ミスターマックスのMrMaxアプリ・オンラインストアへの不正アクセス（ソフトウェア機能の悪用によるサーバ侵入、会員最大173万5,154人の情報流出）
公表日
ディスカウントストアのミスターマックスで、アプリとオンラインストアのサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。会員 最大1,735,154人の会員ID・氏名・メールアドレス・電話番号が流出した可能性があります。
対象者は？
2026年10月3日の時点で、MrMaxアプリまたはミスターマックスのオンラインストアの会員だった方です。最大1,735,154人で、実際に流出が確定した人数は示されていません。対象の情報は登録の状況によって異なります。住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していないことが確認されています。
対象の方には、noreply@mrmax.jp から個別のメールが送られます。会社がメールでパスワードやカード番号を尋ねることはないとされています。専用の問い合わせ窓口も設けられています。
いますぐできること
- ミスターマックスを名乗るメール・SMSで、パスワードやカード番号を聞かれたら応じない。会社はこれらを尋ねないと説明している
- noreply@mrmax.jp 以外から届く「ミスターマックス」のお知らせのリンクは開かず、公式サイトで確認する
- 登録した電話番号やメールアドレスに、不審な連絡が増えていないか気をつける
何が起きたのか
2026年10月3日（土）の夕方、ミスターマックスはサーバーへの不審なアクセスに気づきました。会社はすぐにアプリとオンラインストアを止め、その日のうちに外からのアクセスを遮断しました。調べたところ、第三者がサービスを動かしているソフトウェアの機能を不正に使ってサーバーに入り込み、会員の情報の一部が流出したことが分かりました。会社は10月6日に公表しました。
なぜ起きたのか・なぜ広がったのか
犯人は、サービスを動かしているソフトウェアの機能を不正に使ってサーバーに入ったと会社は説明しています。どのソフトウェアのどの機能か、弱点（脆弱性）があったのかは、まだ公表されていません。10月3日より前から入られていたかどうかも分かっていません。
いまの状況2026-10-06 時点続報待ち
アプリとオンラインストアは止まったままで、再開の時期は発表されていません。個人情報保護委員会に報告し、警察にも相談しています。外部の専門機関と調査を続け、監視を強めるとしています。侵入の経路や、実際に流出した人数は、まだ発表されていません。
企業として考えたいこと
自社のWebサービスに使っているソフトウェアの管理機能などが、外から使える状態になっていないでしょうか。使っていない機能を止めているかを確認しましょう。
技術的な要約
九州・関東などでディスカウントストアを展開するミスターマックスは2026年10月6日、MrMaxアプリとオンラインストアのサーバが不正アクセスを受け、会員の個人情報が流出したと公表した。10月3日（土）夕方に不審なアクセスを確認し、ただちにサービスを一時停止して同日中に外部からのアクセスを遮断した。第三者が『本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入』したとされるが、ソフトウェア名・脆弱性の有無・悪用された機能は非公表である。対象は10月3日時点の会員最大1,735,154人で、流出の可能性がある情報は会員ID・氏名・メールアドレス・電話番号（登録状況により異なる）、住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していないと確認された。個人情報保護委員会に報告し警察に相談、外部専門機関と調査を継続中で、サービス再開時期は10月10日時点で公表されていない。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式表現は『第三者が本サービスを構成するソフトウェアの機能を不正に利用して当社サーバーに侵入し』（10/6公表）。アプリ・オンラインストアを構成するソフトウェアの機能が入口となりサーバへの侵入に至ったことまでが確定事実。『脆弱性』という語は使われておらず、既知/未知の脆弱性の悪用なのか、本来の機能（管理機能、ファイルアップロード、デバッグ・BI機能等）の不正利用・設定不備なのかは非公表。製品名・バージョン・CVEも非公表。報道（ITmedia、Security NEXT、ネットショップ担当者フォーラム、セキュリティ対策Lab）も公式表現の範囲を出ておらず、セキュリティ対策Labは『この表現だけで脆弱性の悪用や認証回避などと判断することはできない』としている。
- 脆弱性
