【続報】セイコーマートアプリに不正アクセス 約57万人分の閲覧を確認

セイコーマートは9月30日の第三報で、スマートフォンアプリ「セイコーマートアプリ」のサーバーへの不正アクセスにより、アプリに登録したことがある会員のうち572,022人分の情報が閲覧されたことを確認したと公表しました。セイコーマートアプリの会員の49%にあたります^[17]。
対象の情報には住所・電話番号・生年月日なども含まれますが、パスワードと購買履歴は漏洩していません^[1][16]。9月28日にはタイムズカーが約660万件の漏えいを公表しており^[6]、会員サービスの漏えいの公表が続いています。

何が起きたかと今わかっていること、4日間に続いた5件の公表、統計と過去の事案から見た規模を順に整理します。

何が起きたか#

始まりは、1件のアカウントで行われた不正な退会の処理でした。9月29日の第一報で公表された経緯と、その後の公表は次のとおりです^[1][16][17]。

ほかのアカウントで不正な退会などは確認されていません^[1]。サーバーへの接続を止めたため、新規入会・会員情報の変更・登録カードの変更・退会・マイページへのログインなどが止まりました。第二報では、ホームページや公式通販サイト・商品予約サイトからのログインと、ペコマーケットの申し込みサイトも一時的に止めました。ペコマーケットは店頭のマルチコピー機で申し込めて、商品予約サイトはログインせずにゲストとして予約できます。9月末で失効するポイントは、1か月延長されます^[16]。

第三報の時点でも、アプリでの新規入会と登録カードの変更、マイページでの会員情報の変更・退会、公式通販サイトは止まっていて、再開の時期は改めて知らせるとしています。店頭では、ペコママネーの利用・チャージ、ポイントの付与、会員価格での購入、クーポンやキャンペーンの利用ができ、新規入会と会員情報の変更も受け付けています^[17]。

対象になる人と、対象の情報#

9月30日の第三報では、アプリに登録したことがある会員のうち、572,022人分の情報が不正アクセスにより閲覧されたことを確認したとしています。セイコーマートアプリの会員の49%にあたり、アプリに登録していない人は対象外です^[17]。第一報では、対象をセイコーマートクラブの会員とし、「不正アクセスを受けた可能性のあるユーザーID数」を約57万アカウントとしていました^[1]。第三報で、アカウントの数から人数に、「可能性」から「確認」に変わりました。

セイコーマートクラブの会員カードには、電子マネー「ペコママネー」の機能が付いたペコマカードがあります^[2]。入会は店頭か、セイコーマートアプリからできます^[3]。アプリは、会員証の表示や、クラブポイント・ペコママネーの残高の確認などに使います^[4]。

第一報で、第三者に閲覧された可能性のある情報としてあげられたのは、次のとおりです^[1]。第三報は、情報の項目をあらためて示していません。

• 姓名・性別・生年月日
• 住所・電話番号
• メールアドレス
• クラブカードの入会年月日・退会年月日

一方で、パスワードは漏洩していません。クレジットカードの情報は、セイコーマートが持っていません。ペコママネーの不正な利用も、今のところ確認されていません^[1]。第二報では、購買履歴も漏洩していないとしています。公式通販に登録していても、会員証(カードとアプリ)を持っていない人は対象外です^[16]。

セイコーマートを名乗るメールに注意#

セイコーマートは、セイコーマートを名乗るメールに注意するよう呼びかけています。セイコーマートがメールで、パスワード、ペコマカードのPIN、クレジットカードの情報、預金の情報などを聞くことは絶対にありません^[1]。第三報でも、不審な連絡を受けたら、これらの情報を伝えないよう呼びかけています^[17]。

問い合わせ先は、セイコーマートのお客様相談室(0120-89-8551、月〜土曜日の9時〜17時)です。

原因と、今後の公表#

不正アクセスの手法は、9月30日の第三報の時点でも公表されていません。セイコーマートは外部の調査会社とともに経緯や影響範囲を調べていて、警察や関係機関と連携して対応しているため、詳細の開示を控えるとしています^[17]。第一報では、原因と再発防止策を引き続き調べ、わかりしだいホームページで知らせるとしていました^[1]。いまわかっていることと、まだ公表されていないことを並べると、次のようになります。

侵入の方法やいつから入られていたかは、続報を待つ必要があります。この記事では、公表された事実だけを書いています。続報が出たら、この記事に日付をつけて追記します。

4日間に5件続いた、会員サービスへの不正アクセス#

9月26日から29日までの4日間に、会員サービスへの不正アクセスの公表が5件続きました。それぞれの公表の内容は次のとおりです^{[5][9][10][6][1][17]}。件数と言い方は公表どおりに書いています。

5件の関係は公表されておらず、同じ攻撃者や同じ手口だとは言えません。原因の詳しい中身も、9月29日の時点ではどれも公表されていません。セイコーマートは9月30日の第三報でも、警察などと連携しているとして手法の開示を控えています^[17]。オズモールは9月26日に「海外から大量の不正アクセス」を検知し^[9]、東京メトロは9月27日の公表の時点で、原因の詳細を調べている途中です^[10]。

