「CROSS POINT（クロスポイント）」を利用している会社や店舗で、ポイント・会員情報の連携に問題が起きていないでしょうか。株式会社アイルは2026年11月10日、導入企業1社の会員情報が、外部に流出した正規API認証キーを使って第三者に不正取得されたと発表しました。
今回の原因として確認されているのは正規のAPIキーの悪用です。アイルは、同社データベースへの直接侵入・改ざんや、プログラムの脆弱性に起因したものではないと説明しています。ただし、APIキーがどこから流出したのかは未公表です。
アイルは11月9日22時15分までに、全導入企業のAPIアクセスキーを無効化・再発行しました。導入企業や外部システムの運用担当者は、新しいキーへの切り替え状況と会員・ポイントの同期結果を確認してください。会員の方は対象企業名が未公表のため、利用店舗からの正規の案内を確認する必要があります。確認日：2026年11月11日（日本時間）。
CROSS POINTで何が起きた？情報漏えいの対象と現状
| 項目 | 公式発表で確認できる事実 |
|---|---|
| サービス | CROSS POINT（実店舗とECの会員・ポイント一元管理ASP） |
| 不正アクセス検知 | 2026年11月7日未明 |
| 確認された被害 | 導入企業1社の一部会員情報をAPI経由で第三者が不正取得 |
| 悪用されたもの | 当該企業専用の正規API認証キー |
| 全導入企業への対策 | 11月9日22時15分までにAPIキーを無効化・再発行 |
| 他の導入企業 | 11月10日付の発表時点では情報漏えいの痕跡なし |
| 未公表 | 被害企業名、対象人数、キー流出経路、不正取得が始まった日時 |
重要なのは、全企業でAPIキーが交換されたことと、全企業の情報が漏えいしたことは別という点です。不正取得が確認されたのは1社で、全社へのキー交換は同様の手口による被害を防ぐための措置です。
導入企業・情シス担当者が今すぐ確認する5つのこと
アイルの発表には全社のキー再発行が明記されていますが、各社のPOS・EC・独自アプリで自動的に設定が反映されたか、連携障害が発生したかは説明されていません。以下は公式の個別指示ではなく、API連携を運用する担当者向けの実務チェックです。
1．新しいAPIキーがすべての連携先に反映されているか
まずCROSS POINTに接続するシステムを洗い出します。対象候補はPOS、ECカート、独自アプリ、会員データ連携バッチ、受託開発会社が管理するサーバーなどです。自社で利用しているものだけを確認してください。
- 運用台帳・契約書・連携図から、CROSS POINTのAPIを利用するシステムと委託先を一覧化する。
- アイルまたは正規の連携事業者の案内に従い、再発行されたキーの受け渡し・反映状況を確認する。キーの実値をメールやチケットに貼り付けない。
- 設定先、変更担当、変更時刻、検証結果を記録する。設定場所が分からない場合は、管理会社に照会する。
- 全接続先の処理を点検し、旧キーへの依存が残っていないか確認する。
製品固有の「APIキーを発行するボタン」「管理画面上の設定名」は公開資料で確認できなかったため、ここでは示していません。利用企業の契約や連携方式により手順は異なります。
2．認証エラー・連携ジョブの停止がないか
11月9日22時15分前後から、連携システムの実行ログ、監視通知、ジョブ履歴、API応答を確認します。一般的なHTTP APIでは401（認証失敗）や403（アクセス拒否）が手掛かりになる場合がありますが、CROSS POINTが必ずその番号を返すと確認したわけではありません。ベンダーの仕様とエラー文言を照合してください。
エラーが見つかったら無条件に再送を繰り返さず、キーの有効性、対象環境、設定反映、時刻差、通信元制限の有無などを切り分けます。ログを共有する際はAPIキー・会員情報を伏せてください。
3．会員登録・ポイント付与・利用の同期に抜けや重複がないか
認証が成功しても、停止中に処理されなかった情報が自動復旧するとは限りません。代表的な取引を用いて、会員登録、会員情報更新、ポイント付与、ポイント利用、残高照会のうち実際に利用する機能を確認します。再送前に連携仕様と冪等性（同じ処理を繰り返しても二重登録・二重付与されない仕組み）を確認してください。
「連携エラーが消えた」だけで完了にせず、処理待ち件数、未反映件数、店舗とECの残高不一致、二重付与がないかを照合することが重要です。
4．APIキーの保管先と閲覧できる人を確認する