- CVE 非公表公表で確認非公表（MrMaxアプリ・オンラインストアを構成するソフトウェア）公式は『ソフトウェアの機能を不正に利用』とのみ説明し、脆弱性か機能の悪用・設定不備かを明示していない。製品名・CVE・修正の有無は非公表（2026-10-10時点）。経路は遮断済みとされる。JPCERT/CC注意喚起（JPCERT-AT-2026-0030）のケースC（Metabase CVE-2026-72898）やケースD（WAR内JSP Webシェル）との関係は公式・報道とも言及なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 10/3の発覚後、MrMaxアプリとオンラインストアのサービスを一時停止し、同日中に外部からのアクセスを遮断。店舗営業への影響は公表されていない。業績への影響は精査中で、重大な影響が認められた場合に開示するとされる（ネットショップ担当者フォーラム）。期間：2026-10-03〜（再開時期は非公表。10/10時点で公式サイトのお知らせ一覧に再開告知は確認できず）
- データ
- おそれ上限 1,735,154確定 —人会員ID氏名メール電話対象は2026年10月3日時点のMrMaxアプリ会員およびオンラインストア会員で最大1,735,154人。流出の可能性がある情報は会員ID・氏名・メールアドレス・電話番号（登録状況により異なる）。住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していないことを確認と公表。公式は『個人情報の一部が流出したことが判明』としつつ件数は『最大』『流出の可能性』と表現しており、流出が確定した人数は示されていないため records_confirmed は null、certainty は『おそれ』とした。アプリ会員とストア会員の内訳・重複は非公表。
- 波及先
- —
- 金銭影響
- 業績への影響は精査中、重大な影響が認められた場合は開示する方針（ネットショップ担当者フォーラム、10/7）
- サプライチェーン
- 他組織への波及や委託先経由の侵入は公表されていない。アプリ・オンラインストアの開発・運用委託先や、悪用されたソフトウェアのベンダーは非公表。
時系列
- 2026-10-03
- 2026-10-03
- 2026-10-03
- 2026-10-06
- 2026-10-06 11:41
- 2026-10-07
- 2026-10-08
- 2026-10-09JPCERT/CCが注意喚起を更新し、ケースD（公開Webサーバから到達可能なアプリケーションサーバ上のWARファイル内JSP Webシェル）を追加9
技術解説
公表された侵入の構造 事実
ミスターマックスの説明は『第三者が本サービスを構成するソフトウェアの機能を不正に利用して当社サーバーに侵入』したというもので、APIからの情報取得にとどまらずサーバへの侵入に至った点が明記されている。対象はアプリとオンラインストアの両方で、10/3時点の会員最大1,735,154人が対象とされることから、両サービスが共通の会員データを持つサーバ（またはDB）に到達されたと読める。一方、流出したのは会員ID・氏名・メールアドレス・電話番号で、住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していないと確認されている。ソフトウェア名、悪用された機能、脆弱性の有無、侵入の開始時期は非公表で、公式・報道とも『ソフトウェアの機能』の中身には踏み込んでいない。
検知から公表までの速さ 事実
不審アクセスの確認は10/3（土）夕方で、同日中にサービスを停止し外部からのアクセスを遮断、3日後の10/6（火）に公表した。週末の夕方に検知してその日のうちにEC・アプリという売上に直結するサービスを止める判断をしており、封じ込めは速い。公表文では対象者への個別メールの送信元アドレス（noreply@mrmax.jp）を明示し、パスワードやカード番号を尋ねることはないと告知しており、なりすましメール対策も具体的である。一方、10/3より前から侵入されていたかどうか、検知のきっかけ（監視アラート、外部通報など）は公表されておらず、『不審なアクセスの確認』が侵入の初日だったのかは分からない。サービス再開時期も10/10時点で示されていない。
『ソフトウェアの機能を不正に利用』が意味しうるもの（推測） 解釈
公式があえて『脆弱性』ではなく『機能』と書いている点から、パッチ未適用の既知脆弱性ではなく、製品が本来持つ機能（管理画面、ファイルアップロード、プラグイン追加、デバッグ・診断機能、BIツールのクエリ機能など）が認証不備や初期設定のまま外部から使える状態だった可能性が考えられる。こうした機能はサーバ上でのコード実行やDBへの直接アクセスにつながりやすく、『サーバーに侵入』という表現とも整合する。同時期のJPCERT/CC注意喚起は、ケースCでMetabaseのSQLインジェクション（CVE-2026-72898）、ケースDでWARファイル内のJSP Webシェルを挙げているが、ミスターマックスとの関係は公式・報道とも示されておらず、いずれも可能性の一つにすぎない。単なる表現の選択で、実際には脆弱性悪用である可能性も同程度に残る。
流出しなかった項目が示すもの（解釈） 解釈
住所・生年月日・パスワード・カード情報・購入履歴が流出していないと『確認』できたことは、これらが侵入されたサーバとは別のシステム（決済代行、認証基盤、注文DB等）に分離されていたか、侵入範囲がログで限定できたことを示唆する。もしサーバ侵入でDB全体に到達されていれば被害項目はもっと広がったはずで、データ分離が被害を抑えた可能性がある（推測）。ただし、残った氏名・メールアドレス・電話番号・会員IDの組み合わせは、MrMaxを名乗るフィッシングメールやSMSの材料としては十分で、173万人規模の顧客に対する二次被害リスクは残る。公表時点で悪用被害は確認されていないとされるが、今後の不正利用の有無は続報で確認が必要である。
