行の仕組みが狙われた例は 「バリューデザインの不正アクセス」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、仕組みの更新や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
