ドトールコーヒーへの不正アクセス（従業員口座情報およびEC会員情報流出の可能性）
公表日
ドトールコーヒーの社内システムと通販サイトの管理画面が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、従業員・退職者の口座番号など最大951名分と、通販会員情報など最大24,771件が外部に流出したおそれがあります。
対象者は？
①都内4店舗（西武大泉学園駅店、国立大学通り店、東京駅八重洲中央口店、石神井公園駅前店）に勤務していた従業員・退職者の最大951名。氏名、生年月日、住所、メール、電話番号、銀行口座番号が対象です。②2026年10月25日までに「ドトール オンラインショップ」に会員登録した人など、最大24,771件（会員24,762件、お届け先9件）。氏名、住所、メール、電話、生年月日、購買情報などが対象です。通販側では、ログインパスワードとクレジットカード情報の漏えいは確認されていません。店舗の顧客情報の流出も確認されていません。いずれも「流出したおそれ」の上限で、流出が確定した件数は発表されていません。
漏えいのおそれがある従業員には、順次連絡が行われています。退職者には公式サイトの案内で通知され、問い合わせ窓口が案内されています。通販会員については、公式サイトのお知らせで内容を確認できます。
いますぐできること
- ドトールコーヒーや銀行をかたる電話、メール、SMSには注意してください。不審なリンクを開いたり、口座やカードの情報を伝えたりしないでください。
- 対象に当てはまりそうな場合は、公式サイトのお知らせを確認し、案内された問い合わせ窓口に連絡してください。
何が起きたのか
2026年10月20日、ドトールコーヒーは社内システムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を見つけました。都内4店舗に勤務していた従業員と退職者の計951名分の個人情報が、外部に流出したおそれがあるとして、10月26日に公表しました。その後、10月24日から25日にかけて、通販サイトの管理画面が外部の第三者から不正アクセスされ、会員情報が閲覧・出力されたことも分かりました。10月28日に決済代行会社から不審な動きの連絡があり、10月30日には委託先から報告があったため、調査を始めました。そして11月6日、最大24,771件が流出したおそれがあると公表しました。
なぜ起きたのか・なぜ広がったのか
通販サイトは、外部の第三者に管理画面へ不正にアクセスされました。ただし、どうやって入られたかは発表されていません。社内システムの原因の詳細も、発表されていません。2つの出来事が関係しているかも、まだ分かっていません。
いまの状況2026-11-06 時点続報待ち
2026年11月6日の時点で、通販サイトは一時停止中で、定期購入も一時休止しています。すでに受け付けた注文の発送は続いています。社内システムでは被害を広げないための対策を行い、通販サイトではアクセス制限の強化などを実施しました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と警察への相談も進めています。本件に関係する二次被害は確認されていません。ECサイトの再開時期や、再発防止策の詳しい内容はまだ発表されていません。
企業として考えたいこと
自社の顧客管理画面や従業員の口座情報を扱うシステムは、外部から簡単にたどり着けないようになっていますか。大量の出力があったとき、自社で気づける仕組みはありますか。
技術的な要約
株式会社ドトールコーヒーは2026年10月20日、自社システムへの不正アクセスを検知し、都内4店舗の従業員および退職者計951名分の個人データ（銀行口座番号等を含む）が外部へ流出した可能性があると10月26日に公表した。さらに同年10月24日から25日にかけて「ドトール オンラインショップ」の管理画面が外部第三者から不正アクセスを受け、会員情報等計24,771件が外部流出した可能性があることが判明し、11月6日に公表した。ECサイトにおけるログインパスワードやクレジットカード情報、および店舗側の顧客情報の流出は確認されておらず、本件に関連する二次被害も確認されていない。同社は被害拡大防止措置を講じるとともにECサイトを一時停止し、個人情報保護委員会への報告や警察への相談・連携を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認公式通販サイト「ドトール オンラインショップ」については外部の第三者による管理画面への不正アクセスが公式発表されている。社内システムへの不正アクセスについては侵入経路や原因の詳細は公表されていない。
- 脆弱性
- CVE 非公表不明具体的な脆弱性や製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 店舗の営業停止は発生していないが、公式通販サイト「ドトール オンラインショップ」の一時停止および定期購入の一時休止が実施された（受注確定済み商品の発送は継続）。期間：2026年11月6日公表時点でECサイト一時停止中
- データ
