セイコーマート公式アプリのサーバー経由での会員情報サーバーへの不正アクセス（574,647人分の姓名・住所・電話番号等が閲覧）
公表日
コンビニ「セイコーマート」の公式アプリのサーバーを経由して会員情報が不正に見られ、最大約57.5万人分の氏名・住所・電話番号などが対象になりました。
対象者は？
セイコーマートアプリに登録したことがある会員です。最大574,647人で、そのうち閲覧が確認されたのは572,022人（アプリ会員の49%）です。姓名・性別・生年月日・住所・電話番号・メールアドレス・クラブカードの入会日と退会日が対象です。パスワードと購買履歴は漏えいしておらず、クレジットカード情報は会社が持っていないとされています。公式通販だけに登録している方、アプリに登録していない方、2026年9月24日までにクラブカードを退会した方は対象外です。
対象かどうかは、2026年10月5日からアプリの「お知らせ」で個別に通知されています。
いますぐできること
- セイコーマートアプリの「お知らせ」で、自分が対象かどうかを確認する
- セイコーマートを名乗るメールで、パスワード・暗証番号・カード情報・預金情報を聞かれても答えない。会社はメールでこれらを聞かないと案内しています
- 登録している電話番号や住所に、不審な電話や郵便が増えていないか気をつける
何が起きたのか
2026年9月24日の夜、ある会員のクラブカードが、本人ではない誰かによって退会させられていました。これを調べたところ、9月28日の夕方に、スマートフォン向けアプリのサーバーを経由して、会員情報を持つサーバーに第三者が不正にアクセスした可能性が分かりました。会社は同じ日の夜8時にサーバーへの接続を止めました。9月29日に約57万アカウントが対象になりうると公表し、9月30日には572,022人分が見られたことを確認しました。10月5日には対象を574,647人に更新しました。
なぜ起きたのか・なぜ広がったのか
アプリのサーバーを経由して会員情報のサーバーに入られたことは分かっていますが、具体的な手口は、警察などと調べている途中のため公表されていません。攻撃者は情報を見るだけでなく、会員の退会処理もできる状態でした。
いまの状況2026-10-05 時点続報待ち
お店での支払い（ペコママネー）、ポイント、会員価格はこれまでどおり使えます。一方で、アプリやWebでの新規入会、会員情報の確認・変更、登録カードの変更は終了し、お店か申込フォームから会社が代わりに手続きする方法に変わりました。公式通販などのログインも止まったままで、再開の時期はまだ発表されていません。9月末で失効するポイントは1か月延長されました。
企業として考えたいこと
自社のスマートフォンアプリから、会員情報の保存場所にどこまでアクセスできるようになっているでしょうか。アプリの入口が狙われたときの影響の範囲を確認しておきましょう。
技術的な要約
2026年9月24日22時〜23時にセイコーマートクラブ会員1アカウントで不正な退会処理が行われたことを端緒に、9月28日17時過ぎ、スマートフォン向け「セイコーマートアプリ」のサーバーを経由して会員情報を保有するサーバーへ第三者が不正にアクセスした可能性が判明し、同日20時に当該サーバーへの接続を停止した。9月29日の第1報では約57万アカウントについて姓名・性別・生年月日・住所・電話番号・メールアドレス・クラブカード入退会日が閲覧された可能性があるとし、パスワードは漏えいしていない、クレジットカード情報は保有していないと説明した。9月30日の第三報で572,022人分（アプリ会員の49%）の閲覧を確認して行政当局へ報告し、10月5日の第四報で対象を574,647人に更新した。侵入手法は外部調査会社・警察と調査中として開示を控えており、アプリ・WEBでの会員情報の閲覧・変更機能は終了、公式通販などのログインも停止が続いている。
攻撃の分類
- 侵入口
- 不明公式発表で確定しているのは『スマートフォンアプリ「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーに第三者が不正にアクセスした』という経路のみ。第三報（9/30）は侵入手法について『外部調査会社と警察・関係機関が調査中』として詳細の開示を控えている。アプリ用APIの認可不備、APIキー・認証情報の窃取、アプリサーバーのソフトウェア脆弱性のいずれによるかは公式・報道とも示されていない。発覚の端緒が1アカウントの不正な退会処理（9/24 22〜23時）であることから、攻撃者は閲覧だけでなく会員データの更新処理も実行できたことが分かる（事実）。
- 脆弱性