並べると、漏れた(おそれのある)情報の重さが大きく違うこともわかります。東京メトロはメールアドレスだけですが、タイムズカーは運転免許証の画像まで含みます。タイムズカーの件の詳しい中身は、タイムズカーへの不正アクセスの記事で整理しています。ニッポンレンタカーの件は、タイムズカーとの違いをニッポンレンタカーアプリへの不正アクセスの記事で比べています。

約57万人分は、どのくらいの規模か#

民間の事業者から報告される漏えいの多くは1,000人以下の小さなもので、5万人を超えるものは1年で121件しかありません。2025年4月〜2026年3月に個人情報保護委員会が処理した民間の事業者からの漏えいの報告は17,139件で、そのうち1,000人以下が16,043件(93.6%)、50,001人以上は121件(0.7%)でした。この報告では、紙だけが漏れたものがいちばん多く、76.9%を占めます^[7]。

セイコーマートの572,022人分は、その中でも大きいほうです。第一報ではアカウントの数でしたが、第三報で人数が示されたので、統計と同じ「人」の単位で並べられます^[17]。

会員アプリや会員サイトで起きた漏えいを、件数の多い順に並べると次のようになります^{[6][12][11][17][15][9][14][13]}。

件数の数え方(件・名・アカウント)は会社ごとに違います。また「最大」「可能性」は上限の数で、実際に取られた件数とは限りません。これより大きな過去の漏えいは、タイムズカーの記事の過去にも似た漏えいはあったかにまとめています。

過去にも似た事案はあったか#

あります。「会員が勝手に退会させられた」件と、「アプリや会員サイトが入口になった」件の2つに分けて見ていきます。

1つ目は、会員が勝手に退会させられた件です。動画配信サービスのバンダイチャンネルでは、2025年11月4日、不正アクセスによって一部の会員の退会の処理が意図せず行われる障害が起き、11月6日23時30分からサービスを止めました。漏えいのおそれがあるのは最大136.6万件で、メールアドレス・ニックネーム・コインの残高・支払い方法です。ログインパスワードやクレジットカード番号は含まれず、ランサムウェアによる被害でもありませんでした。サービスは12月19日に再開しています^[11]。

2つ目は、アプリや会員サイトが入口になった件です。2りんかんアプリでは、「アプリの仕組み(API)を悪用した不正アクセス」で3,179,454名様分の会員データが取得されたと特定されました。第二報の「最大3,455,754名様分」から減った数で、アプリのパスワードも含みます^[12]。ハンズクラブアプリでは、システムに使っていたソフトウェアの脆弱性をつかれ、パスワードを含む121,886件が漏洩しました^[13]。

ニトリアプリとユニクロ・ジーユーのオンラインストアの件は、ほかのサービスから漏れたIDとパスワードを使ってログインする「リスト型攻撃」の手法で行われたと、両社が推測しています^[14][15]。

並べてわかること#

1つは、退会やログインなど、ふだんと違う操作が表に出ていた件が多いことです。セイコーマートは不正な退会の1件がきっかけで、不正アクセスの可能性がわかりました^[1]。バンダイチャンネルでも、会員の退会の処理が意図せず行われる障害が起きていました^[11]。ハンズは2024年12月2日にログイン回数の異常を確かめて調べ始め、11月27日から不正アクセスが繰り返されていたことが12月5日にわかりました^[13]。ユニクロ・ジーユーは、客からの「身に覚えのない登録情報変更の通知メールが届いた」という申し出から調べています^[15]。

もう1つは、パスワードが漏れたかどうかで、利用者がやることが変わることです。2りんかんとハンズはパスワードも漏れており、ハンズは利用者にパスワードの変更を、2りんかんはアプリの再開時に新しいパスワードの設定を求めています^[12][13]。セイコーマートはパスワードは漏洩しておらず、今のところ利用者へのお願いは、セイコーマートを名乗るメールへの注意です。

なお、ここに並べた事案は、どれもセイコーマートの原因を示すものではありません。セイコーマートの原因は、公表を待つ必要があります。

自社に置き換えると#

自社でもアプリや会員カード、会員サイト、ネットショップで顧客の情報を預かっている会社は、次の2つを知っておきましょう。

個人情報保護委員会は、不正アクセスによる漏えいの原因として、公開された脆弱性を対応方法が出ていたのに放置していたこと、IDやパスワードが推測されやすかったこと、設定ミスでデータベースへのアクセスの制御が不適切だったことなどが多くみられたとしています^[7]。また、不正アクセスなど不正の目的で行われたおそれがある漏えい(そのおそれを含む)を、1,000人を超えるかどうかとは別に、報告が必要な場合の1つにあげています。報告は発覚したらまず速やかに行い、不正の目的のおそれがある場合は発覚日から60日以内が期限です^[8]。セイコーマートも第三報で、個人情報保護法に基づいて行政当局へ報告したとしています^[17]。

そのうえで、会員の仕組みを外部の会社に作らせているなら、次の3つを確かめておくことをおすすめします。

• 誰がいつ何をしたかの記録が残るか
• 退会などふだんと違う操作に気づけるか
• 退会した会員の情報をいつまで持つか

経営者として押さえておくことは、中小企業の情報セキュリティ対策ガイドラインの「経営者がやること」で整理しています。