「IDAREの情報が漏れたらしいけれど、自分も対象？」「もう退会しているけれど関係ある？」「残高やカードは大丈夫？」と気になっている方に向けて、キャッシュレスアプリ「IDARE（イデア）」を運営する株式会社Fivotの公式発表に書かれていることだけを整理しました。内容は、2026年10月13日に公表されたお知らせ「「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」の原文を、2026年10月15日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】IDAREは2026年10月13日、外部ソフトウェアの脆弱性を悪用した不正アクセスで、お客さまの個人情報が外部に漏えいしたことが判明したと公表しました（「可能性」ではなく、漏えいが判明したという発表です）。
- 対象は2026年9月27日までにIDAREに登録した人（退会済みの人を含む）129,659人
- 全員分で電話番号・メールアドレス・生年月日などの登録情報、残高情報・取引履歴、IDAREカードの名義・有効期限。一部の人は氏名・住所・本人確認書類の番号などの本人確認時の申請内容やカード番号の一部も対象
- ログインパスワード、本人確認書類の画像、カード番号の全桁などは漏えいしていないとしています。対象者にはメールで個別に案内
ほかの企業の公表も含めた全体像は、2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）にまとめています。
自分は対象？公式発表でわかること早見表
公式発表が対象者について書いているのは、次の範囲です。退会済みの人も対象に含まれています。
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| 対象のサービス | 株式会社Fivotが運営するキャッシュレスアプリ「IDARE」 |
| 対象者と人数 | 「2026年9月27日までにIDAREに登録されたお客さま（退会済のお客さまを含む）：129,659人」 |
| 退会済みの人 | 対象に含まれる（「退会済のお客さまを含む」と明記） |
| 9月28日以降に登録した人 | 対象は「2026年9月27日までにIDAREに登録されたお客さま」 |
| 何が漏れたか | 「漏えいした情報の範囲はお客さまのご利用の状況により異なるため、詳細は個別にご連絡をいたします」 |
| 対象者への知らせ方 | 「対象となるお客さまに、メールにて個別にご案内いたします」（送信元のメールアドレスは公式発表に記載なし） |
| まだ案内が来ない場合 | 公式発表に記載なし（送り終える時期の記載もなし） |
| 自分が対象かを調べるページ | 公式発表に記載なし（照会ページの案内はない） |
| 問い合わせ先 | アプリ内の「お問い合わせ」、またはWebサイトのお問い合わせフォーム |
お知らせは、IDARE「「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」として、公式サイトのトップページとIDARE「お知らせ・リリース」一覧に掲載されています。
問い合わせは「情報漏えいに関するお問い合わせ」フォームから
公式発表は、本件の照会を「アプリ内の「お問い合わせ」から、またはWebサイトのお問い合わせフォームから」受け付けるとしています。公式発表からリンクされているIDARE ヘルプ「情報漏えいに関するお問い合わせ」フォームには、次のことが書かれています（2026年10月15日確認）。
- 「お問い合わせ者」の選択肢は「IDAREを利用している」「IDAREを退会した」「以前登録したかもしれないが、分からない」「その他」
- 「漏えいした情報の内容はお客さまごとに異なるため、IDAREにご登録のメールアドレス宛てに個別にお知らせしています」
- 「お客さまの個人情報に関するご回答は、IDAREにご登録のメールアドレス宛てにのみお送りします」
- 「身に覚えのない利用については、「身に覚えのない取引」のフォームからお問い合わせください」
- 「お問い合わせ内容には、パスワード、暗証番号、カード番号など、個人情報は入力しないでください」（サポート営業時間は平日10:00〜17:00）
