トヨタモビリティパーツ「ジェームス」会員情報管理サーバーへの不正アクセス（会員情報8項目漏えいのおそれ・件数調査中）
公表日
カー用品チェーン「ジェームス」を運営するトヨタモビリティパーツが、会員情報管理サーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で、会員情報8項目が漏れた可能性があると発表しました。対象の件数は調査中で、まだ発表されていません。
対象者は？
ジェームスの会員のうち、情報が漏れた可能性がある人です。漏れた可能性がある情報は、氏名・郵便番号・住所・電話番号・生年月日・性別・会員番号・メールアドレスの8項目です。クレジットカード情報はデータとして保持しておらず、漏れた可能性はないと確認済みとされています。対象の件数や範囲は、まだ発表されていません。
対象の会員には、確認が取れ次第、個別に連絡する予定とされています。専用のお問い合わせ窓口は準備中で、できあがり次第、公式サイトで案内するとされています。
いますぐできること
- 公式サイトのお知らせ欄で、個別連絡や専用窓口についての案内が出ていないか確認する。
- ジェームスをかたるメール・SMS・電話が届いても、本文のリンクを開いたり、番号を伝えたりしない。
- 気になる連絡は、公式サイトに載っている窓口に自分で問い合わせて確かめる。
何が起きたのか
2026年4月25日と26日に、同社が管理するサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかりました。同社は見つけてすぐにネットワークを遮断するなどの緊急対応をとり、専門家と調査を進めました。公式サイトには4月28日付でアプリ機能の制限のお知らせが載り、4月30日に、会員情報の一部が漏れた可能性があるとして、おわびと報告が公表されました。その後、7月17日付で、アプリからのWEB作業予約の復旧と一部利用方法の変更が案内されています。
なぜ起きたのか・なぜ広がったのか
侵入された方法や原因は、まだ発表されていません。原因の究明と被害範囲の特定は、4月30日の発表時点で続けられている状況でした。
いまの状況2026-07-31 時点続報待ち
2026年7月31日までに確認できた公式サイトの掲載では、7月17日にアプリからのWEB作業予約の復旧が案内されています。4月30日の発表時点では、二次被害は確認されていないとされていました。対象件数、原因、再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
もし自社の会員情報サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたら、何時間以内に遮断し、どの情報が何件漏れたかを分けて、お客様に伝えられるでしょうか。
技術的な要約
トヨタモビリティパーツ株式会社は2026年4月30日、同社が管理するサーバーへの不正アクセスにより、カー用品チェーン「ジェームス」の会員情報の一部が漏えいした可能性があると公表した。不正アクセスは2026年4月25日・26日の2日間にわたって検知され、発覚後直ちにネットワーク遮断等の緊急措置を講じた。漏えいの可能性がある情報は氏名・郵便番号・住所・電話番号・生年月日・性別・会員番号・メールアドレスの8項目で、対象件数は調査中として公表されていない。クレジットカード情報はデータとして保持しておらず、漏えいの可能性はないとしている。公表時点で二次被害は確認されておらず、原因究明・被害範囲の特定・再発防止策の立案が継続中とされた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「同社が管理するサーバーへの不正アクセス」とされ、侵入経路・手口は示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 公式サイトには2026-04-28付で「アプリ機能制限のお知らせ」、2026-07-17付で「アプリからのWEB作業予約復旧および一部ご利用方法変更のご案内」が掲載されている。報道では、本件への対応措置としてアプリ機能・WEB予約機能の一部が制限されているとみられると推測されている。店舗営業の停止は公表されていない。
- データ
- おそれ上限 —確定 —氏名住所電話生年月日性別会員IDメールその他漏えいの可能性がある情報は氏名・郵便番号・住所・電話番号・生年月日・性別・会員番号・メールアドレスの8項目（「その他」は郵便番号）。件数は調査中で未公表。クレジットカード情報はデータとして保持しておらず、漏えいの可能性はないと確認済みとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由したとの公表はない。
時系列
- 2020-04-01全国33社のトヨタ部品共販と株式会社タクティーが統合し、トヨタモビリティパーツ株式会社が発足した（背景情報）。1
- 2026-04-25
- 2026-04-26
- 2026-04-26
- 2026-04-28ジェームス公式サイトに「ジェームスアプリご利用のお客様へのご案内（アプリ機能制限のお知らせ）」が掲載された。3
- 2026-04-30
- 2026-04-30同日付で「アプリ・WEB予約機能制限のお知らせ」も公表された。報道は本件への対応措置として機能が制限されているとみられると推測している。1
- 2026-05-08セキュリティ対策Labが本件を報道した。1
- 2026-05-19ScanNetSecurityが本件を報道した。2
- 2026-07-17公式サイトに「アプリからのWEB作業予約復旧および一部ご利用方法変更のご案内」が掲載された。3
