大起水産公式アプリへの不正アクセス（退会者を含む利用者174,933人の個人情報漏えいの可能性）
公表日
回転寿司チェーンなどを営む大起水産の公式アプリが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、利用者 最大174,933人の氏名・電話番号・メールアドレスなどが漏えいしたおそれがあります。
対象者は？
2024年11月1日から2026年9月15日までに大起水産の公式アプリに登録した方で、すでに退会した方も含まれます。最大174,933人で、実際に外に漏れたことは確認されていません。住所と生年月日は、登録していた方だけが対象です。パスワードは別のサーバーで管理されていたため対象外です。
対象の方には、登録したメールアドレスあてに案内が送られています。専用の問い合わせ窓口も設けられています。
いますぐできること
- 大起水産を名乗るメール・SMS・電話で、個人情報やクーポンの受け取り手続きなどを求められても、リンクを開かない。公式アプリや公式サイトから確認する
- 登録した電話番号やメールアドレスに、不審な連絡が増えていないか気をつける
何が起きたのか
2026年9月15日、大起水産は公式アプリへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認しました。調べた結果、アプリに登録された氏名・電話番号・メールアドレス・性別・郵便番号・住所・生年月日が漏えいした可能性があることが分かりました。会社は10月5日にこのことを公表し、対象の方にメールで知らせました。アプリはこれまでどおり使えます。
なぜ起きたのか・なぜ広がったのか
いつ、どこから、どのように入られたかは、まだ公表されていません。対象が2024年11月以降に登録した方全員で、退会した方も含まれているのは、その情報がアプリの仕組みの中に保存されていたためです。
いまの状況2026-10-06 時点続報待ち
会社は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を防ぐ対策をとり、監視を強めたとしています。外部の専門の調査会社による調査が続いていて、結果を見て対策を追加する方針です。個人情報保護委員会にも報告しています。侵入の経路や、実際に持ち出されたかどうかは、まだ発表されていません。
企業として考えたいこと
自社のアプリや会員サービスでは、退会したお客様の情報をいつまで残しているでしょうか。消してよい情報を残し続けていないかを確認しましょう。
技術的な要約
回転寿司チェーン等を展開する大起水産は、公式アプリへの外部からの不正アクセスを2026年9月15日に確認し、10月5日に公表した。2024年11月1日から2026年9月15日までに登録した利用者174,933人（退会者を含む）の氏名、電話番号、メールアドレス、性別、郵便番号、住所、生年月日（住所・生年月日は任意登録）が漏えいした可能性があるが、実際の外部漏えいや不正利用は確認されていない。パスワードは別サーバーで管理され対象外で、外部の専門調査会社による調査を継続し、アプリは通常どおり利用できる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は不正アクセスがあったとするのみで、侵入時期・経路・原因、アプリの開発・運用委託先の関与はいずれも非公表（不明）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし アプリは通常どおり利用可能と公表
- データ
- おそれ上限 174,933確定 —人氏名電話メール性別住所生年月日その他（郵便番号）2024年11月1日〜2026年9月15日にアプリへ登録した174,933人（退会者を含む）。住所と生年月日は端末により任意登録（iOS: 住所・生年月日／Android: 生年月日）のため全員分ではない。『実際に外部へ漏えいした事実は確認されていない』が『漏えいした可能性を否定できない』としての公表。パスワードは別サーバー管理で対象外。クレジットカード情報への言及なし
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-09-15
- 2026-10-05
- 2026-10-06公表文を更新1
技術解説
公表内容の評価：経路不明のまま『可能性』として公表 解釈
公表資料からは、侵入の時期・経路・原因、アプリ開発・運用の委託先の関与のいずれも読み取れない。9/15の確認から約3週間後に、外部漏えいの事実は未確認ながら可能性を否定できないとして全登録者（退会者含む）を対象に公表・通知している。パスワードを別サーバーで管理していたため認証情報は対象外とされ、データ分離が被害範囲を限定した可能性がある。対象期間が2024年11月以降の登録者に限られることから、アプリ（またはその会員基盤）の運用開始時点以降の全登録データが同一の保存先にあったと推測されるが、公表はされていない。
対応
- 封じ込め
- 不正アクセス防止の対策を実施し、セキュリティ対策と監視体制を強化。外部の専門調査会社による調査を継続中で、結果を踏まえ必要な対策を追加する方針。アプリは通常どおり提供。
- 公表の仕方
- 10/5に公式サイトで公表（10/6更新）、対象者の登録メールアドレス宛に案内を送付。不審な連絡への注意喚起と専用窓口（0120-811-266）を設置。
- 当局対応
- 個人情報保護委員会：報告・相談のうえ対応中（10/5公表時点）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 退会者を含む全登録者の個人情報が対象となった | 退会時に個人情報を削除または不可逆に匿名化するバッチを実装し、法定・業務上必要な保持項目と期間を定義する。任意項目（住所・生年月日）は利用目的がなければ収集しない |
| パスワードを別サーバーで管理していたことで認証情報の漏えいを避けられた | 会員プロフィールDBと認証基盤（IDaaS等）を分離し、アプリサーバから認証情報ストアへは検証APIのみ許可する構成を標準とする。プロフィールDBへの大量SELECT・エクスポートを監視しアラート化する |
自組織などでの確認項目
- 自社アプリの会員DBに退会者の個人情報がいつまで残っているか。漏えい時に『退会者を含む』と書かずに済むよう、退会時に何を消しているか。
未解明点
- 侵入の時期・経路・原因と、アプリ開発・運用委託先の関与の有無
- 実際に外部へ持ち出されたかどうかの調査結果
- 9/15に不正アクセスを確認した契機
出典
- 1大起水産2026-10-05公式本文確認済
- 2セキュリティ対策Lab（Rocket Boys）2026-10-05報道本文確認済
- 3NHK2026-10-05報道本文確認済