対応
- 封じ込め
- 10/3夕方の不審アクセス確認後、ただちにアプリ・オンラインストアを一時停止し、同日中に外部からのアクセスを遮断。不正アクセスの経路を遮断する対策を実施し、外部専門機関の協力で詳細調査、監視体制を強化。再発防止策の具体（ソフトウェアの更新・機能無効化等）は非公表。
- 公表の仕方
- 10/6に公式サイトとPDFで公表（PDFの名義は株式会社ミスターマックス、代表者名なし）。対象者へ noreply@mrmax.jp から個別メール、パスワード・カード番号を尋ねることはないと告知、専用窓口（incident-desk@mrmax.co.jp）を設置。新たな事実が判明すれば速やかに公表するとしているが、10/10時点で続報は確認できない。ソフトウェア名・侵入開始時期・再開時期は非公表。
- 当局対応
- 個人情報保護委員会：報告済み（10/6公表時点）
- 警察：相談済み
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サービスを構成するソフトウェアの『機能』が外部からの侵入口になった | アプリ・EC基盤を構成する製品/OSSの一覧（SBOM）を作り、各製品の管理画面・アップロード・プラグイン・デバッグ/診断・クエリ実行などの機能について、インターネットから到達可能か、認証が必須か、不要なら無効化されているかを棚卸しする。管理系パスは送信元IP制限またはVPN/ゼロトラスト経由に限定する |
| Webサーバ侵入から会員データへ到達された | 公開サーバのDB接続ユーザーは画面に必要なテーブル・カラムだけを参照できる最小権限にし、会員一覧の全件SELECTを不可にする。公開サーバからの外向き通信をallow-list化し、大量データの外部送信をネットワーク/DB監視で検知する |
| 住所・PW・カード・購入履歴は別管理で流出を免れた（分離が効いた可能性） | 決済はトークン化して決済代行に預け、パスワードは別の認証基盤でハッシュ保存、注文履歴は別DBに置くなど、機微度ごとにストアと資格情報を分けて1サーバの侵害で全項目が抜けない構成にする |
| 週末夕方の検知でも当日中に停止・遮断できた | EC・アプリの緊急停止（メンテナンス表示への切替、WAFでの全遮断）を誰の判断で何分以内に実行できるか、休日の連絡網とあわせてランブックに明記し、年1回は訓練する |
| 氏名・メール・電話の流出はフィッシングの材料になる | 公表時に正規の送信元アドレス・SMS送信元を明示し、DMARC（p=reject）とBIMI/送信ドメイン認証を整備してなりすましメールを受信側で落とせるようにする。会員にパスキー/多要素認証の設定を促す |
自組織などでの確認項目
- あなたのサービスを構成する製品・OSSのうち、管理画面やアップロード、診断・クエリ実行機能がインターネットから到達できるものはいくつあるか。最後に棚卸ししたのはいつか。
- 公開Webサーバが乗っ取られた場合、そこから会員DBの全件を読み出せるか。読み出せないようにするには、DB権限とネットワークのどこを変える必要があるか。
- 土曜の夕方に不審アクセスの兆候が出たとき、ECやアプリを止める判断を誰がどれくらいの時間で下せるか。止めた場合の売上影響を事前に経営と合意しているか。
- 流出した氏名・メール・電話番号を使ったなりすましに対し、顧客が本物の連絡を見分けられる仕組み（送信元の固定、DMARC、アプリ内通知）を用意しているか。
未解明点
- 悪用された『ソフトウェア』の製品名・バージョンと『機能』の内容、脆弱性（CVE）か設定不備か機能悪用か
- 初回侵入日と10/3以前の不審アクセスの有無、検知のきっかけ
- 侵入されたサーバとデータの範囲、流出が確定した人数（最大1,735,154人のうち実際に取得された人数）
- アプリ・オンラインストアの再開時期と再開条件
- JPCERT/CC注意喚起（JPCERT-AT-2026-0030）が挙げる国内事案に本件が含まれるか
- 攻撃者の正体・目的、流出データの販売・公開の有無（10/10時点で犯行声明・リーク情報は確認できず）
- 業績への影響額（精査中とされる）
出典
- 1ミスターマックス2026-10-06公式本文確認済
- 2株式会社ミスターマックス2026-10-06公式本文確認済
- 3NHK2026-10-06報道本文確認済
- 4ITmedia NEWS2026-10-06報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2026-10-06報道本文確認済
- 6Security NEXT2026-10-07報道本文確認済
- 7ネットショップ担当者フォーラム2026-10-07報道本文確認済
- 8西日本新聞2026-10-06報道未確認
- 9JPCERT/CC2026-10-08研究者本文確認済
- 10Impress Watch2026-10-08報道本文確認済