スマレジ連携外部アプリ「書類上手／見積・請求書、＋invoice」（合同会社coastline）への不正アクセス（POS利用8社の顧客 氏名110,359件・電話番号100,293件が流出）
公表日
お店のレジ「スマレジ」と連携する外部アプリ「書類上手／見積・請求書、＋invoice」の提供元が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、このアプリを使っていた8社のお店の顧客の氏名約11万件と電話番号約10万件が流出しました。スマレジ本体からの流出は確認されていません。
対象者は？
スマレジを使っていて、このアプリと連携していた8社のお店の顧客（会員）です。サイクルヒーロー（サカイサイクル）や釜浅商店などが公表していますが、8社すべての社名は公表されていません。最初は最大約13.6万件と発表され、最終報告で流出が確認されたのは氏名約11万件（110,359件、フリガナを含む）、電話番号約10万件（100,293件）です。サカイサイクルは、住所・メールアドレス・パスワード・クレジットカードなどの決済情報は含まれないとしています。
対象の方には、各お店から連絡が行われています。利用しているお店の公式のお知らせを確認してください。
いますぐできること
- お店を名乗る電話やSMSで、名前を呼ばれても安心せず、支払いや個人情報を求められたら一度切って公式の窓口に確かめる
- お店を名乗るSMSやメールのリンクは開かない
何が起きたのか
2026年1月、SNSで「スマレジがサイバー攻撃を受けた」という投稿が広がりました。報道によると、海外の掲示板には、約10万件の顧客情報を取得したと主張する投稿もありました。スマレジは1月8日、自社のサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。はなく、外部のアプリ提供元が持っていた会員データが不正に取得されて公開されていたと発表し、そのアプリとの通信を止めました。1月13日にアプリの名前と、8社のお店の顧客情報が流出したことを発表しました。提供元の合同会社coastlineは3月5日に最終報告を出しました。
なぜ起きたのか・なぜ広がったのか
お店がこのアプリと連携すると、顧客の氏名や電話番号がアプリ提供元のデータベースにも保存される仕組みでした。coastlineは、そのデータベースで、外部からのアクセスに対する設定と運用管理の体制に不備があったことが原因と説明しています。いつ、どのように侵入されたかの詳細や、犯人は公表されていません。
いまの状況2026-04-26 時点
アプリは利用・公開が停止されています。coastlineは、顧客情報のサーバーにインターネットから直接つながらないようにするなどの対策をとり、二次被害は確認されていないとしています。スマレジは、外部アプリの審査基準を強め、定期的にセキュリティを確認するとしています。coastlineは4月時点で個人情報保護委員会から聞き取りを受けており、最終的な報告はまだ発表されていません。
企業として考えたいこと
自社のレジや業務システムにつないでいる外部アプリは、お客様の情報をどこに、どのような管理で保存しているでしょうか。導入するときに確かめているでしょうか。
技術的な要約
2026年1月6日頃、海外ハッカーフォーラムで『スマレジ関連データベース（約10万件の顧客情報）を取得した』とする投稿が出たと報じられ（攻撃者主張）、SNSで『スマレジがサイバー攻撃を受けた』との投稿が拡散した。スマレジは1月8日、自社サーバーに不正アクセスの痕跡はなく、特定の外部アプリの提供元が保有する会員データが第三者に不正取得・公開されていたと公表し、当該アプリからの通信を遮断した。1月13日の続報で対象アプリを『書類上手/見積・請求書,+invoice』（スマレジ・アプリマーケット掲載）と特定し、連携設定をしていた8社の店舗のエンドユーザー情報として氏名136,346件・電話番号114,951件（現時点で確認できている件数）が流出したと公表した。提供元の合同会社coastlineは3月5日の最終報告で、自社管理のバックエンド（データベース環境）における『外部からのアクセスに対する設定および運用管理体制の不備』を原因とし、流出件数を氏名110,359件・電話番号100,293件とした。スマレジも3月9日に最終報告を出しアプリマーケットの審査強化を表明したが、侵入日・侵入手法の詳細・攻撃者名は公表されておらず、coastlineは4月26日時点で個人情報保護委員会の聞き取りを受けており最終確報は後日としている。
