U.S.M.Hの買い物アプリ「Scan＆Go ignica」への不正アクセス（最大6.4万件流出の恐れ）
公表日
U.S.M.Hの買い物アプリ「Scan＆Go ignica」のシステムが第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、最大6万4,003件の氏名とメールアドレスが流出した可能性があります。
対象者は？
「Scan＆Go ignica」アプリの全約240万アカウントのうち、新規登録時に入力された氏名とメールアドレスを含む最大6万4,003アカウント。クレジットカード情報、住所、電話番号、生年月日は対象に含まれていません。
該当する利用者には、登録メールアドレスへの連絡およびアプリログイン時のお知らせ掲示にて順次案内が行われています。アプリ等で確認できない場合は、公式の「ignica アプリコールセンター」にお問い合わせください。
いますぐできること
- U.S.M.Hや傘下のスーパーを装った不審なメールや連絡に注意し、メール内のリンクから安易にパスワードやクレジットカード番号を入力しないようにしてください。
何が起きたのか
2026年10月14日にアプリのシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認され、アクセス元の遮断や監視強化が行われました。その後の調査で、システム内に一部利用者の個人情報を含むファイルが存在していたことが判明し、情報が取得された可能性を否定できないため、11月12日に公表とお詫びが行われました。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の侵入経路や悪用された脆弱性については公表されていません。システム内に新規登録時の氏名とメールアドレスを含むファイルが置かれていたため、情報流出の懸念が生じました。
いまの状況2026-11-13 時点続報待ち
現時点で情報が実際に外部へ流出した事実や不正利用は確認されておらず、アプリのサービスも通常通り提供されています。同社は原因や影響範囲の調査を継続するとともに、対象者への個別案内とセキュリティ強化を進めています。
企業として考えたいこと
自社のシステムやサーバ内に、処理の過程で作成された個人情報ファイルが不要なまま残存していませんか？
技術的な要約
ユナイテッド・スーパーマーケット・ホールディングス株式会社（U.S.M.H）は2026年11月12日、スマートフォン決済アプリ「Scan＆Go ignica」のシステムが第三者による不正アクセスを受けたと発表した。2026年10月14日に不正アクセスを確認し、調査の結果、システム内に一部利用者の個人情報を含むファイルが存在していたことが判明した。流出の可能性があるのは全約240万アカウントのうち新規登録時に入力された氏名とメールアドレスを含む最大6万4,003アカウントである。現時点で外部への情報流出や不正利用の事実は確認されていないものの、可能性を否定できないため流出事案として個別連絡などの対応を進めている。同社はアクセス元の遮断や監視強化などの措置を実施し、アプリのサービス自体は通常通り継続して提供されている。
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。公式発表では「Scan＆Go ignicaのシステムに対する第三者からの不正アクセス」と記載されている。
- 脆弱性
- CVE 非公表不明侵入に悪用された脆弱性や具体的な手法に関する情報は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし マルエツやカスミ、フードスタイルの一部店舗で利用可能な「Scan＆Go ignica」のサービスは通常通り提供を継続しており、中核業務の停止は発生していない。
- データ
- おそれ上限 64,003確定 —アカウント氏名メールアプリ利用者約240万アカウントのうち、新規登録時に入力された氏名とメールアドレスが含まれるファイルに存在した最大64,003アカウントが流出可能性の対象。クレジットカード情報、住所、電話番号、生年月日は対象ファイルに含まれていない。現時点で実際に外部へ取得・流出した事実は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
不正アクセスの検知と対象ファイルの存在 事実
ユナイテッド・スーパーマーケット・ホールディングス（U.S.M.H）の発表によると、2026年10月14日にアプリ「Scan＆Go ignica」のシステムに対する第三者からの不正アクセスが確認された。その後のシステム内調査において、一部の利用者の個人情報を含むファイルが存在していたことが判明した。流出の可能性がある対象は、アプリ利用者約240万アカウントのうち、新規登録時に入力された氏名とメールアドレスが含まれるファイルに存在した最大6万4,003アカウントである。クレジットカード情報、住所、電話番号、生年月日は当該ファイルに含まれておらず、発表時点において情報が実際に外部へ取得・流出した事実や二次被害は確認されていないものの、流出の可能性を否定できない事案として個別連絡などの対応が進められている。
