キャッシュレスサービス「IDARE」の情報漏えいが、2026年10月13日に公表されました。運営するFivotによると、第三者の不正アクセスで、9月27日までに登録した12万9659人（退会済みを含む）の電話番号やメールアドレス、残高、取引履歴などが外部に漏れたとのことです。
ニュースの見出しだけ見ると「お金を抜かれるのでは」と身構えてしまいますが、発表を読むと、漏れたものと漏れていないものがかなりはっきり分かれています。この記事では公式発表に沿ってそこを整理し、これから届くかもしれない偽のメールやSMSにどう備えるかまでを書きます。
先に結論：IDAREの情報漏えいでは、電話番号・メールアドレス・生年月日・残高・取引履歴などが漏れましたが、ログインパスワードやカード番号の全桁、セキュリティコード、暗証番号は漏れていないと発表されています。10月13日時点で不正な取引は確認されておらず、サービスも通常どおり使えます。
利用者が気をつけたいのは、漏れた電話番号やメールアドレスあてに届く、IDAREやFivotを装った連絡です。メールやSMSのリンクは開かず、アプリから確かめてください。
IDAREの情報漏えいで何が起きたのか（2026年10月13日の発表）
まず、IDAREを使ったことがない方のために、サービスの中身を短く書いておきます。家族がアプリに入れている、という方もいると思うので、どんなものかだけ押さえておいてください。
用語：IDAREとは、株式会社Fivotが2021年4月から運営している、プリペイド式のキャッシュレスサービスです。スマホのアプリに残高を入金し、Visaのプリペイドカードとして買い物などに使えます。残高に応じたボーナスが付く「貯まるキャッシュレスアプリ」として案内されています。
Fivotの発表では、IDAREがカスタマーサポートなどの業務で使っていた外部のソフトウェアの脆弱性が悪用され、8月10日から9月27日にかけて複数回、データベースの情報が第三者に取得されました。どのソフトウェアだったのかは、発表には書かれていません。
対象は、2026年9月27日までにIDAREに登録した人です。すでに退会した人も含まれます。「昔ちょっと使って、もうやめた」という方も、対象から外れているとは限らないということです。
2026年9月27日までに登録した利用者（退会済みを含む）129,659人の情報が漏えいした。不正アクセスの経路は遮断し、問題のソフトウェアの利用を終了、関連する認証情報の更新も済ませた。現時点で本件に起因する不正な取引は確認されておらず、サービスは通常どおり利用できる。
出典：IDARE「「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」
今後の対策として、Fivotはソフトウェアの脆弱性情報を継続して監視する体制、アクセスログの監視とアラートの体制の整備、外部の専門家による第三者調査の受け入れなどを挙げています。
ここで一つ引っかかるのは、入り口が「お客さんの対応に使っていた外部のソフト」だったという点です。サービスの本体ではなく、周りの業務の道具から入られる。利用者の側からは見えない場所なので、利用者に防げた話ではありません。だからこそ、漏れたあとの備えに気持ちを向けたほうが建設的です。
IDAREの情報漏えいで漏れた情報・漏れていない情報
いちばん気になるのはここだと思います。公式発表では、全員に共通して漏れたもの、一部の人だけ漏れたもの、漏れていないものの3つに分けて書かれています。表にまとめます。
| 区分 | 主な項目 |
|---|---|
| 全対象者 | 電話番号、メールアドレス、生年月日、ユーザーID、表示名などの登録情報／アカウントの設定情報・ステータス／残高情報／取引履歴／IDAREカードの名義と有効期限 |
| 一部の対象者 | 氏名、住所、性別、利用目的、本人確認書類の番号などの申請内容／IDAREカード番号の下4桁／入金用クレジットカード番号の先頭6桁と下4桁／入金用銀行口座番号の下3桁／リアルカードのアクティベーションコード |
| 漏れていない | ログインパスワード／本人確認資料と本人の顔の画像／IDAREカードの全桁・セキュリティコード・暗証番号／クレジットカードの全桁・セキュリティコード・有効期限・暗証番号／銀行口座の全桁・暗証番号 |
表を見ると、お金を直接動かすのに必要なもの、つまりパスワード・カードの全桁・セキュリティコード・暗証番号は、どれも「漏れていない」側に入っています。Fivotは、ログインには多要素認証が必須で、ログインパスワードも漏れていないため、漏れた情報だけで第三者が不正ログインすることはできないと説明しています。
一方で、「全対象者」の欄は軽く見ないほうがいいと思っています。電話番号、メールアドレス、生年月日に加えて、残高と取引履歴まで含まれています。いくら入っていて、どこで使ったか。これは、だます側にとって「本物らしい連絡」を作るための材料になりえます。
メモ：マイナンバーや本人確認書類の画像は漏れていないとされています。また、2021年10月までに登録し、当時の貸付サービス「LADDER」の利用のために年収や勤務先などを入力した人は、その情報も漏れた可能性があると発表されています。LADDERは2021年10月に終了したサービスです。
入金用のクレジットカード番号は「先頭6桁と下4桁」が漏れた人がいます。全桁ではないのでカードとしては使えませんが、「末尾〇〇〇〇のカードで問題が起きています」のように、自分のカードの番号を言い当てる連絡が来ると、人は信じてしまいやすい。番号の一部を知っている相手でも、本物とは限らない、と覚えておいてください。
自分が対象か、届いたメールが本物かをどう見分ける？
