リンツ＆シュプルングリージャパンへの不正アクセス（委託先脆弱性悪用による会員情報314万件漏洩）
公表日
リンツのEC運用委託先サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、オンラインショップとアプリ共通の会員情報3,147,377件が外部に流出しました。
対象者は？
リンツ公式オンラインショップおよび公式アプリ（My Lindt Club）に登録していた会員最大3,147,377件（流出確認件数も同数）。2026年10月18日0時16分時点で退会済みだった会員や、ゲスト購入者、送り先の個人情報は含まれません。また、クレジットカード情報などの決済情報は対象サーバーに保存されていないため流出していません。
2026年10月27日より、対象の会員に向けて登録メールアドレス宛に順次案内メールが送信されています。メールが届かない場合は、公式Webサイトのお知らせを参照してください。
いますぐできること
- リンツと同じメールアドレスとパスワードの組み合わせを他のウェブサイトやアプリで使い回している場合は、悪用を防ぐために至急そのパスワードを変更してください。
- リンツや配送業者などを名乗る不審なメール、SMS、電話、郵便物に注意し、不審なリンクを開いたり暗証番号などを教えたりしないようにしてください。
何が起きたのか
2026年10月17日深夜から18日未明にかけて、リンツがECサイトの管理を委託しているフューチャーショップのサーバーに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われ、約74分間で会員情報が外部に持ち出されました。委託先が10月19日に異常を検知して侵入経路を遮断し、リンツへ報告しました。リンツは10月21日にオンラインショップを一時停止し、10月23日に事態を公表しました。
なぜ起きたのか・なぜ広がったのか
委託先のサーバーで使用されていたソフトウェアに脆弱性（安全上の弱点）が存在し、それを攻撃者に悪用されたことが原因です。短時間で会員データが取得されたため、検知前に情報の流出に至りました。
いまの状況2026-10-30 時点続報待ち
リンツ公式オンラインショップは安全確認のため一時停止しており、再開時期は未定です。公式アプリも新規登録やマイページ機能などが制限され、アプリストアでの公開も停止されています。10月26日に対象会員のパスワードが強制リセットされたため、ショップ再開時にはパスワードの再設定が必要となります。10月26日時点で情報の不正利用は確認されていません。
企業として考えたいこと
自社の会員データを管理する外部委託先で重大な脆弱性が悪用された場合、侵入からデータ持ち出しまでの短時間で検知・遮断できる仕組みや、他業務への影響を抑える切り離し手順は整っていますか？
技術的な要約
リンツ＆シュプルングリージャパンは、ECサイト運用および会員情報管理を委託しているフューチャーショップのサーバーが不正アクセスを受け、オンラインショップと公式アプリで共通利用する会員情報が漏洩したと公表した。2026年10月17日深夜から18日未明にかけてソフトウェアの脆弱性を悪用され、侵入から約74分間で会員データが取得された。漏洩件数は当初3,147,469件と発表され、その後の精査で重複を除いた3,147,377件に更新された。漏洩項目には氏名、住所、生年月日、メールアドレス、ハッシュ化されたパスワードなどが含まれ、クレジットカード情報は対象サーバーに保存されておらず含まれない。同社は2026年10月21日にオンラインショップを一時停止し、パスワード強制リセットやアプリ配信停止などの対応を行った。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認委託先（フューチャーショップ）のサーバーで使用していたソフトウェアの脆弱性を悪用（脆弱性の詳細は非公表）
- 脆弱性
- CVE 非公表公表で確認フューチャーショップのサーバーで使用していたソフトウェア（製品名非公表）委託先サーバーソフトウェアの脆弱性と公表されているが、製品名・CVE番号など詳細は非公表