検知から影響特定までの期間と残存ファイルのリスク 解釈
本事案では、2026年10月14日に不正アクセスを検知してアクセス遮断などの措置を講じてから、同年11月12日の公表までに約1ヶ月の期間を要している。この間、侵入されたシステムの調査を通じて、個人情報を含む特定ファイルが存在していた事実と、影響を受ける可能性のある約6.4万件のアカウントを絞り込む作業が行われたと考えられる。侵入経路や悪用された脆弱性は公表されていないが、システム内に新規登録時の一時データやエクスポートファイルのような形で個人情報が平文または容易に閲覧可能な状態で残存していた場合、不正侵入を許した際にそのまま情報流出の潜在リスクとなる。詳細なアクセスログから持ち出しの痕跡を完全に確認・否定できない状況下で、最大範囲を公表して注意喚起を行った判断は標準的なインシデント対応に沿ったものといえる。
流出対象情報の特性とフィッシング等の二次リスク 解釈
流出可能性のあるデータが氏名およびメールアドレスの2項目に限定され、クレジットカード情報やパスワード、決済履歴などの高機微な金融・認証データが含まれていなかった点は、直接的な不正決済被害の防止という観点で不幸中の幸いであったといえる。しかしながら、正規のサービス利用者の氏名と有効なメールアドレスが揃って流出した疑いがある場合、U.S.M.Hや傘下のスーパー（マルエツ、カスミなど）を騙った精巧な標的型フィッシングメールが送られる危険性が高まる。同社が公表時に「メール等でパスワードやクレジットカード番号を求めることはない」と速やかに注意喚起を行い、アプリ内の個別告知やコールセンター設置を実施したのは、こうした二次被害の発生を抑止する上で妥当な対応と考えられる。
対応
- 封じ込め
- 不正アクセスの確認後、アクセス元を遮断し、被害拡大および再度の不正アクセスを防止するための措置を実施するとともに監視体制を強化した。
- 公表の仕方
- 2026年11月12日に自社ウェブサイトでお詫びとお知らせを公表した。流出の可能性がある顧客に対しては、個別の電子メール案内および「Scan＆Go ignica」アプリログイン時のお知らせ掲示にて順次案内を行い、コールセンターでの問い合わせ対応を実施している。また、不審なメールへの注意喚起を行った。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| システム内に個人情報を含む不要なファイルや中間データが滞留・放置されない運用の徹底 | バッチ処理や新規登録処理等で生成されるエクスポートファイルやバックアップ、一時ファイルについて、処理完了後の自動削除スクリプトを設定し、一定期間を超えてサーバ上に残存させないライフサイクル管理を実装する。 |
| 外部公開サーバやWebアプリケーションにおける侵入監視とログ保管の整備 | WAFやEDR、SIEMを導入して不審な通信やシステム内でのファイル探索（T1083など）を即座に検知・アラート化し、データ持ち出しの有無を事後検証できるようアクセスログおよび転送ログを長期間保護されたストレージに保存する。 |
| 最小権限の原則に基づくファイルアクセス制御と暗号化の適用 | 個人情報を取り扱うファイルやディレクトリに対しては、Webサーバプロセスや一般管理アカウントからの直接アクセスを制限し、保管時暗号化（Encryption at Rest）および適切な認可制御を適用する。 |
| 個人情報流出の疑いが生じた際のスムーズな影響範囲特定手順の策定 | データ保持場所とスキーマのインベントリを定期的に更新し、侵害発生時に影響を受けた可能性があるレコードやファイルを迅速にクエリ・特定できるフォレンジック調査体制を平時から整備する。 |
自組織などでの確認項目
- 自社の公開Webサーバやアプリケーション基盤上に、過去の開発・保守や一括処理で生成された個人情報を含むファイル（CSVやログなど）が不要に残存していないか。
- システムへの不正侵入を検知した場合に、どのファイルが閲覧・持ち出しされたかを追跡できる十分なアクセスログが記録・保全されているか。
- 正規の利用者向け連絡経路（アプリ内通知、メール、問い合わせ窓口）を通じて、インシデント発生時に二次被害防止の注意喚起を迅速に届ける体制が整っているか。
未解明点
- システムへの侵入経路（公開サーバの脆弱性、認証情報の悪用、管理用APIの不備など）や侵入された日時は具体的に判明しているか。
- 個人情報を含むファイルがシステム内に配置されていた業務上の理由や、そのファイルに対するアクセス権限設定はどうなっていたか。
出典
- 1株式会社アクト2026-11-13報道本文確認済
- 2モレタ2026-11-12報道本文確認済
- 3商人舎2026-11-13報道本文確認済
- 4合同会社ロケットボーイズ2026-11-13報道本文確認済
- 5日本経済新聞2026-11-12報道本文確認済
- 6ユナイテッド・スーパーマーケット・ホールディングス株式会社2026-11-12公式本文確認済