- おそれ上限 25,722確定 —件氏名生年月日住所メール電話口座会員ID購入履歴その他社内システム侵害により都内4店舗（西武大泉学園駅店、国立大学通り店、東京駅八重洲中央口店、石神井公園駅前店）に勤務していた従業員・退職者計951名の個人データ（氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号）が流出した可能性がある。また公式通販サイト侵害により会員情報24,762件およびお届け先情報9件の合計24,771件（会員ID、氏名、会社名、住所、メールアドレス、電話番号、生年月日、性別、職業、購買情報、My店舗情報、お届け先氏名・都道府県）が流出した可能性がある。パスワードおよびクレジットカード情報の漏えいは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- ECサイト管理画面の不正アクセスについて委託先と協力して調査を実施しているが、サプライチェーン経由の侵害とは発表されていない。
時系列
- 2026-10-20
- 2026-10-24外部の第三者が「ドトール オンラインショップ」の管理画面に不正アクセスし、会員情報を閲覧・出力（10月25日にかけて発生）。9
- 2026-10-26
- 2026-10-27
- 2026-10-28決済代行会社よりドトールコーヒーに対し、ECサイトにおいて不審な動きが確認された旨の連絡が入る。9
- 2026-10-28 16:51NHKがドトールコーヒーの従業員・退職者個人情報951件の漏えい可能性について報道。3
- 2026-10-30ドトールコーヒーが委託先から不審な動きに関する報告を受け、委託先と協力して原因および影響範囲の詳細調査を開始。9
- 2026-11-06ドトールコーヒーが「当社システムの一部に対する不正アクセスについて（更新版）」を公表。7
- 2026-11-06
技術解説
社内システム侵害の公表内容 事実
ドトールコーヒーは2026年10月20日に社内システムへの不正アクセスを検知し、10月26日に第1報を公表した。対象は都内4店舗（西武大泉学園駅店、国立大学通り店、東京駅八重洲中央口店、石神井公園駅前店）に勤務していた従業員と退職者の計951名分である。流出のおそれがある項目は、氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号。報道は、システム内部に保存されていた情報が流出した可能性があると伝えた。件数は「おそれ」の上限で、流出が確定した件数は公表されていない。店舗の営業停止は発生していない。店舗側の顧客情報の流出も確認されていない。侵入経路や原因の詳細は公表されていない。
ECサイト管理画面への不正アクセスと公表までの流れ 事実
2026年10月24日から25日にかけて、外部の第三者が「ドトール オンラインショップ」の管理画面に不正アクセスし、会員情報を閲覧・出力した。10月28日に決済代行会社から、ECサイトで不審な動きが確認されたとの連絡が同社に入った。10月30日には委託先から不審な動きの報告があり、同社は委託先と協力して原因と影響範囲の調査を始めた。11月6日に、会員情報24,762件とお届け先情報9件の計24,771件が流出した可能性があるとして公表した。2026年10月25日までに会員登録した人が関係する。会員ID、氏名、会社名、住所、メール、電話、生年月日、性別、職業、購買情報、My店舗情報、お届け先氏名・都道府県が含まれる。ログインパスワードとクレジットカード情報の漏えいは確認されていない。
対応と件数の整理 事実
同社は社内システムで被害拡大防止措置を講じた。ECサイトは一時停止し、アクセス制限の強化などを実施し、定期購入も一時休止した。受注確定済み商品の発送は継続している。個人情報保護委員会への報告と警察への相談・連携も進めている。漏えいのおそれがある従業員には順次連絡し、退職者には公表文で通知して問い合わせ窓口を案内した。二次被害は確認されていない。件数は、社内システムの951名分とECの24,771件を足すと25,722件になる（この足し算は本ケースでの計算）。ただし両者は別の事象で、内訳の性質も異なる。流出が確定した件数は、どちらも公表されていない。11月6日時点ではECサイトの停止が続いていた。
2つの事象の関係についての見方 解釈
社内システムとECサイトの不正アクセスは約4日の差で起き、公表も約11日違う。関係は公表されておらず、同一の攻撃者や経路かは判断できない。ある報道は、10月20日の検知を「今回判明した問題とは別」と書いており、少なくとも別の検知として扱われているとみられる。ECについては、管理画面に外部から到達できたことと、会員情報を出力できる権限が使われたことが公表されている。認証の突破方法は不明で、認証情報の流用や設定の問題といった複数の可能性があるが、推測の域を出ない。検知の契機が決済代行会社からの連絡だった点から、管理画面でのデータ出力を自社で即時に検知する仕組みが働いたかどうかが論点になる。ただし社内側の検知経緯は公表されておらず、断定はできない。
公表のあり方についての評価 解釈