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年10月21日16時より公式オンラインショップを一時停止（再開時期未定）。公式アプリでも新規会員登録、新規ログイン、マイページ利用やストア公開が停止された。なお、注文済み商品の配送やログイン済みアプリによる実店舗でのポイント利用・付与は継続
- データ
- 確定上限 3,147,469確定 3,147,377件氏名メール電話住所生年月日性別会員IDハッシュ化PWその他2026年10月18日0時16分時点で退会済みの会員は除く。当初発表の3,147,469件から精査され、同一会員の重複計上を除外した3,147,377件に更新。ゲスト購入者や配送先住所は対象外。その他情報にはフリガナ、登録店舗情報、メルマガ受信設定、会員登録日時、最終ログイン日時などが含まれる。クレジットカード情報は非保持のため含まれない
- 波及先
- 0 件
- 金銭影響
- —
- サプライチェーン
- オンラインショップのシステム提供および会員情報管理を委託している株式会社フューチャーショップのサーバーが不正アクセスを受け、リンツの共通会員情報が流出した
時系列
- 2026-10-17 23:02
- 2026-10-18 00:16
- 2026-10-19 15:30
- 2026-10-19
- 2026-10-21 16:00
- 2026-10-23
- 2026-10-26
- 2026-10-27
- 2026-10-30精査の結果、漏洩件数を重複を除いた3,147,377件に更新公表7
技術解説
侵入発生から検知・遮断および件数精査の事実経過 事実
リンツ＆シュプルングリージャパンがECサイト運用および会員情報管理を委託するフューチャーショップのサーバーに対し、2026年10月17日23時2分から18日0時16分にかけて不正アクセスが発生した。サーバーで使用されていたソフトウェアの脆弱性が悪用され、侵入から約74分間でオンラインショップおよび公式アプリ共通の会員アカウント情報が外部へ取得された。委託先は10月19日15時30分ごろにシステム監視で不審なアクセスを検知してリンツへ報告し、同日中に侵入経路の遮断と脆弱性対策を実施した。リンツは10月21日16時にオンラインショップを一時停止し、10月23日に事案を公表した。当初公表された漏洩規模は3,147,469件であったが、その後の精査で重複除外が行われ、10月30日に3,147,377件へと更新された。漏洩対象には氏名、住所、電話番号、生年月日、メールアドレス、ハッシュ化されたパスワードなどが含まれ、退会済み会員やゲスト購入者、送り先情報は対象外とされている。また、決済処理は決済代行会社が直接行っており、クレジットカード情報は対象サーバーに保存されていないため流出対象に含まれていない。
短時間での大量データ窃取と委託先管理の構造的課題 解釈
本事案では、最初の不正侵入から会員データが取得されるまでの所要時間がわずか約74分間であった。この極めて短い犯行時間から、攻撃者が事前に脆弱性の検証を終えていたか、あるいは自動化されたスクリプトを用いて侵入直後に会員データベース全体の抽出と外部送信を実行した構造がうかがえる。委託先による不審アクセスの検知は侵入から約39時間後であり、リアルタイムの検知・自動遮断機構が機能しなかった場合、データの外部持ち出しを事後的に防ぐことは極めて困難である。また、自社が直接インフラを保有・運用していなくても、コア業務や会員データベースを外部のECプラットフォーム事業者に一任している場合、委託先のサーバーで発生した単一の脆弱性が直接的に自社の顧客基盤全体へ波及する。サプライチェーンにおけるセキュリティ監視体制や、大量データのエクスポート検知アラートの運用について、委託元と委託先の双方が責任分界点を明確にし、高度な監視・検知要件を定めておく必要性が浮き彫りとなった。
二次被害防止措置と事業影響を考慮した機能制限の評価 解釈
事案覚知後のリンツ側の初動対応には、二次被害の抑止と事業継続のバランスを図る意図が見られる。クレジットカード情報をそもそも自社および委託先サーバーに保存しない非保持化構成を採用していた点は、金銭的被害の直撃を防ぐ防御壁として機能した。さらに、流出したパスワードがハッシュ化されていたにもかかわらず、10月26日にシステム側で全対象会員のパスワード強制リセットを実施し、公式アプリのストア公開も一時停止するなど、オフライン攻撃や他サイトへのリスト型攻撃による二次被害を防ぐ積極的な措置を講じている。一方で、オンラインショップ自体は安全確認のため即座に全面停止したものの、注文済み商品の配送を継続し、店頭レジでのログイン済みアプリによるポイント利用を維持するなど、実店舗業務や既存取引への悪影響を最小限に抑える機能制限にとどめた。委託先インフラの大規模インシデントにおいて、どの機能を遮断しどのサービスを継続するかという事業継続判断が迅速に実行されたといえる。
