松屋公式アプリ管理システムへの不正アクセス（約238万件の個人情報漏えい）
公表日
松屋フーズホールディングスは、公式アプリの管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、事前予約やデリバリー等の利用者情報など最大約238万件の個人情報が漏えいしたと公表しました。
対象者は？
「松弁ネット」「松屋モバイルオーダー」「松弁デリバリー」の利用者2,377,127人、および松屋公式アプリ会員2,000人（最大3,000人の可能性）。対象情報には氏名、電話番号、お届け先住所、生年月日、メールアドレス、ポイント情報、暗号化されたパスワードが含まれます。なお、クレジットカード情報は同社で保持していないため含まれていません。
情報が漏えいした対象者に対して同社より順次連絡が行われる予定です。また、松屋フーズホールディングスが設置した個人情報お問い合わせ窓口で確認できます。
いますぐできること
- 松屋フーズを名乗る不審なメール、SMS、電話に注意し、記載されたリンクを開いたりパスワードやカード番号を入力したりしない（同社からこれらを尋ねることはないと案内されています）。
- 松屋公式アプリと同じパスワードを他のWebサイトやアプリでも使い回している場合は、速やかに他サービスのパスワードを変更する。
何が起きたのか
2026年10月28日夜、松屋公式アプリの管理システムで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が検知され、公式アプリや弁当予約・デリバリーサービス、公式サイトが緊急停止されました。その後の調査により、弁当予約やデリバリーを利用した顧客の住所・氏名など約237万件と、アプリ会員情報2,000件（最大3,000件）の合計約238万件の個人情報が漏えいしたことが判明しました。店舗での通常営業は継続されています。
なぜ起きたのか・なぜ広がったのか
公式アプリの管理システムが外部の第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたとされていますが、どのような弱点が悪用されたのか、侵入経路などの詳細な原因はまだ調査中とされています。
いまの状況2026-10-30 時点続報待ち
公式アプリや松弁ネット、モバイルオーダー、松弁デリバリー、公式サイトは停止が続いています。松屋フーズホールディングスは個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。を行い、対象者への個別連絡やアプリ会員への補償を準備しています。また、停止中の代替対応として公式X上で割引クーポンを配布しています。
企業として考えたいこと
自社の会員アプリや注文システムの管理画面は、外部から直接アクセスできないように隔離され、決済情報の非保持化や不要な顧客データの削除が徹底されているでしょうか？
技術的な要約
牛丼チェーン「松屋」などを運営する株式会社松屋フーズホールディングスは、松屋公式アプリの管理システムが第三者による不正アクセスを受け、最大約238万人分の個人情報が漏えいしたと公表した。2026年10月28日夜に不正アクセスを検知し、公式アプリや弁当予約・デリバリーサービス、公式ウェブサイトを緊急停止する措置をとった。漏えい対象には「松弁ネット」「モバイルオーダー」「松弁デリバリー」利用者の氏名、電話番号、お届け先住所、ポイント情報など2,377,127件、およびアプリ会員登録情報2,000件（最大3,000件の可能性）が含まれている。クレジットカード情報は同社で保持しておらず流出対象に含まれていない。同社は個人情報保護委員会への報告を行い、対象者への連絡やサービス停止に伴う補償を予定しているが、侵入経路や原因などの詳細は公表時点で調査中とされている。
攻撃の分類
- 侵入口
- 不明松屋公式アプリの管理システムに対する第三者からの不正アクセスが確認されたが、原因および不正アクセスが可能となった侵入経路や経緯などの詳細は調査中とされている
- 脆弱性
- CVE 非公表不明松屋公式アプリ管理システム不正アクセスが可能となった具体的な脆弱性や原因は調査中として非公表
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 松屋公式アプリ、「松弁ネット」、「松屋モバイルオーダー」、「松弁デリバリー」のオンライン注文機能、および公式ウェブサイトが停止。店舗での通常営業は継続期間：2026-10-28夜から継続中（2026-10-30時点）
- データ
- 確定上限 2,380,127確定 2,379,127件氏名電話住所生年月日メール会員IDハッシュ化PWその他松弁ネット・モバイルオーダー・松弁デリバリー利用者2,377,127件（会員ID、お届け先住所、氏名、電話番号、松屋ポイント情報）の流出が確定。公式アプリ会員登録者情報2,000件（会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイント情報）の流出が確定しており、最大3,000件にのぼる可能性がある。クレジットカード情報は非保持のため含まれない。合計で流出確定2,379,127件、最大2,380,127件（報道では約238万件／約238万人分と表記）
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
検知から公表に至る経緯と漏えいデータの確認状況 事実
松屋フーズホールディングスでは、2026年10月28日午後7時ごろから公式アプリでの注文や決済に関する不具合がSNS上で報告され始め、同日午後9時ごろに公式アプリ管理システムへの不正アクセスを検知した。同日午後10時41分に公式Xで緊急メンテナンスによるサービス停止を告知し、翌10月29日に不正アクセスの検知と公式アプリ・公式サイトの停止を正式に公表した。さらに10月30日には東証への適時開示および公式サイトにて、約238万件の個人情報が漏えいしたと発表した。漏えいの内訳は、弁当予約やデリバリー等の注文サービス利用者情報が2,377,127件（会員ID、お届け先住所、氏名、電話番号、松屋ポイント情報）、公式アプリ会員登録情報が2,000件（最大3,000件の可能性があり、会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化パスワード、ポイント情報を含む）である。クレジットカード情報については同社側で保持していないため、流出対象には含まれていないとされている。