「以前登録したかもしれないが、分からない」という選択肢があるので、登録したかどうか覚えていない人もこのフォームから問い合わせられます。フォームを開くときは、メールやSMSのリンクからではなく、IDAREの公式サイト（https://idare.jp/）のお知らせから順にたどってください。
何が漏れた？公表された項目
公式発表は「お客さまの個人情報が外部に漏えいしたことが判明しました」と書いています。「漏えいの可能性」「漏えいのおそれ」ではなく、漏えいが判明したという表現です。項目は「全ての対象者」と「一部の対象者」に分かれています。
| 区分 | 漏えいした情報（公式の表記） |
|---|---|
| 全ての対象者 | 電話番号、メールアドレス、生年月日、ユーザーID、表示名などのご登録情報／IDAREアカウントの設定情報・ステータス、残高情報、取引履歴／IDAREカードの名義、有効期限 |
| 一部の対象者 | 氏名、住所、性別、利用目的、本人確認書類の番号などの本人確認時の申請内容／IDAREカードのカード番号の一部（下4桁）／入金用にご登録のクレジットカード番号の一部（先頭6桁と下4桁）／入金用にご登録の銀行口座番号の一部（下3桁）／リアルカードのアクティベーションコード／その他任意サービスのご利用に必要となる属性情報 |
一部の対象者の項目には、それぞれ注記がついています。主なものは次のとおりです。
- 本人確認時の申請内容：「マイナンバーや本人確認資料の画像情報の流出はありません」
- IDAREカードの番号（下4桁）：「IDAREカード番号の全桁、セキュリティコード、暗証番号は当社として保持しておりません」
- 入金用クレジットカード（先頭6桁と下4桁）：「クレジットカード番号の全桁、有効期限、セキュリティコード、暗証番号は当社として保持しておりません」
- 入金用銀行口座（下3桁）：「口座番号の全桁、口座の暗証番号は当社として保持しておりません」
- アクティベーションコード：「アクティベーションコードは第三者のアカウントからは利用できません」
- 属性情報：2021年10月までに登録した人のうち、貸付サービス「LADDER」（2021年10月サービス終了）を利用する目的で属性情報（年収、勤務先情報等）を入力した人に限られる
漏えいしていないとされている情報
公式発表は、次の情報について「今回不正アクセスを受けたシステムからは参照できない仕組みで管理しているか、または当社として情報を保持していないため、第三者による取得の可能性はございません」としています。
- 本人確認資料の画像情報および本人容貌の画像情報
- ログインパスワード
- IDAREカードの番号（全桁）、セキュリティコード、暗証番号（PIN）
- 登録したクレジットカードの番号（全桁）、セキュリティコード、有効期限、暗証番号（PIN）
- 登録した銀行口座番号（全桁）、暗証番号（PIN）
また、公式発表は「現時点で本件に起因する不正な取引は確認されておりません」「お客さまの残高は安全に保全されており、IDAREのサービスは通常どおりご利用いただけます」としています。ログインについては「ログインにはご登録の方法による多要素認証を必須としておりますので、漏えいした情報のみで第三者がお客さまのアカウントへ不正にログインすることはできません」と説明しています。
漏れた項目ごとに気をつけたい連絡
公式発表は「今後、お客さま宛てに、当社やIDAREを装った不審なメール、SMSが送られる可能性や、電話が掛かってくる可能性があります」と案内しています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。
| 漏えいした項目 | 考えられる連絡 | 注意すること |
|---|---|---|
| メールアドレス | IDAREを装った不審なメール（公式） | 身に覚えのない連絡のリンクや添付ファイルは開かず、個人情報を入力しない（公式） |
| 電話番号 | IDAREを装った不審なSMS・電話（公式） | 心当たりのない番号には出ない・折り返さない。SMSのリンクは開かない |
| 生年月日・氏名・住所・表示名 | 名前や生年月日を書いて本物らしく見せる連絡 | 情報が合っていても、本物とは限らないと考える |
| 残高情報・取引履歴 | 残高や利用内容に触れて信用させようとする連絡 | 残高や取引の確認はアプリを直接開いて行う |
| カード名義・有効期限・番号の一部 | カード番号の一部を示して「カードの確認」を求める連絡 | IDAREはパスワード・暗証番号・セキュリティコード・認証コードをメール・SMS・電話で聞かない（公式） |