- CVE 非公表不明脆弱性の有無・種類・製品名・CVEはいずれも非公表（第一報〜第四報）。JPCERT/CCの注意喚起（JPCERT-AT-2026-0030、10/8公開・10/9更新）は、公開アプリのAPIやキーを解析して管理用APIへ不正リクエストを送り、権限変更や不正アカウント作成などの情報書き換えを行う類型（ケースB）を挙げているが、被害組織名は記載されておらず、本件との関係はセイコーマート・報道とも言及していない（10/10時点で確認できた範囲）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 9/28 20時に会員情報サーバーへの接続を停止し、アプリでの新規入会・会員情報変更・登録カード変更・退会・マイページログインを停止（第1報）。第二報でホームページ・公式通販サイト・ネット予約サイト（ペコマーケット申込受付を含む）のログインも停止（予約はゲスト利用可、店頭マルチコピー機は受付可）、9月末失効ポイントを1か月延長。第三報時点で公式通販サイトのサービス再開は未定。第四報（10/5）でアプリ・WEBでの新規入会、会員情報の閲覧・変更、登録カード変更を『終了』し、店舗またはフォーム経由で同社が代行する方式に変更。店舗での決済（ペコママネー）・ポイント付与・会員価格は継続。期間：2026-09-28 20:00からアプリ・WEBの会員機能停止。10/5に一部機能を恒久終了、ログイン機能は再開待ち（10/10時点で再開日未公表）
- データ
- 確定上限 574,647確定 572,022人氏名性別生年月日住所電話メールその他（クラブカードの入会年月日・退会年月日）第1報（9/29）は『不正アクセスを受けた可能性のあるユーザーID数：約57万アカウント』で閲覧の『可能性』。第三報（9/30）で『アプリに登録したことがある会員のうち572,022人分の情報が閲覧されたことを確認』（アプリ会員の49%）と確定表現に変わった。第四報（10/5）で対象を574,647人（第三報比+2,625人、増加理由は非公表）とし、9/24までにクラブカードを退会した人は対象外と明記した。第四報の文言は『閲覧された可能性』で、574,647人全員が閲覧確認済みかは読み取れないため、records_confirmed は第三報の確認値572,022人とした。データ項目は第1報の列挙（第三報・第四報は項目を再掲していない）。パスワード・購買履歴は漏えいしておらず、クレジットカード情報は保有していない。公式通販のみの登録者（カード・アプリの会員証なし）とアプリ未登録者は対象外。不正な退会処理は1件のみ確認、ペコママネーの不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及や委託先経由の侵入は公表されていない。アプリやサーバーの開発・運用委託先の関与の有無も非公表。
時系列
技術解説
公表された事実：アプリサーバーを踏み台に会員DBへ到達、閲覧と書き換え 事実
公式発表で確定しているのは、侵入がスマートフォン向け『セイコーマートアプリ』のサーバーを経由し、会員情報を保有する別のサーバーに到達したという経路だけである。攻撃者は会員情報を閲覧しただけでなく、9/24 22〜23時に1アカウントのクラブカード退会処理を実行しており、読み取りに加えて会員データの更新系処理も行えた。閲覧確認は第三報で572,022人（アプリ会員の49%）、第四報で574,647人に増えた。漏えい項目は姓名・性別・生年月日・住所・電話・メール・クラブカード入退会日で、パスワードと購買履歴は漏えいしていないとされる。侵入手法は警察と連携中として非開示で、脆弱性名やCVE、API仕様に関する情報は10/10時点で公表されていない。
検知：4日間の空白と『不正退会』という偶然の端緒 解釈
公表上最初の不正操作は9/24 22〜23時で、会員サーバーへの不正アクセスの可能性が判明したのは9/28 17時過ぎ、接続停止は同日20時である。判明から遮断までは約3時間と短いが、最初の不正操作から判明までは約4日かかった。しかも端緒は、攻撃者がたまたま実行した1件の退会処理である。もし攻撃者が読み取りだけにとどめていれば、57万人分の閲覧そのものが検知されなかった可能性がある。アプリ会員の約半数分の閲覧は、API呼び出し数やDB読み出し量で見れば平常時から大きく外れていたはずだが、そうした量的な監視で検知した旨の記載はない。侵入開始日も公表されておらず、9/24より前に始まっていた可能性は否定できない。
攻撃類型の見立て（推測）：アプリ用APIの悪用とJPCERT注意喚起 解釈
『アプリのサーバー経由』『閲覧と退会処理の両方』『パスワード・購買履歴は対象外』という公表内容は、会員DBへの直接侵入より、アプリが使うAPIを攻撃者が直接呼び出して会員プロフィール取得・退会処理を実行した形と整合する。被害がアプリ登録会員に限られ、アプリ未登録者や公式通販のみの登録者が対象外である点も、アプリ用のデータ経路を使った取得を示唆する。JPCERT/CCは10/8の注意喚起で、公開アプリのAPIやキーを解析して管理用APIへ不正リクエストを送り、権限変更や不正アカウント作成など情報の書き換えを行う類型（ケースB）を挙げている。本件はこれと特徴が似ているが、セイコーマート・JPCERT/CC・報道のいずれも両者の関係に言及しておらず、ここでの対応づけは推測にとどまる。
公表と対応の評価：小刻みな続報と機能の恒久終了 解釈
9/29に第1報と第二報、9/30に第三報、10/5に第四報と、6日間で4回更新した。『可能性』から『閲覧を確認』への切り替えと件数の確定を2日目に示し、行政当局への報告も明記した点は利用者にとって判断材料になる。一方で、第四報で件数が2,625人増えた理由は説明されず、項目別の内訳も第三報以降は再掲されていない。対応面では、アプリ・WEBでの会員情報の閲覧・変更機能を復旧ではなく『終了』とし、店舗やフォーム経由で同社が代行する方式に切り替えた。個人情報をアプリから参照・更新できる面そのものを無くしたことになり、攻撃面を縮小する判断として注目できる。侵入手法の開示は警察連携を理由に控えられており、同種の構成を持つ事業者が自社点検に使える技術情報は得られていない。
