ギフティの不正発行5.5億円はなぜ顧客資産に影響がなくても会社の特別損失になるのか、報道から読む

2026年10月26日、ギフティグループが子会社ギフティへの不正アクセスを適時開示した。第三者により約5億5000万円分のeギフトが不正に発行された。顧客の資産に影響がないのに損失が出る点が論点になっている。

顧客の持ち物は減っていないのに、なぜ会社に5億5000万円もの損失が出るのだろうか。

要点ボックス

• 2026年10月25日に不正アクセスがあり、約5億5000万円分のeギフトが不正に発行された
• 損失見込みは約5億5000万円で、2026年10〜12月期に特別損失として計上する予定である
• 顧客が持つeギフトの資産は減っておらず、個人情報の漏えいも現時点で確認されていない
• 時事通信は不正発行額を「最大」と報じ、使われた分は取り消しを目指すと伝えた

報じられた5.5億円の中身

発表の骨子は、各社の報道でそろっている。ギフティグループは、連結子会社ギフティの一部システムの脆弱性を突いた第三者による不正アクセスがあったと説明した。日本経済新聞は、不正アクセスが10月25日に発生したと伝えている。共同通信によると、同社は25日のうちにシステムを止めて不正発行を食い止めた。

不正に発行されたのは約5億5000万円分のeギフトである。会社はこの金額を損失として見込み、2026年10〜12月期に特別損失として計上する。顧客が持つeギフトの資産の減少や、個人情報の漏えいは、現時点で確認されていない。

なお、共同通信は、今回の件はプログラミング言語PHPの脆弱性とは関係がないという会社の説明も伝えている。

ここまでは出来事の整理である。では、なぜ顧客に被害がないのに会社が損失を負うのか。次の節で、この構図を読み解く。

なぜ顧客ではなく会社が損失を負うのか

答えの出発点は、被害の種類である。時事通信は、不正発行されたギフト券を新たに発行されたものと伝えている。顧客がすでに持っていたeギフトを盗まれたり、使われたりしたわけではない。だから顧客の資産は減っていない。

一方で、不正に作られたeギフトは、見た目には正規のものと同じ価値を持つ券である。攻撃者はシステムの発行機能を悪用して、価値のある券を無から作り出したことになる。発行の権限を持つのは顧客ではなく、システムを運営するギフティ側である。

報道は損失の会計上の中身までは説明していない。ただ、損失見込みが不正発行額の約5億5000万円とほぼ重なることから、新たに作られた券の額面分を、発行側の会社が負担する構図だと読める。これは筆者の読みであり、会社の開示本文で確認した内容ではない。

つまり「顧客の資産が減る被害」と「会社に損失が出る被害」は別物である。今回は後者にあたる。

5.5億円は確定額なのか

時事通信は、不正発行額を「最大約5億5000万円分」と伝えている。見出しの「最大」は、この額が上限の見積もりであることを示す。

同じ記事によると、広報担当者は、不正発行されたeギフトが使われていないかを調べると述べた。可能であれば取り消しなどの措置を取る方針である。使われる前に止められた券があれば、実際の損失は小さくなる余地がある。

特別損失は、通常の事業活動とは別に生じた臨時の損失を計上する区分である。会社は「見込み」として発表しており、確定額は後の決算や続報で示される。

顧客への影響はどこまでか

顧客への影響について、会社は二つの点を説明している。一つは、顧客が持つeギフトの被害が確認されていないこと。もう一つは、個人情報の漏えいが確認されていないことである。

ただし影響がゼロだったわけではない。時事通信によると、一部のeギフト交換サービスに問題が生じ、現在は順次解消している。システムを止めた影響が利用者の体験に出た形である。

会員情報が大規模に流出した事案とは、守るべきものが違う。たとえばバーガーキングの会員情報漏えいでは、1118万件もの個人情報が焦点になり、偽メールへの警戒が必要になった。今回は個人情報ではなく、発行機能そのものが狙われた事案である。

不正発行はどう止められたか

発覚から対応までの流れは短い。報道によると、不正アクセスは10月25日に起き、同日中に該当システムを停止して不正発行を遮断した。会社は警察への相談などを進めている。

発行の遮断が早ければ、それだけ不正に作られる券の量は限られる。損失の上限は、止めるまでに発行された量で決まる。

原因とされる脆弱性の具体的な内容は、報道では明らかにされていない。再発防止の内容も同様で、会社の続報で示される部分である。

よくある疑問

Q. 不正発行されたeギフトは使われたのか？

報道では、使われたかどうかは明らかになっていない。広報担当者は、不正発行分が使われていないかを調べ、可能なら取り消しなどの措置を取ると説明している。結果は今後の発表を待つ形になる。

Q. 自分が持っているeギフトは無効になるのか？

会社は、顧客が持つeギフトが使われた被害や、資産の減少は確認されていないと説明している。不正発行されたのは新規のeギフトである。ただし一部の交換サービスで問題が出て、順次解消に向かっている。

Q. 個人情報は漏れたのか？

現時点で、個人情報の漏えいは確認されていないと報じられている。この点は、会員情報が大量に流出した事案とは性質が異なる。パスワードの変更などが急ぎで必要になる状況とは報じられていない。

Q. 特別損失とは何か？

企業が通常の事業活動とは別に、臨時的に生じた損失として計上する項目である。今回は、不正発行分の損失見込みを2026年10〜12月期に特別損失として計上する予定だと発表された。

Q. 損失はもっと増えるのか？

時事通信は、不正発行額を「最大約5億5000万円分」と報じた。この額は上限の見積もりで、取り消せる分があれば損失は小さくなる余地がある。確定額は会社の続報で示される。

損失の主は顧客ではなく発行側である

今回の核心は、被害の宛先である。不正アクセスは顧客の持つeギフトを奪ったのではなく、発行機能を悪用して新しい券を作った。だから顧客資産は減らず、発行側のギフティグループに約5億5000万円の損失見込みが生じる。

確定額は、不正発行分が使われたか、取り消せたかで変わる。損失の上限が「最大約5億5000万円」と報じられた点を踏まえ、続報で示される数字を確認したい。