アプリ管理システムの侵害に伴う影響範囲とデータ保護設計 解釈
本インシデントでは、飲食チェーンの基幹的な顧客接点である公式アプリの管理システムが侵害対象となった。特筆すべき点として、テイクアウト事前予約「松弁ネット」や「松弁デリバリー」の運用に伴い蓄積されていた配送先住所や電話番号など、利用者の物理的な生活拠点に直結するプライバシー情報が237万件超という大規模で漏えいしたことが挙げられる。一方で、クレジットカード情報については自社環境で保持しない非保持化が徹底されていたため、決済情報の直接的な不正利用被害は回避されたとみられる。ただし、アプリ会員情報の一部についてはメールアドレスや暗号化されたパスワードも対象に含まれているため、暗号化アルゴリズムの強度によってはオフラインでのクラッキング試行や、他サービスへのパスワードリスト攻撃の足がかりとして悪用されるリスクへの警戒が求められる。
オンライン停止に伴う事業継続対応と利用者コミュニケーション 解釈
不正アクセスの検知直後に公式アプリや注文サービス、公式Webサイトを全面的に緊急停止した判断は、さらなるデータ窃取や不正操作を防ぐ封じ込め措置として適切であったと考えられる。店舗での券売機を用いた通常営業は継続できたものの、事前注文やデリバリーという日常的な販売チャネルが途絶えたことによる事業影響は大きい。同社はインシデント公表と並行して、公式Xを通じて店舗券売機で使える割引クーポンや40%オフクーポンを配布し、アプリ会員に対する停止期間中の補償予定を表明するなど、顧客離れを防ぐための積極的なコミュニケーションを展開している。早期のサービス復旧と並行して、侵入原因の特定と抜本的なセキュリティ強化が完了するまでの間、代替窓口を通じた利用者サポートを維持することが信認回復の鍵となる。
対応
- 封じ込め
- 不正アクセス検知に伴い、松屋公式アプリ（松弁ネット、松屋モバイルオーダー、松弁デリバリー）および公式ウェブサイトを緊急停止し、被害の拡大防止と安全性の確認、関係各社の協力によるシステムの早期復旧対応を実施した。
- 公表の仕方
- 2026年10月28日夜の公式Xでの緊急メンテナンス案内に続き、10月29日に不正アクセス検知とサービス停止を公表。10月30日に東証適時開示およびリリースで約238万件の個人情報漏えい事実、漏えい項目内訳、クレカ情報の非保持、個人情報お問い合わせ窓口の設置、不審な連絡への注意喚起を公表した。また、クーポン利用停止に伴う代替として公式Xでの割引クーポンの配布やアプリ会員向け補償の予定を案内した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開されているアプリ管理システムやAPIエンドポイントの厳格な防御とアクセス制限 | 管理システムをインターネットへ直接露出させず、管理アクセスをゼロトラストネットワークアクセス（ZTNA）や特定IP・クライアント証明書に限定した専用経路経由に制限し、多要素認証（MFA）を義務付ける。 |
| 決済情報だけでなく住所や連絡先など不要な個人データの保持見直しと暗号化 | 過去のデリバリー配達先住所など不要となった個人データは定期的に自動削除またはマスキングするデータライフサイクル管理を導入し、保存データに対する適切な暗号化を施す。 |
| 顧客認証情報の安全な保護とパスワードリスト攻撃対策 | パスワードハッシュ化にはArgon2idやbcrypt等の十分なストレッチングとソルトを伴う強固なアルゴリズムを採用し、平文推測を困難にするとともに、不審な連続ログイン試行を遮断するレートリミットを実装する。 |
| 中核となるオンライン注文基盤停止を想定した事業継続計画（BCP）の整備 | モバイルオーダー等の基幹サービス停止時にも店舗現場での業務が破綻しない代替オペレーション手順を整備し、SNSや外部配信網を用いた顧客周知フローをあらかじめ策定しておく。 |
自組織などでの確認項目
- 自社で運用または外部委託しているモバイルアプリのバックエンドや管理システムにおいて、不要なインターネット公開設定や過剰な管理者権限が存在していないか。
- 顧客の氏名・電話番号・配達先住所などの個人情報について、業務上必要な保存期間を過ぎたデータの自動消去やマスキング処理が運用されているか。
- 主要なWebサイトやオンライン受注システムが不正アクセスにより全面停止した場合、店舗や現場の業務をどう継続し、どのような代替手段で顧客へ告知するか手順化されているか。
未解明点
- 公式アプリ管理システムへの不正アクセスを許した具体的な技術的原因（Web脆弱性の悪用、管理用認証情報の漏えい、APIの認可不備など）は何であったのか。
- 公式アプリ会員登録情報の流出件数について、確定している2,000件に対して「最大3,000件となる可能性」と幅を持たせている要因（アクセスログの欠損や追跡範囲の制限など）の技術的背景は何か。
出典
- 1株式会社アクト2026-10-30研究者本文確認済
- 2INTERNET Watch2026-10-30報道本文確認済
- 3ライブドアニュース（共同通信）2026-10-30報道本文確認済
- 4NHK2026-10-29T14:33+09:00報道本文確認済
- 5NHK2026-10-30T14:38+09:00報道本文確認済
- 6ビジネス＋IT2026-10-30T05:25+09:00報道本文確認済
- 7NOVAIST2026-10-30報道本文確認済
- 8セキュリティ事故カルテ2026-10-30研究者本文確認済
- 9デイリースポーツ2026-10-30報道本文確認済
- 10ITmedia ビジネスオンライン2026-10-30報道本文確認済
- 11ITmedia NEWS2026-10-29報道本文確認済
- 12ITmedia NEWS2026-10-30報道本文確認済
- 13株式会社松屋フーズホールディングス2026-10-30公式本文確認済
- 14福島民報社2026-10-29報道本文確認済
- 15日本経済新聞2026-10-30報道本文確認済
- 16Impress Watch2026-10-30報道本文確認済