Fivotは、対象となる利用者に、漏れた情報の範囲をメールで個別に案内するとしています。つまり、本物の案内もメールで届く。ここが少しややこしいところです。
本物のお知らせが出たあとは、それをまねた偽物が出回りやすくなります。Fivot自身も、IDAREやFivotを装った不審なメール、SMS、電話が届く可能性があるとして、身に覚えのない連絡のリンクや添付ファイルを開かず、個人情報を入力しないよう呼びかけています。
ここ、見落としがちです：Fivotは、メール・SMS・電話でパスワード、暗証番号、セキュリティコード、多要素認証の認証コードなどを尋ねることはないと案内しています。これらを聞いてくる連絡は、その時点で偽物と判断してかまいません。「補償の手続き」「本人確認のため」と書かれていても同じです。
見分け方の基本は、届いた連絡の中身で判断しないことです。文面やロゴは簡単にまねできますし、今回は名前や残高、カード番号の一部まで漏れている人がいます。見るべきは「どこから確かめたか」です。
メールやSMSに書かれたリンクからではなく、自分でIDAREのアプリを開くか、ブックマークや検索から公式サイトに行く。そこで同じお知らせが出ていれば本物、出ていなければ相手にしない。この順番を守るだけで、ほとんどの偽物は避けられます。
電話も同じです。IDAREを名乗る電話で何かを聞かれたら、その場では答えずに切り、アプリ内の「お問い合わせ」か公式サイトのお問い合わせフォームから自分で確かめてください。発表で案内されている問い合わせ先は、この2つです。
IDAREの利用者が今日やっておきたいこと
ここまでを踏まえて、IDAREを使っている（使っていた）人がやっておくことを並べます。どれもスマホ1台で、10分もあれば終わる内容です。
- IDAREのアプリを自分で開き、お知らせ欄で今回の発表を確かめる。メールやSMSのリンクからは開かない。
- アプリで残高と取引履歴を見て、身に覚えのない入金・支払いが無いか確かめる。
- IDAREと同じパスワードを、ほかのサービスでも使い回しているなら、そちらを別のものに変える。
- 家族、とくに高齢の親や子どもがIDAREを使っていないか聞いておき、「IDAREを名乗る連絡が来ても、リンクは押さない」と伝える。
- 気になる点があれば、アプリ内の「お問い合わせ」か公式サイトのお問い合わせフォームから聞く。
3つ目について補足します。発表ではログインパスワードは漏れていないとされていて、IDAREのパスワード変更を求める案内は書かれていません。ただ、同じパスワードをあちこちで使っていること自体が、別の漏えいが起きたときの弱点になります。今回をきっかけに見直すのは、損のない使い方です。
取引履歴の確認は、今日1回やって終わりにしないほうがいいと思います。10月13日時点で不正な取引は確認されていない、というのは発表の時点の話で、この先の状況は分かりません。しばらくは、ときどきアプリを開いて残高を見る習慣をつけておくと、何かあったときに早く気づけます。
注意：偽のメールやSMSのリンクを開いて、ログイン画面のようなページにIDやパスワード、認証コードを入力してしまった場合は、そのまま様子を見ないでください。すぐにIDAREのアプリ内の「お問い合わせ」から連絡し、同じパスワードを使っているほかのサービスのパスワードも変えてください。時間がたつほど、相手に使われる余地が増えます。
漏れたのは電話番号とメールアドレスなので、IDAREを名乗るものに限らず、宅配の不在通知や携帯会社を装ったSMSなど、別の名前で届く迷惑な連絡が増える可能性もあります。リンク付きの連絡は、名乗っている相手が誰であっても、公式のアプリやサイトから確かめる。考え方はIDAREのときと同じです。
よくある質問
IDAREのパスワードやカード番号は盗まれたのですか？
Fivotの発表では、ログインパスワード、IDAREカードやクレジットカードの全桁の番号、セキュリティコード、暗証番号は漏えいしていないとされています。漏れたのは電話番号・メールアドレス・生年月日・残高・取引履歴などで、一部の人は氏名や住所、IDAREカード番号の下4桁、入金用クレジットカード番号の先頭6桁と下4桁なども含まれます。
自分がIDAREの情報漏えいの対象かどうかは、どこで分かりますか？
対象は2026年9月27日までにIDAREに登録した人（退会済みを含む）で、Fivotは対象者に漏えいした情報の範囲をメールで個別に案内するとしています。メールのリンクは押さずに、IDAREのアプリや公式サイトのお知らせで同じ内容が出ているかを確かめてください。分からない点はアプリ内の「お問い合わせ」か公式サイトのお問い合わせフォームで聞けます。
IDAREの情報漏えいで、お金の被害は出ていますか？
2026年10月13日の発表時点では、今回の件による不正な取引は確認されていないとされています。ログインには多要素認証が必須で、漏えいした情報だけでは第三者が不正ログインできないとも説明されています。状況は変わりうるので、しばらくはアプリで取引履歴をときどき確かめてください。
まとめ
IDAREの情報漏えいは、2026年9月27日までに登録した12万9659人が対象で、電話番号・メールアドレス・生年月日・残高・取引履歴などが漏れました。ログインパスワードやカードの全桁、セキュリティコード、暗証番号は漏れておらず、発表時点で不正な取引は確認されていません。
利用者にできるのは、届いた連絡のリンクからではなく自分でアプリを開いて確かめること、取引履歴をときどき見ること、使い回しているパスワードを見直すこと、の3つです。偽の連絡に入力してしまった、スマホの様子がおかしいといった場合は、ご来店か出張でお話をうかがいます。