| 本人確認書類の番号など（一部の人） | 本人確認書類の番号を示して手続きを求める連絡 | 次の項目「本人確認書類の番号が含まれていた場合」を参照 |
メール・SMS：IDAREが聞かないこと
公式発表は「当社がお客さまに対して、メールやSMS、電話といった手段で、パスワード、暗証番号、セキュリティコード、多要素認証の認証コード等をお伺いすることはありません」と明記しています。これらを聞かれたら、IDAREを名乗っていても応じないでください。警察庁も「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。
電話番号：不審なSMS・電話に注意
電話番号は全ての対象者で漏えいした項目に入っています。SMSで届く見慣れない番号の見分け方は8180・8190・8170の電話やSMSは何？、番号の桁数から国内・海外を見分ける方法は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。信用情報機関を名乗る自動音声の例は日本信用情報機構から電話は詐欺？で、公式の注意喚起をもとに整理しています。
うっかり出てしまった・折り返してしまった場合の対処は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。
本人確認書類の番号が含まれていた場合
一部の対象者は「氏名、住所、性別、利用目的、本人確認書類の番号などの本人確認時の申請内容」が漏えいした項目に入っています。どの本人確認書類の番号か、自分が該当するかは、公式発表では「詳細は個別にご連絡をいたします」とされています。本人確認資料の画像とマイナンバーは流出していないとしています。
本人確認書類の番号が使われたと思われる心当たりのない連絡や契約に気づいたときの相談先として、公的機関は次の窓口を案内しています。
- 国民生活センターは、個人情報を聞き出す不審な電話について「個人情報は絶対に伝えないでください」とし、「不安なときは、お住まいの自治体の消費生活センターや最寄りの警察等にご相談ください（消費者ホットライン188、警察相談専用電話「＃9110」番）」と案内しています（国民生活センター「個人情報を聞き出す不審な電話に注意」）
- 消費者庁は「困ったときは、一人で悩まずに、「消費者ホットライン」188にご相談ください」としています（消費者庁「消費者ホットライン」）
- ネット上の被害は、警察庁の「サイバー事案に関する相談窓口」から、お住まいの都道府県警察に相談できます
このほか一般的な注意として、本人確認書類の番号や生年月日を言い当てられても、それだけで相手を本物の事業者や公的機関と判断しないこと、身に覚えのない契約・請求の通知が届いたら、通知に書かれた連絡先ではなく、その事業者の公式サイトで調べた窓口に確かめることが挙げられます。
今やること（公式の案内と一般的な対策）
公式が案内していること（順番に）
IDAREの公式発表「当社の対応」「お客さまへのお願い」「本件に関するお問い合わせ窓口」から、利用者がすることを順に並べると次のとおりです。
- 個別の案内メールを確認する：「対象となるお客さまに、メールにて個別にご案内いたしますので、併せてご確認頂きますようお願い申し上げます」。漏えいした情報の範囲は人によって違い、詳細はこのメールで知らされる
- 不審な連絡のリンク・添付ファイルを開かない：「身に覚えのない連絡に記載されたリンクや添付ファイルは開かず、個人情報を入力しないようご注意ください」
- わからないことは問い合わせる：「本件に関するご照会はアプリ内の「お問い合わせ」から、またはWebサイトのお問い合わせフォームからお願いいたします」。身に覚えのない利用は「身に覚えのない取引」のフォームから（お問い合わせフォームの案内）
なお、2026年10月15日に確認した時点の公式発表では、ログインパスワードは漏えいしていないとされ、パスワードの変更を求める案内は書かれていません。サービスも「通常どおりご利用いただけます」としています。
一般的な対策（公式の案内ではないもの）
以下は本件の公式発表の案内ではなく、電話番号やメールアドレス、カード番号の一部が漏れた場合に一般的に取られる対策です。IDAREのヘルプにある手順を参考として挙げています。