攻撃の分類
- 侵入口
- 委託先経由公表で確認スマレジ本体ではなく、スマレジ・アプリマーケットで提供されていた外部アプリの提供元・合同会社coastlineが管理するデータベースへの第三者の不正アクセス。coastline最終報告（3/5）は、自社が管理するバックエンドシステム（データベース環境）においてシステム構成とアクセス制御に不備があり、本件は『外部からのアクセスに対する設定および運用管理体制の不備に起因するもの』と結論づけ、その結果DB内の情報が不正に取得され一部が外部に公開されたとしている。再発防止策の筆頭は『顧客情報を保管するサーバーへの接続経路を見直し、インターネットから直接アクセスできないよう遮断』『許可された特定の管理端末からのみ操作できる制限運用』であり、事案時はDBを含むバックエンドがインターネットから直接到達可能だったと読めるが、これは推測。具体的な設定内容（認証なしDB公開か、弱い認証か、管理ポート開放か等）・製品名・不正アクセスの時期は非公表。スマレジは1/8以降一貫して自社サーバーへの不正アクセスや自社システムからの流出は確認されていないとしている。なお一部利用企業（ノースバイシクル北海道）は、導入検討時のテストデータが消去されずに残っていたことが流出につながったと説明している（報道、公式未確認）。
- 脆弱性
- CVE 非公表公表で確認合同会社coastlineが管理する連携アプリのバックエンド（データベース環境、製品名非公表）ソフトウェア脆弱性ではなく『外部からのアクセスに対する設定および運用管理体制の不備』（システム構成とアクセス制御の不備）とcoastlineが公表（3/5最終報告、原文確認）。DB製品名・クラウド事業者・公開されていたポートや認証の有無は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし スマレジPOS本体の停止は公表されていない。対象の外部アプリはスマレジ側で通信を遮断し、利用停止・アプリマーケットでの公開停止となった（封じ込め措置としての停止）。利用企業では当該アプリによる見積・請求書作成機能が使えなくなったとみられるが、業務影響の公表はない。期間：アプリは2026年1月8日以降停止・非公開。再開の公表は確認できず
- データ
- 確定上限 136,346確定 110,359件氏名電話1/13スマレジ続報：連携設定をしていた8社の店舗に属する顧客情報として氏名136,346件、電話番号114,951件（『現時点で確認できているもの』。続報は『流出した情報』として記載し、『可能性』表現ではない）。3/5 coastline最終報告：流出件数 氏名110,359件、電話番号100,293件、流出項目は氏名・電話番号。減少理由は非公表。スマレジ最終報告（3/9）は件数を記載せずcoastlineの最終報告を参照させている。records_max/confirmedは氏名件数で記載。氏名にはフリガナを含む（サカイサイクル最終報告）。サカイサイクルは住所・メールアドレス・パスワード・クレジットカード等の決済情報は含まれないとし、釜浅商店はメールアドレス・住所・クレジットカード・その他決済情報の流出は確認されていないとする（攻撃者投稿のサンプルには住所が含まれるとの報道あり、真偽不明）。釜浅商店分は氏名5,375名・電話番号1,825名（2025年8月20日のアプリ使用開始より前にアプリマーケット上へ登録された顧客のうち、店頭・電話で会員登録した人。ECのみ利用者は対象外）。
- 波及先
- 8 社（スマレジPOS契約企業）
- サカイサイクル（サイクルヒーロー）：1/9第1報、1/16続報、3/10最終報告（4/1改訂）。自社の会員アプリへの影響はないとし、個人情報保護委員会への報告を完了
