企業のウェブサイトやスマートフォンアプリで利用者の行動を解析し、表示や配信を出し分けるサービス「KARTE（カルテ）」を提供するプレイド（東証グロース）は11月13日、KARTEに対する第三者からの不正アクセスを検知し、緊急メンテナンスとしてサービス全体を停止したと発表した。対象はKARTEを利用する全てのプロジェクトで、同日夜には外部に漏えいした可能性のある情報を確認し、該当する顧客にメールで連絡した。漏えいの可能性がある情報の中身と件数、サービス再開の時期は、15日未明の時点で公表していない。

計測・配信・管理画面まで、全ての機能を停止

プレイドが東京証券取引所に適時開示した文書と自社サイトの「ご報告」によると、不正アクセスを検知したのは13日。停止するのは「Web・アプリの計測および各種配信、管理画面の操作など含め、全てのKARTE機能」で、一度に止まるのではなく順次停止していく形をとった。

KARTEは、導入企業が自社のサイトやアプリに組み込んで使う。閲覧の記録を集める計測、利用者ごとの画面表示や案内の配信、メールやプッシュ通知の送信などを担うため、停止は導入企業のサイトやアプリでの計測と配信にも及ぶ。

KARTEの状況を知らせる専用ページ（ステータスページ）は13日午後2時44分に最初の告知を出し、停止中の処理への影響を挙げた。一括メール配信サービス「KARTE Message」は配信処理の途中で止まる場合があり、データ連携サービス「KARTE Datahub」でKARTEの内外とデータをやり取りしている処理は失敗する場合があるという。同ページでは、イベントトラッキング（計測）、管理画面、解析、接客の配信、チャット、KARTE Blocks、KARTE Datahub、KARTE Message、KARTE for Appなど14の項目が全て「重大な停止」の表示になっている。導入企業の側では、KARTEで出し分けていた画面表示や案内、予約していたメール配信が止まった状態が続いている。

13日夜、漏えいの可能性がある情報を顧客に連絡

ステータスページの更新を時刻順に並べると、次のようになる。

日時 ステータスページの告知
11月13日 14時44分 不正アクセスを検知し、KARTE全体のサービスを停止すると告知。終了時期は未定
11月13日 23時35分 外部に漏えいした可能性のある情報を確認し、該当の顧客にメールで連絡したと報告
11月14日 18時03分 影響があった範囲を引き続き調査中。再開の見込みは未定
11月14日 21時05分 大きな続報は無く、再開の見込みは未定。次の更新は15日午前11時ごろの予定
KARTEのステータスページに載った告知（日本時間）出典: KARTE Status（株式会社プレイド）

13日夜の報告は、漏えいした可能性のある情報を「確認」したとするだけで、どの種類の情報か、導入企業の何社に関わるのか、導入企業のサイトやアプリを使う一般の利用者の情報が含まれるのかは書いていない。不正アクセスの経路や手口も公表していない。プレイドは適時開示で「新たに公表すべき事実が判明した場合には速やかにお知らせいたします」としている。ステータスページは今後も定期的に進捗を更新するとしており、サービスの再開時期、漏えいの可能性がある情報の中身と範囲、業績への影響が、次の発表で明らかになるかが焦点になる。

解析MAUは12億人超、ARR1,000万円以上の顧客は261社

KARTEは2015年に提供が始まった。11月12日に公表した決算短信によると、2025年10月から2026年9月までの12カ月間の連結売上高は164億743万円で、前の期から22.5％増えた。営業利益は12億4685万円。事業は「SaaS事業」の単一セグメントで、KARTEを中心とするサービスの提供が収益の柱になっている。同社は決算期を9月から12月に変えたため、2026年12月期は2025年10月から2026年12月までの15カ月の変則決算になる。

決算説明資料によると、KARTEが導入された全サイト・アプリで1カ月の間に1回でも利用や活動があった利用者の数（解析MAU）は、2026年9月に12億人を超えた。年間の継続課金額（ARR）が1,000万円以上の顧客は9月末で261社と、6月末から7社増えた。

不正アクセスの発表は、この決算発表の翌日だった。適時開示では、2026年12月期の業績に与える影響は「現在精査中」とし、開示すべき事項が生じれば速やかに伝えるとしている。

データを預けた企業と個人情報保護委の報告制度

KARTEのように企業が外部のクラウドサービスへ顧客データを預けている場合、漏えいの影響は預けた側の企業と、その企業のサービスを使う利用者に及ぶ。物流代行の不正アクセスで委託元の通販各社が相次いで開示した例は、物流代行のオープンロジに不正アクセス、届け先の氏名・住所が流出　7カ月分の出荷データで伝えた。個人情報保護委員会は安全管理の手法の例示を見直す作業も進めており、内容は個人情報保護委、安全管理の「手法の例示」に多要素認証など追加へ　意見募集を開始で伝えた。

個人情報保護委員会によると、事業者は、個人データの漏えい（そのおそれを含む）が次のいずれかに当たる場合、委員会への報告が義務付けられている。要配慮個人情報が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合の4つだ。発覚したらまず速やかに報告し、不正な目的で行われたおそれがある場合の報告は発覚日から60日以内が期限になる。委員会は、クラウド事業者が委託元の事業者に代わって報告する「代行報告」の記入例も示しており、データを預けた企業が報告の主体になる場合があることを前提にしている。

今回の件がこの報告の対象に当たるかどうかは、漏えいの可能性がある情報の種類と件数が分からないため、現時点では判断できない。