- 残高と取引履歴をアプリで確かめる：メールやSMSのリンクではなく、IDAREアプリを直接開いて、身に覚えのない取引がないかを見る
- 入金用のクレジットカードの利用明細を確認する：カード会社の公式アプリや会員サイトで確認し、身に覚えのない請求があればカードの裏面に書かれた番号でカード会社に連絡する（カード会社を名乗る電話の確かめ方の例はライフカードから電話が来るのはなぜ？）
- 気になる人はカード番号を変える：IDAREのヘルプ「カード番号を変更したい／バーチャルカードを再発行したい」には、アプリの「カード」→「カード番号の変更」→「変更する」で別番号のバーチャルカードを発行できる（手数料なし・残高は引き継がれる）と書かれています。公式発表はカード番号の全桁を保持していないとしており、変更を求めてはいません
- ログインの認証方法を見直す：IDAREのヘルプ「アプリ認証の設定手順」には、アプリの「設定」→「ログイン方法を変更」→「アプリ認証」で認証アプリを使う設定が案内されています
- 「補償」「お詫び」を名乗る連絡に応じない：本件の公式発表には補償の案内はありません（次の章を参照）
ほかのサービスでパスワードを使い回している場合の考え方は、パスワード流出の真相と安全対策でも解説しています（本件ではIDAREのログインパスワードは漏えいしていないとされています）。
補償・お詫びはある？
公式発表には「お客さまにおかれましては、多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます」というお詫びの文言があります。一方で、本件についての補償・お詫びのポイントなどの記載はありません（2026年10月15日確認）。
なお、IDAREのヘルプには、本件とは別に以前から設けられている「IDARE不正利用に対する補償制度について」があります。不正利用が起きたときの申請方法として「不正利用が発生したら最初にアプリからカードロックをお願いします」「アプリ内のお問い合わせより「身に覚えのない取引」を選択してください」と書かれ、補償の対象は「損害発生日から30日以内に、当社および警察署に申告したものに限ります」とされています。本件の公式発表がこの制度に触れているわけではないため、実際に身に覚えのない取引があった場合の扱いは、問い合わせで確かめてください。
「お詫びのポイントを受け取るにはログインが必要」「補償の手続きにカード番号や認証コードが必要」といった連絡が届いても、本文のリンクから情報を入力しないでください。個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。
経緯・原因と公表の履歴
公式発表は、原因について「当社がカスタマーサポート等の業務のために導入していた外部ソフトウェアの脆弱性を悪用した不正なアクセスを受け、8月10日から9月27日にかけて、複数回にわたり当社データベースの情報が第三者に取得されました」と書いています。外部ソフトウェアの名称や、脆弱性の内容は公式発表に記載がありません。
判明後の対応として、公式発表に挙げられているのは次のとおりです。
- 不正アクセス経路の遮断、当該ソフトウェアの利用終了、関連する認証情報の更新（完了）。「現在まで新たな不正アクセスは確認されておりません」
- 法令に基づく報告、再発防止策の策定、弁護士を含む第三者による調査等
- 対象となるお客さまへのメールでの個別の案内
再発防止策としては、「ソフトウェアの脆弱性情報を継続的に監視する体制の整備」「アクセスログの監視・アラート体制の整備」「外部専門家による第三者調査の受け入れ」「情報管理体制の強化」の4つを挙げています。また「今後、本件に関して新たな情報が判明した場合には、当社Webサイトにて速やかにご報告させていただきます」としています。
| 日付 | 公表・出来事 |
|---|---|
| 2026年8月10日〜9月27日 | 外部ソフトウェアの脆弱性を悪用した不正なアクセスを受け、複数回にわたりデータベースの情報が第三者に取得された（公式発表による） |
| 2026年9月27日 | この日までにIDAREに登録した人（退会済みを含む）が対象 |
| 2026年10月13日 | IDAREが「「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」を公表（129,659人） |
