全日空商事株式会社（ANAグループ）が運営する法人向けデジタルギフトサービス「選べるe-GIFT」で、管理運用システムへの第三者不正アクセスが発生した。8月11〜12日に侵入が起き、公表は8月24日。漏えいの可能性がある情報は契約企業の「ご担当者」に限定され、氏名・企業名・企業ID・ログインID・メールアドレス（先頭3文字＋ドメインのみ）で、クレジットカード情報やパスワードは対象外という。一方で、第三者が一部利用者のギフトを不正に交換した事象も確認されている。件数・金額は非公表だ。
JAL・ANAグループで繰り返される"交換型"不正利用 #
1. ID・パスワード詐取
フィッシングやリスト型攻撃で認証情報を窃取。
2. 不正ログイン
窃取した ID・パスワードで会員サイトや管理画面へ侵入。
3. マイル/ギフト不正交換
貯まったマイルやギフト残高を別の価値へ交換。
4. 換金・転売
商品券・電子マネー等に変え現金化。
この事件が興味深いのは単発ではない点だ。2024年12月にはJALで不正ログインによるマイル不正交換が発生し、2025年2月にはANAマイレージクラブ会員へパスワード管理の注意喚起が出ている。手口はいずれもID・パスワードの詐取やリスト型攻撃による不正ログインで、盗んだ認証情報を使ってポイントやマイル、ギフト券を「現金化しやすい別の価値」に交換する点が共通する。銀行口座と違って多要素認証や異常検知の投資が後回しにされがちなポイント経済圏は、攻撃者にとって「換金までの摩擦が少ない」魅力的な標的になっている。
企業が見るべき論点 #
法人向けサービスゆえに影響は契約企業の担当者情報にとどまるが、B2Bの管理画面が侵入口になった点は見逃せない。エンドユーザー向けのマイル会員サイトだけでなく、法人向け管理システムにも同水準の異常検知・MFA・交換上限のレート制限を求める流れが強まりそうだ。
利用者・企業への注意点
心当たりのない交換通知や、全日空商事・選べるe-GIFTを装ったメール・電話には注意。契約企業は担当者アカウントのパスワード変更とログイン履歴の確認を。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。