APIキーの実値を知る必要がない人には見せない運用が基本です。アプリのソースコード、公開リポジトリ、設定ファイル、環境変数、CI/CDログ、バックアップ、共有ドライブ、チャット履歴など、コピーが残りやすい場所を点検します。環境変数も、権限・ログ・バックアップの管理が不十分なら安全とは限りません。
可能なら専用のシークレット管理基盤で保管し、管理者権限を限定します。秘密情報が見つかった場合は、記録保全と流出可能性の評価を行い、必要に応じて追加の無効化・再発行をベンダーへ相談してください。
5．API権限・取得量・ログ監視を見直す
会員情報を「読む」だけの連携に更新・削除権限が不要か、連携ごとに異なる資格情報を使えるか、接続元IP制限や取得件数上限・異常な大量取得の通知を設定できるかを確認します。ただし、これらの機能がCROSS POINTで提供されると断定するものではありません。利用可否はアイルや連携事業者に確認してください。
普段のAPI呼び出し頻度・データ取得件数・接続元と比べた異常を監視し、ログにはキーや会員情報を必要以上に記録しないようにします。
正規APIキーの悪用とは？脆弱性がなくても情報を取得できる理由
APIは、異なるシステム同士がデータや機能をやり取りする窓口です。API認証キーは、その窓口を利用するシステムの認証情報として機能します。有効なキーを第三者が入手すると、サーバー側が正規の連携と区別しづらくなる場合があります。
今回、アイルが確認したのは「流出した正規キーが会員情報取得APIで悪用された」という事実です。キーがどこに保管され、誰の操作で流出したかは分かっていません。一般論として、ソースコードへの埋め込み、公開設定ファイル、委託先環境、誤共有、ログへの出力などが漏えい経路となり得ますが、本件の原因と断定してはいけません。
APIの安全性を高めるには認証だけでなく、認可（アクセス可能な機能・データの制限）や異常検知も必要です。OWASPのAPI Security Top 10には、認証、オブジェクト単位の権限管理、応答データの項目単位の制限などが挙げられています。これは一般的な設計指針であり、本件に別の脆弱性が確認されたという意味ではありません。
不正取得された会員情報は？カード番号・パスワードは対象外
| 分類 | アイルが示した対象項目 |
|---|---|
| 基本情報 | 氏名、生年月日、性別、郵便番号、住所 |
| 連絡先 | 電話番号、携帯電話番号、メールアドレス（携帯メールを含む） |
| 会員・ポイント | 会員番号、会員ランク、保有ポイント、リアル店舗カード番号、ネットショップ会員ID |
| 購買統計 | 累計購入金額、購入回数、初回購入日、最終購入日など |
| 対象外 | クレジットカード情報、ログインパスワード（CROSS POINT内で保持していないと説明） |
これは公表された情報項目の一覧であり、すべての対象会員について全項目が取得されたと確認されたわけではありません。また、ポイントの不正利用、決済情報の流出、パスワードの盗用が今回の事故で発生したとの発表はありません。
自分は漏えい対象？CROSS POINT利用会員ができる確認と対策
対象となった導入企業名や対象人数は公表されていません。CROSS POINTを導入している店舗を使った経験だけでは、今回の漏えい対象かどうか判断できません。現時点では一般会員が会員番号を入力して照会できる公式の確認ページも公表資料から確認できません。
- 利用した店舗・ECサイトの公式サイトや公式アプリのお知らせを確認する。不審なメール内のリンクからは進まない。
- 会員・ポイントの利用履歴で身に覚えのない変動がないか確認する。見つかった場合は店舗の正規窓口に問い合わせる。
- 「ポイント失効」「会員情報の再確認」「補償手続き」などを口実とするメール・SMS・電話で、パスワードや認証コードを渡さない。
- 対象通知を受けた場合は、取得された情報の項目、問い合わせ先、追加調査の予定を確認する。
今回の発表だけを理由として、すべての会員にクレジットカード停止やパスワード一斉変更を求める根拠はありません。ただし、不審なページにパスワードやカード番号を自分で入力してしまった場合は別件の被害を防ぐため、正規サイトから変更し、カード会社へ相談してください。
11月7日から11月10日までの経緯
| 日時 | アイルの公表内容 |
|---|---|
| 11月7日未明 | 外部からの不正アクセスを検知。調査により会員情報取得API経由の不正取得を確認。 |
| 判明後 | 当該企業専用のAPIキーを無効化・再発行し、不正アクセス元を遮断。アクセスログ調査と監視を強化。 |