2026年10月15日に確認した時点で、IDAREの「お知らせ・リリース」一覧に続報（第2報）は掲載されておらず、10月13日のお知らせにも更新の記載はありません。運営会社である株式会社Fivotのコーポレートサイトのニュース一覧には、本件のお知らせは掲載されていません。
ほかの事案（同じ時期に公表された情報漏えい）
アプリの会員情報が対象になった事案はローソンIDの不正アクセス（漏れた項目と今やること）、金融関連の事業者の事案はオリックス生命の情報漏えい（漏れた項目と今やること）でも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。
よくある質問
IDAREを退会済みですが、対象になりますか？
A. 公式発表では、対象者は「2026年9月27日までにIDAREに登録されたお客さま（退会済のお客さまを含む）」とされています。退会済みでも、9月27日までに登録していれば対象に含まれます。問い合わせフォームには「IDAREを退会した」「以前登録したかもしれないが、分からない」という選択肢があります。
自分のどの情報が漏れたかは、どうすればわかりますか？
A. 公式発表では、漏えいした情報の範囲は利用状況によって異なるため、詳細は対象者にメールで個別に連絡するとしています。照会ページの案内はありません。お問い合わせフォームには、個人情報に関する回答はIDAREに登録したメールアドレス宛てにのみ送ると書かれています。
IDAREのパスワードを変える必要はありますか？
A. 公式発表では、ログインパスワードは漏えいしておらず、ログインには多要素認証が必須のため、漏えいした情報だけで第三者が不正にログインすることはできないとしています。パスワードの変更を求める案内はありません（2026年10月15日確認）。
残高やカードはそのまま使えますか？
A. 公式発表では、残高は安全に保全されており、IDAREのサービスは通常どおり利用できるとしています。現時点で本件に起因する不正な取引は確認されていないとしています。カード番号の全桁・セキュリティコード・暗証番号は保持していないとしています。
本人確認書類の画像やマイナンバーも漏れたのですか？
A. 公式発表では、マイナンバーや本人確認資料の画像情報の流出はないとしています。一方で、一部の対象者は本人確認書類の番号などの本人確認時の申請内容が漏えいした項目に入っています。自分が該当するかは、個別に届くメールで確認してください。
まとめ
- IDARE（運営：株式会社Fivot）は2026年10月13日、外部ソフトウェアの脆弱性を悪用した不正なアクセスで、お客さまの個人情報が外部に漏えいしたことが判明したと公表した
- 対象は2026年9月27日までに登録した人（退会済みを含む）129,659人。全員分で電話番号・メールアドレス・生年月日などの登録情報、残高情報・取引履歴、カードの名義・有効期限。一部の人は本人確認書類の番号などの申請内容やカード番号の一部も
- ログインパスワード、本人確認資料の画像、マイナンバー、カード番号の全桁などは漏えいしていないとし、不正な取引は確認されていない。サービスは通常どおり利用できる
- 対象者にはメールで個別に案内。IDAREはパスワード・暗証番号・セキュリティコード・認証コードをメール・SMS・電話で聞かない。不明点はアプリ内の「お問い合わせ」かWebのお問い合わせフォームへ
- 本件の補償の記載はない。身に覚えのない取引は「身に覚えのない取引」のフォームから問い合わせる
この記事は、2026年10月13日の公式発表までの情報（2026年10月15日確認）で書いています。続報で内容が変わる可能性があるため、続報が出た場合はIDAREの公式のお知らせを優先してください。
出典
- IDARE「「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年10月13日・2026年10月15日確認）
- IDARE「お知らせ・リリース」一覧（続報の有無を2026年10月15日に確認）
- IDARE ヘルプ「情報漏えいに関するお問い合わせ」フォーム（2026年10月15日確認）
- IDARE ヘルプ「IDARE不正利用に対する補償制度について」（本件とは別の常設ページ・2026年10月15日確認）
- 国民生活センター「個人情報を聞き出す不審な電話に注意」（2025年3月27日公表）
- 警察庁「フィッシング対策」
コメント