松屋フーズへの不正アクセスによる公式アプリ・Webサイトの停止
公表日
株式会社松屋フーズホールディングスは外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知したため、松屋公式アプリやWebサイトなどのサービスを停止しました。個人情報の流出有無や原因は調査中とされています。
対象者は？
松屋公式アプリ（「松弁ネット」「モバイルオーダー」「松弁デリバリー」）や公式サイトの利用者。個人情報が漏えいしたかについては確認中であり、現時点で流出が確定した情報は発表されていません。
松屋フーズ公式サイトに掲載されているお知らせや、今後発表される公式の続報を確認してください。
何が起きたのか
2026年10月28日の夜、松屋公式アプリで注文ができないといった不具合が発生し、同日21時ごろに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が検知されました。同社は緊急メンテナンスとして公式アプリやWebサイトを停止し、翌29日に外部からの不正アクセス検知に伴うサービス停止であることを公表しました。実店舗での対面販売は続けられているものの、オンラインでの持ち帰り予約やモバイルオーダーが利用できない状態が続いています。
なぜ起きたのか・なぜ広がったのか
外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知したためサービスを停止したと発表されていますが、どのような経路で侵入されたのか、具体的な手口や原因となった脆弱性などの詳細は公表されていません。
いまの状況2026-10-30 時点続報待ち
原因や影響範囲の特定、被害拡大防止と安全確認が進められていますが、個人情報漏えいの有無やサービスの復旧見通しはまだ発表されていません。
企業として考えたいこと
自社のWebサイトや注文アプリに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が疑われた際、原因特定を待たずに即座にサービスを停止し、対面やオフラインだけで事業を継続できる体制が整っていますか？
技術的な要約
牛丼チェーン「松屋」を展開する松屋フーズおよび松屋フーズホールディングスは、2026年10月28日21時ごろに外部からの不正アクセスを検知した。これに伴い、松屋公式アプリの「松弁ネット」「モバイルオーダー」「松弁デリバリー」やホームページなどの関連サービスを停止した。当初は公式Xアカウント等で緊急メンテナンスと案内していたが、翌29日に不正アクセス検知によるサービス停止であることを公表した。店舗営業自体は継続しているものの、アプリ等を通じた持ち帰り予約やオンライン注文が利用できない状態となっている。個人情報の漏えいの有無や侵入経路、復旧の見通しについては原因および影響範囲の調査が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスの侵入経路や手口は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 松屋公式アプリ（松弁ネット、モバイルオーダー、松弁デリバリー）およびホームページ等の関連サービスが停止し、閲覧やオンライン予約・注文が利用不可となった。店舗の営業自体は停止していない。
- データ
- 調査中上限 —確定 —個人情報の漏えいが発生したと断定できる公表はなく、情報漏えいの有無や件数などの詳細は確認・調査中とされている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
不正アクセスの検知とオンラインサービスの停止経緯 事実
松屋フーズおよび松屋フーズホールディングスでは、2026年10月28日21時ごろに外部からの不正アクセスが検知された。これに伴い、同社は公式Webサイトや公式アプリ内の主要機能である「松弁ネット」「松屋モバイルオーダー」「松弁デリバリー」を含む関連サービスの提供を停止した。事態の初期段階である同日19時ごろからSNS上ではアプリで注文できない、通信エラーで決済が通らないといった利用者の投稿が出始めており、同日22時41分には公式Xアカウントを通じて緊急メンテナンスによるサービス停止が告知された。翌29日午前には公式サイトの案内タイトルが「緊急メンテナンスのお知らせ」から「松屋アプリ等のサービス停止のお知らせ」へと改められ、サービス停止の理由が外部からの不正アクセス検知への対応であることが公表された。実店舗の営業自体は継続されたものの、アプリ限定商品の注文ができないなどオンライン経由のサービスに支障が生じた。
被害の調査範囲と個人情報への影響の公表状況 事実