- 2026-07-31公式サイトに「会員規約の一部変更のお知らせ」が掲載された（本件との関係は公表から読み取れない）。3
技術解説
公表された事実の整理 事実
トヨタモビリティパーツ株式会社は2026年4月30日、同社が管理するサーバーへの不正アクセスにより会員情報の一部が漏えいした可能性があるとして、公式サイトで謝罪と報告を公表した。不正アクセスは4月25日・26日の2日間にわたって検知され、発覚後直ちにネットワーク遮断等の緊急措置を講じ、専門家による調査を進めたとされる。対象はジェームス会員情報管理サーバーである。漏えいの可能性がある情報は氏名・郵便番号・住所・電話番号・生年月日・性別・会員番号・メールアドレスの8項目で、件数は調査中として公表されていない。クレジットカード情報はデータとして保持しておらず、漏えいの可能性がないことを確認済みとしている。
公表後の対応と公式サイトの掲載内容 事実
4月30日時点で二次被害は確認されておらず、原因究明・被害範囲の特定・再発防止策の立案が継続中とされた。対象会員への個別連絡は確認が取れ次第実施予定で、専用お問い合わせ窓口は設置準備中であり、完成次第公式サイトで案内するとしている。今後、不審なメール・SMS・電話等が送付される可能性があるとして注意も呼びかけた。公式サイトのお知らせ欄には、4月28日付でアプリ機能制限のお知らせ、7月17日付でアプリからのWEB作業予約復旧と一部ご利用方法変更の案内、7月31日付で会員規約の一部変更のお知らせが掲載されている。アプリ・WEB予約機能の制限が本件への対応措置であるという点は報道の推測であり、規約変更と本件との関係は公表から読み取れない。
8項目の性質と未公表事項から考えられること 解釈
以下は公表された事実に基づく解釈である。漏えいの可能性がある8項目は、本人の特定や連絡に使える基本的な属性情報で、電話番号・メールアドレス・会員番号を含む。公表が不審なメール・SMS・電話への注意を呼びかけているとおり、なりすましや勧誘の連絡に使われる余地がある。一方、件数、侵入経路、攻撃者、不正アクセスが始まった時期は公表されておらず、被害範囲の大きさは外部からは判断できない。アプリ機能制限の案内が4月28日付で、報告の公表より前に出ている点は、報道の推測どおり対応措置であれば、検知後に先に機能を止めた可能性を示す。ただし確認された事実ではなく、続報での説明を待つ必要がある。
対応
- 封じ込め
- 発覚後直ちにネットワーク遮断等の緊急措置を講じ、専門家による調査を進めた。公表時点で二次被害は確認されておらず、原因究明・被害範囲の特定・再発防止策の立案が継続中。アプリ機能は2026-04-28付で制限が案内され、2026-07-17付でWEB作業予約の復旧が案内された。
- 公表の仕方
- 2026-04-30に公式サイトで謝罪と報告を公表。対象会員への個別連絡は確認が取れ次第実施予定、専用お問い合わせ窓口は設置準備中で完成次第公式サイトで案内するとした。今後、不審なメール・SMS・電話等が送付される可能性があるとして注意を呼びかけている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員の属性情報は、カード情報が無くても悪用される余地がある。 | 会員DBの項目を棚卸しし、生年月日・電話番号など不要な属性は保持を止めるか分離する。保持期間を定め、期限後に自動削除するバッチを実装する。 |
| 検知から機能制限・遮断までを速やかに実行できる体制が、被害の拡大を抑える。 | 会員管理サーバーを他システムから切り離せるよう、ネットワークセグメントとFW規則を事前に設計する。遮断手順をランブック化し、年1回以上は訓練する。 |
| カード情報を保持しない設計は、影響範囲を限定する効果がある。 | 決済はトークン化または外部の決済代行に任せ、自社DBにはカード番号を持たない。定期的にDBとログを検索し、意図しない保存がないか確認する。 |
| 件数や原因が未確定の段階でも、分かっていることと調査中のことを分けて伝えることが重要である。 | 初報用テンプレートに「確認済み／可能性／調査中」の欄を設ける。件数は上限と確定を分けて記載し、続報の更新時期の目安も添える。 |
| 漏えい後はフィッシングなど二次被害への備えが必要になる。 | 自社ドメインにSPF・DKIM・DMARC（p=reject目標）を設定する。会員向け連絡文面に、URLやパスワードを求めないという方針を明記する。 |
自組織などでの確認項目
- 自組織の会員・顧客DBには、氏名・住所・電話番号・生年月日・メールアドレスなどのどの項目が、どの期間保持されているか。業務上不要な項目は残っていないか。
- 自組織の顧客管理サーバーで不正アクセスを検知した場合、何分・何時間でネットワーク遮断やアプリ機能の制限を実行できるか。その手順は文書化され、直近1年以内に訓練されているか。
- 自組織が漏えいを公表する場合、件数が未確定でも「確認済み」「可能性」「調査中」を分けて書けるか。対象者への個別連絡と問い合わせ窓口は、公表時点で準備できているか。
未解明点
- 漏えいの可能性がある会員の件数と対象期間はどれだけか。
- 不正アクセスの侵入経路・手口と、侵入が始まった時期はいつか。
- 原因究明と再発防止策の結果、およびアプリ機能制限・WEB予約停止の理由は、どのように公表されるか。
- 個別連絡や専用お問い合わせ窓口の開設、個人情報保護委員会などへの報告状況はどうか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-08報道本文確認済
- 2ScanNetSecurity2026-05-19報道本文確認済
- 3トヨタモビリティパーツ（ジェームス）公式本文確認済