対応
- 封じ込め
- 委託先フューチャーショップが2026年10月19日に侵入経路を特定して遮断し、管理画面サーバー全体の脆弱性対策を実施。リンツは10月21日16時にオンラインショップを一時停止し、10月26日に対象会員のパスワード強制リセットおよび公式アプリのストア公開一時停止措置を実施した。
- 公表の仕方
- 2026年10月23日に第1報を公表し、専用問い合わせ窓口を開設。10月26日にパスワードリセットとアプリ公開停止を追記し、10月27日より対象会員へ順次メール連絡を実施。10月30日に件数精査（3,147,377件）とゲスト購入者等の除外を追記した。
- 当局対応
- 個人情報保護委員会（フューチャーショップと連名で報告）
- 警察（フューチャーショップより相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先プラットフォームにおける公開サーバーの脆弱性放置と監視遅延 | 委託先選定時および定期監査において、サーバー上ソフトウェアの脆弱性スキャン実施頻度、パッチ適用SLA、およびIDS/IPSによる異常通信の検知・自動遮断プロセスの運用基準を契約・監査項目に明記する。 |
| データベースからの大量レコード抽出・外部送信が短時間で完遂されるリスク | データベース層およびWAFにおいて、閾値を超える大量データのエクスポートや通常と異なるSQLクエリを検知した際に、自動でセッション遮断と管理者への高優先度アラートを発報するルールを導入する。 |
| ハッシュ化パスワードの流出に伴う総当たり・リスト型攻撃の危険性 | データ漏洩発生時に即座にシステム側から全件パスワード強制リセットを実施できる運用手順を確立するとともに、パスワード保存時のストレッチング（Argon2やbcrypt等）の適用と多要素認証（MFA）の導入を推進する。 |
| ECサイト停止に伴うオムニチャネル機能・店舗業務の麻痺 | EC基盤と実店舗向け会員アプリの認証・認可機能を疎結合に設計し、EC環境が障害やセキュリティ事案で緊急停止した場合でも、店舗向け機能の参照系やポイント利用を安全に継続できるフェイルソフトな分離設計を行う。 |
自組織などでの確認項目
- 自社の顧客データベースやECサイトの運用を委託しているパートナーにおいて、OSやミドルウェアのセキュリティパッチ適用SLAと脆弱性検知体制はどのように規定され、定期的に監査されているか。
- データベースやストレージから短時間に大量の個人情報が抽出・送信された場合、リアルタイムに検知して通信を自動遮断または即座にエスカレーションできる監視機構が存在するか。
- 委託先で重大なインシデントが発生した場合に備え、サービスの段階的機能制限（例: 新規ログインやマイページのみ停止し、配送や店頭連携は維持する）を行うためのシステム的分離と判断基準が策定されているか。
未解明点
- フューチャーショップのサーバーで悪用されたソフトウェアの具体的な製品名・CVE番号や、脆弱性の種別（既知の未適用パッチかゼロデイ脆弱性かなど）は公表されるか。
- 一時停止している公式オンラインショップの安全確認作業およびシステム改修の完了と、サービス再開の具体的な目途はいつになるか。
出典
- 1おかあさんのおうち2026-10-26報道本文確認済
- 2AI SECURITY NOTE2026-10-26報道本文確認済
- 3情報漏洩まとめ.site2026-10-23報道本文確認済
- 4セキュリティ対策Lab2026-10-24報道本文確認済
- 5セキュリティ事故カルテ2026-10-29報道本文確認済
- 6Echo Station2026-10-24報道本文確認済
- 7リンツ＆シュプルングリージャパン株式会社2026-10-30公式本文確認済
- 8
- 9アプリ大百科2026-10-28報道本文確認済