公表時点において、松屋フーズは不正アクセスの原因および影響範囲の特定を進めるとともに、被害拡大防止とシステムの安全性確認に取り組んでいると発表している。顧客情報などの個人情報が外部へ流出したか否かについては「確認を進めている」「確認中」とされており、公表段階で漏えいが確定した事実や件数などは示されていない。また、侵入の具体的な経路や手口、影響を受けた機器の範囲、サービス復旧の見通しについても明らかにされていない。公式サイト上の告知には専用の問い合わせ窓口や個人情報の取り扱いに関する詳細な説明は含まれておらず、確認状況や復旧見通しについては進捗があり次第改めて知らせる方針とされている。
障害初動対応における情報発信と事業継続の課題 解釈
本件では、サービス停止の初動において「緊急メンテナンス」と案内され、翌日に「不正アクセス検知」へと公表内容が更新された。インシデント発生直後はシステム障害と外部攻撃の切り分けに時間を要することが一般的であるが、外部からの侵入を検知した段階で速やかに関連サービスを遮断した判断は、被害拡大を防ぐための初動隔離措置として機能したと考えられる。一方で、事前予約やモバイルオーダーといったオンライン販売基盤が停止したことで、限定商品の販売やテイクアウト需要の受け皿に直接的な影響が及んだ。実店舗での対面販売が継続できたため飲食事業自体の全面停止は免れたものの、デジタル接点が顧客動線に深く組み込まれているビジネスモデルにおいて、オンライン停止時の代替フローや情報開示の迅速性が問われる事例といえる。
対応
- 封じ込め
- 不正アクセス検知を受け、松屋公式アプリ（松弁ネット、モバイルオーダー、松弁デリバリー）およびホームページなどの関連サービスを停止した。
- 公表の仕方
- 2026年10月28日夜に公式Xアカウントで緊急メンテナンスに伴う停止を告知した後、翌29日に公式サイト上で「松屋アプリ等のサービス停止のお知らせ」を掲載し、外部からの不正アクセス検知によるサービス停止であることを公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開WebシステムやAPIへの不正アクセス検知と迅速なサービス隔離手順の確立 | WAFやSIEMによる異常リクエストの常時監視体制を敷き、侵害の兆候を検知した際に特定のエンドポイントやサービス全体を即座に縮退・遮断できるよう、自動または手動の隔離手順を事前に定義しておく。 |
| システム障害とセキュリティインシデントの切り分けおよび初動広報基準の策定 | 障害発生時に「メンテナンス」等の表現で案内した後に不正アクセスと判明した場合の公表切り替えプロセスをあらかじめ定め、広報部門と技術部門が迅速に整合の取れた情報発信を行えるエスカレーション手順を整備する。 |
| オンライン注文・決済機能停止時における店舗現場の代替運用フローの確保 | モバイルオーダーやWeb予約などのデジタル窓口が完全停止した場合を想定し、店舗側のPOSレジや券売機のみで注文処理・混雑緩和を行える手動運用マニュアルを策定し、定期的な訓練を実施する。 |
| 侵害調査を迅速化するためのアクセスログおよびデータベース監査証跡の保全 | 顧客情報や注文データを扱う基盤において、APIアクセスログやデータベースのクエリログを改ざん不可能な別領域へ集約・保管し、侵害発生時に速やかに流出有無を調査・判定できるフォレンジック体制を整える。 |
自組織などでの確認項目
- 自社のWebサービスやモバイルアプリ向け基盤において、外部からの不正アクセスを検知した際に即座にサービスを安全に遮断・隔離する権限と技術手順が整備されているか。
- サービス停止発生時に、原因がシステム不具合かサイバー攻撃か未確定の段階から確定に至るまでの対外公表の判断基準や更新フローが用意されているか。
- ECや事前予約などのデジタルチャネルが突発的に利用不能となった際、現場の対面業務や手作業のみで事業オペレーションを継続できる代替体制が機能するか。
未解明点
- 不正アクセスの侵入経路となった機器や悪用された脆弱性、攻撃者の具体的な手口はどのようなものだったか。
- アプリやWebサイトに登録されていた利用者の個人情報や決済情報について、実際に外部への不正なアクセスや情報流出の痕跡はあったのか。
- 停止したモバイルオーダーや松弁ネットなどの各サービスは、どのような安全確認と再発防止策を経て再開される見通しか。
出典
- 1株式会社アクト2026-10-29研究者本文確認済
- 2ライブドアニュース2026-10-29報道本文確認済
- 3NHKニュース2026-10-29報道本文確認済
- 4ビジネス＋IT2026-10-30報道本文確認済
- 5時事通信2026-10-29報道本文確認済
- 6CNET Japan報道本文確認済
- 7セキュリティ対策Lab2026-10-29報道本文確認済
- 8進撃のグルメ2026-10-29報道本文確認済
- 9中日新聞Web2026-10-29報道本文確認済
- 10デイリースポーツ online2026-10-29報道本文確認済
- 11ITmedia NEWS2026-10-29報道本文確認済
- 12株式投資情報 日本インタビュ新聞2026-10-29報道本文確認済
- 13共同通信社2026-10-29報道本文確認済