- 株式会社釜浅商店：1/27『【重要】個人情報漏えいに関するお知らせとお詫び』を公表、氏名5,375名・電話番号1,825名
- ノースバイシクル北海道：導入検討時に投入したテストデータが消去されずに残存し流出（報道）
- 金銭影響
- —
- サプライチェーン
- スマレジ（POS基盤）→ スマレジ・アプリマーケット → 外部アプリ提供元（合同会社coastline）という連携構造。POS契約店舗が外部アプリに連携設定を行うと、店舗の会員データ（氏名・電話番号）がcoastline側のバックエンドDBに複製・保持される。そのcoastline環境が設定不備で不正アクセスを受け、連携していた8社の顧客データが流出した。スマレジ自体は侵害されていないが、自社プラットフォームの顧客データが連携先経由で漏れた点で波及先にあたり、同時にPOS契約8社に対しては連携基盤提供者として影響を波及させた立場でもある。SNS・ハッカーフォーラムでは当初『スマレジへのサイバー攻撃』として拡散し、基盤ブランドが風評の矢面に立った。
時系列
- 2026-01-06
- 2026-01-08
- 2026-01-08 20:50スマレジが対象のPOS契約店舗へ個別メールで連絡（時刻は1/13続報に記載）2
- 2026-01-09
- 2026-01-13
- 2026-01-13
- 2026-01-16
- 2026-01-27
- 2026-03-05
- 2026-03-09
- 2026-03-10
- 2026-04-26
技術解説
攻撃の構造：アプリマーケット経由で複製されたデータが弱い環境に置かれていた 事実
スマレジは自社サーバーへの不正アクセスを否定しており、流出元は外部アプリ提供元・合同会社coastlineのバックエンド（データベース環境）である。POS契約店舗がアプリマーケットで当該アプリ（見積・請求書作成）に連携設定すると、店舗の会員データ（氏名・電話番号）がcoastline側に取り込まれて保持される構造だった。coastlineは原因を『外部からのアクセスに対する設定および運用管理体制の不備』とし、再発防止策の筆頭に『サーバーへのインターネットからの直接アクセスの遮断』を挙げている。つまりPOS基盤側の防御水準とは無関係に、連携先に複製されたデータの安全性は連携先の運用水準で決まっていた。具体的な設定内容、DB製品、侵入時期、ログの有無はいずれも非公表である。
検知の経路：攻撃者の投稿とSNSが起点 事実
公表資料・報道から読み取れる限り、事案の発覚は自社監視ではなく外部からのシグナルによる。1月6日頃に海外ハッカーフォーラムで『スマレジ関連DB（約10万件）』の投稿が出たと報じられ、SNSで『スマレジがサイバー攻撃を受けた』との投稿が広がった。スマレジの1月8日の第1報は『一部のSNSにおける投稿について』と題し、自社からの流出はなく外部アプリ提供元の会員データが不正取得・公開されていたと説明した。coastlineも最終報告で、事象認識のきっかけを『ソーシャルメディア上での投稿』とスマレジからの調査連絡としている。最終的に確定した氏名110,359件は、攻撃者が主張した『約10万件』と桁が一致する。侵入から検知までの期間は侵入日が非公表のため算定できない。
なぜ設定不備が起きたか（推測） 解釈
coastlineは合同会社という小規模事業者であり、再発防止策が『インターネット直接アクセス遮断』『設定ミスの自動検知』『24時間監視』という基本的な項目であることから、事案前はDB（あるいは管理用ポート）がインターネットに露出し、監視も十分でなかった可能性が高い。またノースバイシクル北海道は導入検討時に投入したテストデータが消去されず残っていたことが流出につながったと説明しており、試用・解約時のデータ削除の仕組みがなかったことがうかがえる。公開DBを自動スキャンして中身を持ち去る攻撃は珍しくなく、標的型である必要はない。これらはいずれも公表内容からの推測で、具体的な設定は明らかにされていない。
件数の推移と『おそれ』の扱い 事実
