越境EC支援「CROS」で個人情報流出、外部サービスを点検する5項目と無料相談窓口を 案内

注文・顧客データ、個別ツール、カード情報、認証情報、海外利用者対応をEC事業者向けに整理

株式会社セルフプラス（本社：東京都練馬区、代表取締役：黒岩 俊児）は、株式会社ACCESSが2026年10月15日に公表した、連結子会社ACCESS AP TAIWANの越境EC支援サービス「CROS」への不正アクセスを受け、外部サービスに注文・顧客データを預けるEC事業者が確認すべき5項目を整理しました。公表資料によると、顧客ID15万5,280件、受注ID23万1,998件、クレジットカード情報1,305アカウント分などの流出が確認されています。当社は、外部サービスの洗い出しや、カード情報を保持しない構成への見直しに関する無料相談を受け付けます。

ACCESSは2026年10月15日、台湾の連結子会社ACCESS AP TAIWANが提供する、海外に進出するEC事業者向けの業務支援サービス「CROS」で、第三者による不正アクセスが確認されたと公表しました。

公表資料によると、ACCESS AP TAIWANの取引先企業が運営する通販サービスを利用した顧客の個人情報が外部へ流出しました。対象地域は台湾、香港、マカオ、シンガポールです。

確認されている主な情報は次のとおりです。

 ・顧客ID：15万5,280件

・受注ID：23万1,998件

・IDに関連する情報：氏名、電話番号、住所、メールアドレス、関連する受注情報

・クレジットカード情報：1,305アカウント分（延べ1,671件）

・カード情報の対象項目：カード番号、セキュリティコード、有効期限、氏名、顧客ID、受注ID

・決済サービス関連：利用している決済サービスのアカウント情報 

カード情報は、クレジットカード決済が完了していなかった受注が対象とされています。全項目が流出したものは4件で、残る1,301件はセキュリティコード以外の情報が対象です。

ACCESSは2026年9月11日、CROSで利用するサーバーへの不正アクセスの兆候を検知し、サーバーを緊急停止・隔離して調査を開始しました。その後、サーバーから参照できた個人情報と設定情報の一部が不正に取得されたことが判明しました。

不正アクセスの経路は、CROSを利用する取引先のうち、特定の1社だけに提供していたBI（Business Intelligence）ツールが起点だったと公表されています。現時点で、ほかの取引先企業に関する個人情報の漏えいは確認されていません。

また、サーバーから取得されたメール送信サービスの鍵情報と、侵入者が用意した別のリストを使い、1万1,441件の不正なメール送信が行われたと説明されています。

ACCESS AP TAIWANは、不正アクセスの対象となったサーバーの隔離・緊急停止に加え、メール送信用の認証情報の無効化・更新を実施しました。二次被害を防ぐため、ほかの取引先を含むCROS全体を一時停止し、データベースのパスワードを変更しています。公表時点でサービスは復旧済みです。

また、稼働中の全クライアントを対象にクレジットカード情報をマスクし、決済サービスの秘密鍵を更新しています。秘密鍵の更新は一部が完了し、一部は作業中とされています。今後は、対象のBIツールを強化したうえで再稼働し、決済未完了のカード情報を保持しないようCROS本体のプログラムを修正する予定です。

公表資料によると、対象のサービス事業者は個人情報保護委員会への報告などを進め、ACCESS AP TAIWANも台湾当局へ報告しています。通販サービスの利用者への通知は、サービス事業者が実施しています。

今回の公表を受け、セルフプラスは、越境EC支援、受注管理、在庫・配送、分析などの外部サービスを利用するEC事業者向けに、次の確認項目を整理しました。

1．注文・顧客データを預ける外部サービスを一覧にする

利用中の越境EC支援、受注管理、在庫・配送、分析、メール配信などを書き出し、各サービスへ渡している情報を整理します。海外向け販売だけで使う仕組みも対象に含めます。

2．自社向けに追加された画面やツールを確認する

委託先が自社向けに追加した分析ツール、レポート画面、データの書き出し機能について、現在も使っているか、誰が閲覧できるか、インターネットから開ける状態かを確認します。不要な機能は停止を依頼します。

3．カード情報を自社や委託先に残していないか確認する

決済が途中で止まった注文も含め、カード番号やセキュリティコードを、自社または委託先のサーバーやデータベースに保存していないか確認します。決済代行会社の画面で入力する構成になっているかも点検します。

4．メール送信や外部APIの鍵を見直す

メール送信サービスや外部APIの鍵について、保管場所、利用者、不要な鍵の無効化、漏えい時の更新手順を確認します。

5．海外利用者への通知と報告の分担を決める

越境ECでは、海外の顧客への通知が必要になる場合があります。現地語での案内、問い合わせ窓口、各国・地域の法令に基づく報告について、自社と委託先の分担を確認します。

Shopifyでは、サーバーとプラットフォーム本体の更新・保守をShopifyが行い、カード情報を扱う決済の仕組みもプラットフォーム側が担います。自社でサーバーやEC基盤を維持する範囲を減らす選択肢になります。

一方で、スタッフアカウントの管理、二段階認証、導入するアプリの選定、外部サービスへ渡す注文・顧客データ、Shopify外へ書き出したデータの管理は店舗側に残ります。Shopifyへの移行は、すべての不正アクセスを防ぐものではありません。

セルフプラスは、EC事業者から次の相談を受け付けます。

 ・注文・顧客データを渡している外部サービスの洗い出し

・個別に追加した画面やツールの確認範囲の整理

・カード情報を自社・委託先に残さない構成の確認

・メール送信やAPIの認証情報を見直す際の観点

・現在のEC基盤を維持する場合の確認事項

・Shopifyへ移行する場合の対象データ、外部連携、運用変更の整理 

個別のログ調査、システム改修、データ移行、Shopify構築は、現在の構成と作業範囲を確認したうえで別途案内します。

確認5項目をまとめた記事：
https://self-plus.co.jp/knowledge/ec-news/access-cros-crossborder-ec-leak-2026-10/

ACCESSの公表資料：
https://access-company.com/wp-content/blogs.dir/3/files/2026/10/n261015.pdf

Shopify構築・乗り換え：
https://self-plus.co.jp/services/shopify-build/

EC改善診断（無料）：
https://self-plus.co.jp/free-diagnosis/?type=ec#h-form

無料相談：
https://self-plus.co.jp/contact/?type=consult

会社名：株式会社セルフプラス（Self Plus Inc.）
代表者：代表取締役 黒岩 俊児
所在地：〒179-0074 東京都練馬区春日町6-8-5
設立：2015年9月11日
事業内容：ECサイト制作・AI時代のEC支援（Shopify構築・運用、AI検索対策など）
認定・受賞：Shopify Plus Partner／App Unity／アイミツアワード ホームページ制作部門 受賞
URL：https://self-plus.co.jp/

株式会社セルフプラス 広報担当
メール：info@self-plus.co.jp
お問い合わせフォーム：
https://self-plus.co.jp/contact/?type=press