| 11月9日22時15分 | 全導入企業のAPIキー無効化・再発行を完了。不正検知システムを強化。 |
| 11月10日 | アイルが事故と対策を公表。原因究明と影響範囲の調査は継続。 |
11月7日は「検知日」であり、キーの流出日や不正な取得の開始日ではありません。アイルはキー交換などの対策完了を説明する一方、流出経路と被害範囲の調査を続けています。
再発防止の基本｜APIキー管理を属人化させない
アイルが公表した再発防止策は、認証情報管理の強化、定期的なローテーション、APIアクセス権限の最小化です。導入企業側でも、OWASPのSecrets Managementガイドを参考に、次の運用を検討できます。
- 台帳を作る：キーごとの所有者、用途、連携先、保管場所、権限、更新日、緊急連絡先を管理する。キーの実値は台帳に書かない。
- 受け渡しを限定する：開発・運用の委託先にも必要な範囲だけアクセスを認める。退職・契約終了時に権限を見直す。
- ローテーションを手順化する：新旧切替、接続先確認、動作検証、旧キー失効、障害時の連絡まで計画する。侵害疑いがあるキーは定期更新を待たずに無効化を優先する。
- ログを残す：誰がキーを発行・閲覧・変更したか、どのシステムが利用したかを追跡できるようにする。ログそのものにキーを残さない。
- データ取得を絞る：必要なAPI・データ項目・件数だけを扱い、大量取得を検知できる設計か確認する。
関連記事：ラフールサーベイでのアクセスキー管理問題と情報漏えい。こちらは旧環境内のキーの扱いが具体的に公表された別事故であり、CROSS POINTと同一の侵入経路という意味ではありません。
よくある質問（FAQ）
CROSS POINTを導入している企業は全社で漏えいしましたか？
いいえ。11月10日の公表で不正取得が確認されたのは導入企業1社です。他の導入企業ではその時点で漏えいの痕跡は確認されていません。全社のキー交換は予防措置です。
APIキーを交換すれば、POSやECとの連携は自動で直りますか？
自動で反映されるかは連携方式・ベンダーの設定によります。公式発表だけでは確認できません。キーの切替状況、エラー、データ同期、未処理処理を個別に点検してください。
CROSS POINTの管理画面でAPIキーをどこから確認・変更できますか？
公開されている公式資料から、全導入企業に共通する具体的な画面名・操作手順は確認できませんでした。契約先のアイルまたはPOS・EC連携を構築した正規事業者へ確認してください。
今回の原因はソフトウェアの脆弱性ですか？
アイルはプログラムの脆弱性や社内データベースへの直接侵入・改ざんに起因する事案ではないと説明しています。正規キーの悪用は確認されていますが、キーの流出元や具体的経路は未公表です。
会員はログインパスワードを変更する必要がありますか？
CROSS POINT内にログインパスワードとクレジットカード情報を保持していないため、今回の流出対象外と説明されています。今回の公表のみを理由に一律変更が必要とは確認されていません。不審なサイトで入力した場合は別途対処してください。
まとめ｜APIキーを変えた後の「業務の正常性確認」までが対策
CROSS POINTの不正アクセスでは、導入企業1社専用の正規APIキーが悪用され、会員情報が不正取得されました。全導入企業のキーは11月9日22時15分までに無効化・再発行されています。導入企業は新キーの反映、認証エラー、データ同期、未処理データ、キー保管・権限を確認することが実務上のポイントです。
被害企業名と人数、キーの流出経路は未公表です。追加情報が発表されるまでは、原因の推測や「全利用者が漏えいした」といった誤認を避けましょう。
一次情報・技術資料・更新履歴
- 株式会社アイル「CROSS POINTへの不正アクセスに関するお詫びと、緊急メンテナンスによるセキュリティ強化について」（2026年11月10日）
- 株式会社アイル「CROSS POINT」製品紹介（POS・EC連携の説明）
- OWASP Secrets Management Cheat Sheet（APIキーの保管・更新・失効・監視に関する一般的な技術指針）
- OWASP API Security Top 10 – 2023（API認証・認可の一般的なリスク）
記事作成・一次情報確認：2026年11月11日（日本時間）。当記事のチェックリストと図解は、公式発表と一般的なAPI運用指針を分けて整理したもので、CROSS POINTの実機操作を検証したものではありません。