1月13日のスマレジ続報は8社合計で氏名136,346件・電話番号114,951件を『現時点で確認できているもの』として示し、3月5日のcoastline最終報告で氏名110,359件・電話番号100,293件とされた。続報の原文は『流出した情報』と書いており、二次資料が使った『流出した可能性』という表現は原文にはない。減少幅は氏名で約2.6万件だが、減少理由（重複排除、実際にDBに存在したレコードの精査など）は公表されておらず、スマレジの最終報告（3/9）も件数を自ら示さずcoastline報告を参照させるにとどまる。流出項目は氏名と電話番号に限られ、利用企業はメールアドレス・住所・決済情報は含まれない（または流出未確認）と説明する一方、攻撃者投稿のサンプルには住所が含まれていたとの報道があり、これが別系統のデータなのか未検証のままである。氏名＋電話番号は単体では低機微だが、店舗名と組み合わせるとSMS・電話によるなりすまし（『○○店からのご連絡』）に使える。
プラットフォーム事業者の責任範囲 解釈
スマレジは一貫して『自社からの流出はない』と説明しつつ、通信遮断・影響店舗への個別連絡・問い合わせ対応を自ら担い、最終報告ではアプリマーケット全体の運用・管理体制の見直し、外部ベンダー審査基準の強化（セキュリティ要件の追加、体制確認の義務化）、外部連携アプリへの定期的なセキュリティ監査を表明した。利用店舗から見れば『スマレジに預けたデータ』が漏れたのであり、SNS上の風評もスマレジに向いた。サードパーティアプリにデータアクセスを許すマーケットプレイス型SaaSでは、連携先のセキュリティ水準を審査・継続監査しない限り、プラットフォームの防御水準が最も弱い連携先に引き下げられる。Shopify・Salesforce等のアプリエコシステムで繰り返し起きている構図と同型であり、スコープ設計と審査がプラットフォーム側の実質的な責任になる。
対応
- 封じ込め
- スマレジは1/8に当該外部アプリからの通信を遮断し、1/13までにアプリをアプリマーケット上で非公開化、スマレジサービスへのアクセスを遮断して利用・データ取得を停止。coastlineはアプリの利用停止・公開停止を受け、顧客情報を保管するサーバーをインターネットから直接アクセスできないよう遮断し許可された管理端末からのみ操作可能に制限、専門家による定期的な脆弱性診断と設定ミスの自動検知、24時間監視・異常検知体制を導入。スマレジはアプリマーケット全体の運用・管理体制を見直し、外部ベンダー審査基準を強化（セキュリティ要件追加・体制確認の義務化）、外部連携アプリへの定期的なセキュリティ監査を行うとした。
- 公表の仕方
- スマレジ：1/8第1報『一部のSNSにおける投稿について』（自社からの流出なし、外部アプリ提供元からの流出、アプリ名なし）、1/13続報（アプリ名・8社・件数、個別メールは1/8 20:50頃送信）、3/9最終報告（件数・原因はcoastline報告を参照）。coastline：1/13『お詫びとお知らせ』（URLは20260110）、3/5最終報告（原因・件数・再発防止策・PPC報告完了）、4/26お知らせ（PPCの聞き取り中、最終確報は後日）。利用企業（サカイサイクル、釜浅商店等）も個別に公表。8社の全社名は公表されていない。
- 当局対応
- 個人情報保護委員会：coastlineが報告完了（3/5最終報告）。4/26時点で委員会から聞き取りを受けており、最終確報は後日
- 個人情報保護委員会：サカイサイクル（サイクルヒーロー）が報告完了（3/10最終報告）
- 個人情報保護委員会：釜浅商店が報告を含む対応を行うと表明（1/27、完了は未明記）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 連携先（サードパーティアプリ）に複製されたデータの安全性を基盤側が担保していなかった | アプリマーケット掲載時にセキュリティ審査（DBのネットワーク非公開、保存時暗号化、MFA、ログ保持期間、脆弱性診断結果）を必須化し、年次で再審査。OAuthスコープを『氏名』『電話番号』等の項目単位に分割し、アプリが必要最小限の項目しか取得できないAPI設計にする |