対応
- 封じ込め
- 9/28 20時に会員情報サーバーへの接続を停止。アプリ・ホームページ・公式通販・ネット予約サイトのログインを停止。外部調査会社・警察・関係機関と安全対策を講じながら業務を復旧中。10/5にアプリ・WEBでの新規入会、会員情報の閲覧・変更、登録カード変更を終了し、店舗またはフォーム経由で同社が代行する方式へ変更。
- 公表の仕方
- 9/29に第1報（経緯・約57万アカウント・項目、パスワード漏えいなし）と第二報（購買履歴は対象外、ログイン停止範囲）、9/30に第三報（572,022人の閲覧確認、行政当局へ報告）、10/5に第四報（574,647人、アプリ内での個別通知開始）を公表。侵入手法は警察連携を理由に開示を控えている。同社をかたるメールへの注意喚起（パスワード・PIN・カード情報・預金情報をメールで聞かない）を各報で実施。
- 当局対応
- 個人情報保護法に基づき行政当局（個人情報保護委員会と推定、第三報は『行政当局』と記載）へ報告
- 警察・関係機関と連携して調査中
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| アプリ用サーバーから会員情報サーバーの大量の個人情報を参照・更新できた | アプリ用APIは認証済み本人の会員IDにだけアクセスできるようサーバー側でオブジェクト単位の認可（BOLA/IDOR対策）を必ず行い、会員IDの列挙・連番指定を拒否する。アプリサーバーから会員DBへの接続は必要なエンドポイントだけを許可し、一括取得APIは用意しない |
| 最初の不正操作から判明まで約4日かかり、端緒は偶然の不正退会だった | 会員プロフィール取得APIの呼び出し数・ユニーク会員ID数をクライアント・IP・トークン単位で監視し、ベースライン比で急増したら自動遮断とアラートを出す。DB側でも1セッションあたりの読み出し行数に閾値を設けて監視する |
| 退会のような破壊的な更新処理が攻撃者から実行できた | 退会・登録情報変更・カード付け替えなど重要操作には再認証（パスキー/OTP）と、登録メールへの通知・取消猶予期間を設ける。管理用・更新系APIは公開アプリと別のホストやネットワークに分離し、アプリに埋め込むAPIキーを秘密情報として扱わない設計にする |
| アプリから個人情報を閲覧・変更できる面が攻撃対象になった | アプリでの個人情報表示は必要最小限（マスキング表示）にとどめ、住所・電話番号などの全文参照APIを廃止できないか検討する。不要になった機能や長期未利用アカウントのデータは削除・停止して、漏えい時の母数を減らす |
自組織などでの確認項目
- あなたのサービスのモバイルアプリが使うAPIで、ログイン中のユーザー以外の会員IDを指定したときにサーバー側で必ず拒否されることを、テストで確認しているか。
- API経由で会員の半数分のプロフィールが数日かけて取得された場合、いまの監視でそれを検知できるか。どの指標（呼び出し数・ユニークID数・読み出し行数）で何時間以内に気づける設計か。
- 退会や登録情報変更のような破壊的操作を、第三者がAPIから実行できないと言い切れるか。再認証や通知はどの操作に入っているか。
- セイコーマートのように、アプリでの個人情報の閲覧・変更機能そのものを無くすという選択肢は、自社サービスで現実的か。顧客体験とのトレードオフをどう考えるか。
未解明点
- 侵入手法（アプリ用APIの認可不備、APIキー・認証情報の窃取、ソフトウェア脆弱性等）と、脆弱性があった場合の製品名・CVE
- 侵入開始日時（9/24より前に始まっていたか）と、9/24の不正退会から9/28の判明までの調査経緯
- 第四報で対象が572,022人から574,647人へ2,625人増えた理由と、全員が閲覧確認済みか
- JPCERT/CC注意喚起（JPCERT-AT-2026-0030）ケースBなど、他組織の事案との手口の共通性
- アプリ・会員サーバーの開発・運用委託先の有無と関与、攻撃者の正体・目的（犯行声明やリーク情報は確認できなかった）
出典
- 1セイコーマート2026-09-29公式本文確認済
- 2セイコーマート2026-09-29公式本文確認済
- 3セイコーマート2026-09-29公式本文確認済
- 4セイコーマート2026-09-30公式本文確認済
- 5セイコーマート2026-10-05公式本文確認済
- 6ScanNetSecurity2026-10-02報道本文確認済
- 7週刊アスキー2026-09-29報道本文確認済
- 8熊本日日新聞（共同通信）2026-09-29報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2026-10-05報道本文確認済
- 10株式会社一創研究者本文確認済
- 11innovaTopia2026-09-29報道本文確認済
- 12JPCERT/CC2026-10-08研究者本文確認済