同社は検知から6日後の10月26日に第1報を出し、対象店舗名、項目、件数、退職者向けの窓口を示した。この点は、受け手が自分が対象かを判断しやすい公表だった。一方で、ECの件は決済代行会社の連絡から公表まで9日かかっている。委託先の報告を受けて調査した期間が含まれ、一定の調査時間は必要だったと考えられる。第1報の時点で、別の侵害の可能性を示せたかどうかは公表資料からは分からない。また、件数が「おそれ」の上限のままで、実際に外部へ持ち出されたかの確認結果は示されていない。ログの保存状況や確認方法の説明があれば、利用者が危険度を判断しやすくなる。以上は公表内容に基づく評価であり、同社の対応の良否を断定するものではない。
対応
- 封じ込め
- 社内システムでの被害拡大防止措置を講じたほか、公式通販サイト「ドトール オンラインショップ」を一時停止し、アクセス制限の強化その他セキュリティ対策を実施。定期購入を一時休止とした。
- 公表の仕方
- 2026年10月26日に社内システム侵害に関する第1報をウェブサイトで公表し、11月6日に更新版を掲載。同日、公式通販サイトにおける情報漏えいの可能性を公表した。漏えいのおそれがある従業員には順次連絡を行い、退職者には公表文での通知とお問い合わせ窓口を案内した。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理画面を公開範囲と認証の両面で守る | ECや業務システムの管理画面は、送信元IP制限かVPN・ゼロトラストプロキシ経由に限定する。管理者アカウントにはFIDO2/WebAuthnなど耐フィッシングのMFAを必須にする。ログイン失敗や新規端末・新規IPからのログインにはアラートを設定する。 |
| 管理画面での大量閲覧・出力を検知して止める | 会員一覧の閲覧やCSV出力の操作ログを取り、件数・頻度の閾値超過でSIEMから通知する。ダウンロードの権限は管理者ごとに分ける。大量出力には二段階承認か一時的な遮断を導入する。 |
| 従業員・退職者の口座情報を分離して最小限だけ保管する | 給与振込用の口座番号などは、店舗業務用の一般システムとは別の領域に保存し、列単位で暗号化する。閲覧できるロールを人事・経理に絞り、閲覧ログを残す。退職後の保管期間を定め、期間を過ぎたデータを自動削除する。 |
| 決済代行会社・委託先からの不審連絡を受ける窓口を決めておく | 決済代行会社と委託先の連絡窓口を、夜間・休日も届く宛先（チャット、オンコール）として契約や運用手順に定める。受信から調査担当への引き継ぎ、一次切り分け、サイト停止の判断基準をRunbookにし、年1回は連絡訓練をする。 |
| 別々に見える複数の不正アクセスの関係を最初から調べる | インシデント対応の初期に、他システムの認証ログ、同一IP・同一アカウントの使用、同時期の不審通信を横断で検索する。調査チケットに「他の事象との関連の有無」を確認項目として入れ、結論と根拠を記録する。 |
| 件数は「おそれ」と確定を分けて続報で更新する | 公表文には、上限件数、ログから確認できた件数、確認できなかった範囲を分けて書く。ログの保存期間が不足している場合は、その旨と理由も示す。続報で件数が変わるときは、変更点を明記する。 |
自組織などでの確認項目
- 自組織のECや顧客管理の管理画面は、インターネット全体からログインできる状態になっていないか。IP制限やVPNの設定と、管理者アカウントのMFA適用状況を一覧で確認できるか。
- 管理画面で個人情報が大量に閲覧・出力されたとき、自社のログ監視が検知して担当者に通知するか。決済代行会社などの外部から先に指摘される状況を想定して、検知の流れを試験できるか。
- 従業員・退職者の口座情報はどのシステムに保存されているか。店舗や拠点の業務システムに残っていないか、保管期間と削除手順、閲覧権限を確認できるか。
- 決済代行会社や委託先から不審な動きの連絡を受けたとき、受付から調査開始、サイト停止の判断までの手順と担当者が決まっているか。休日・夜間の連絡先は最新か。
未解明点
- 社内システムへの不正アクセスとECサイト管理画面への不正アクセスは、同一の攻撃者や侵入経路によるものか、それとも独立した別の事象か。
- ECサイトの管理画面に、どのような手段で不正にログインまたは到達したのか。認証情報の流用、設定不備、脆弱性などの原因は公表されていない。
- 社内システムの侵入経路と原因は何か。951名分の情報がなぜ侵害されたシステムに保存されていたのか。
- 流出が確認できた件数はどれだけか。公表されているのは「おそれ」のある上限（951名、24,771件）のみで、確定件数は示されていない。
- ECサイトの再開時期と、再開前に実施する再発防止策の内容はどうなるか。11月6日時点では一時停止中だった。
- 10月26日の公表時点で、同社はECサイト側の不審な動きを把握していたのか。決済代行会社の連絡は10月28日で、調査開始は10月30日と公表されている。
出典
- 1株式会社アクト2026-10-27報道本文確認済
- 2ライブドアニュース2026-10-27報道本文確認済
- 3NHK2026-10-28報道本文確認済
- 4ABEMA TIMES2026-10-27報道本文確認済
- 5セキュリティ対策Lab2026-10-27報道本文確認済
- 6ABEMA TIMES2026-10-27T12:42+09:00報道本文確認済
- 7株式会社ドトールコーヒー公式本文確認済
- 8株式会社ドトールコーヒー2026-10-26公式本文確認済
- 9株式会社ドトールコーヒー2026-11-06公式本文確認済