| バックエンドDBがインターネットから直接到達可能だった可能性 | DBはプライベートサブネットに置き、セキュリティグループで送信元をアプリサーバーのみに限定。CSPM（AWS Config / Security Hub、Azure Defender等）で0.0.0.0/0開放や認証無効化を自動検知し、外部からの定期ポートスキャン（自社グローバルIP全量）で3306/5432/27017/6379/9200等の露出を監視する |
| 試用・解約時のデータが削除されず残存していた | 連携解除・解約・試用終了のWebhookを基盤側から必ず送出し、連携先は受信後一定期間内に削除して削除証跡を返す契約・API仕様にする。基盤側は連携先ごとの保持データ件数を定期申告させ、解約店舗分が残っていないか突合する |
| 自社監視ではなく攻撃者の投稿・SNSで発覚した | ハッカーフォーラム・リークサイト・SNSを自社ブランド名・連携アプリ名で監視する脅威インテリジェンスを導入し、DBには大量SELECT・ダンプ系クエリ（全件取得、mysqldump、COPY TO）の監査ログとアラートを設定する |
| 流出時に連携先・基盤・利用店舗の3者で連絡と公表が分散した | アプリマーケット規約にインシデント時の報告期限（例：認知から24時間以内に基盤事業者へ報告）、ログ提供義務、影響店舗の特定に必要なデータの提出義務を明記し、基盤側が影響店舗へ一括通知できる仕組み（管理画面の告知・メール）を平時から用意する |
自組織などでの確認項目
- 自社のSaaSやPOSと連携している外部アプリ・プラグインを全て列挙できるか。それぞれがどの項目のデータを、どこに、いつまで保持しているかを把握しているか。
- 自社が利用する業務アプリ（請求書・見積・CRM等）の提供元が小規模事業者だった場合、DBがインターネットに公開されていないことをどうやって確認するか。導入前に何を質問・要求するべきか。
- SNSで『御社がハッキングされた』と拡散されたとき、自社が無関係かどうかを何時間で判断でき、誰が最初の公表文を出すか。連携先経由だった場合の説明責任は誰が負うか。
- 試用・PoCのためにSaaSへ投入した本番データは、検討終了後に確実に削除されているか。削除を確認する手段を持っているか。
未解明点
- coastlineのバックエンドの具体的な設定不備の内容（DB製品、公開されていたポート、認証の有無、クラウド事業者）
- 不正アクセスの発生日・期間、アクセスログの保全状況と、データ持ち出しが1回か継続的か
- 件数が速報値（氏名136,346件）から確定値（110,359件）へ減少した理由
- 攻撃者の正体と、フォーラム投稿サンプルに含まれたとされる住所データの出所
- 影響を受けた8社の全社名と各社の件数
- 個人情報保護委員会への確報の内容と、委員会による指導等の有無
- スマレジが強化するとした外部ベンダー審査の具体的な基準
出典
- 1株式会社スマレジ2026-01-08公式本文確認済
- 2株式会社スマレジ2026-01-13公式本文確認済
- 3株式会社スマレジ2026-03-09公式本文確認済
- 4合同会社coastline2026-03-05公式本文確認済
- 5合同会社coastline2026-04-26公式本文確認済
- 6株式会社釜浅商店2026-01-27公式本文確認済
- 7サカイサイクル株式会社2026-03-10公式本文確認済
- 8ScanNetSecurity2026-01-23報道本文確認済
- 9ScanNetSecurity2026-03-18報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-01-13報道本文確認済
- 11セキュリティ対策Lab（Rocket Boys）2026-01-19報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）2026-01-28報道本文確認済
- 13セキュリティ対策Lab（Rocket Boys）2026-03-09報道本文確認済
- 14一創2026-10研究者本文確認済