コンビニエンスストアのセイコーマートは、スマートフォンアプリ「セイコーマートアプリ」のサーバーを経由して会員情報のサーバーに不正アクセスがあり、会員574,647人分の情報が閲覧されたと公表しました。2026年9月29日の第一報から、10月5日の第四報まで、4本の報告が出ています。
第四報では、アプリとWEBでの新規入会、会員情報の閲覧・変更、登録カードの変更の機能を終了し、店舗とフォームでの受付に変えると書いています。この記事は、4本の報告で確かめた経緯と、会員アプリを持つ会社が確かめることをまとめます。同じ時期のほかの公表は、9月末から相次ぐ情報漏えい一覧 「返金します」詐欺メールの見分け方で扱っています。
何が起きたか
| 日時 |
出来事 |
出どころ |
| 9月24日(木)22時〜23時 |
1件のアカウントで、不正にクラブカードの退会処理が行われた |
第一報 |
| 9月28日(月)17時過ぎ |
この退会をきっかけに、会員サーバーに不正にアクセスされた可能性が判明 |
第一報 |
| 9月28日(月)20時 |
当該サーバーへの接続を停止。新規入会、会員情報の変更、登録カードの変更、退会、マイページへのログインなどを停止 |
第一報 |
| 9月29日 |
第一報(対象は約57万アカウント)と第二報(公式通販や予約サイトのログインも一時停止)を公表 |
第一報・第二報 |
| 9月30日 |
第三報。572,022人分が閲覧されたことを確認。個人情報保護法に基づき行政当局へ報告 |
第三報 |
| 10月5日 |
第四報。対象は574,647人分。アプリのお知らせで、対象の有無の通知を始める。アプリ・WEBでの入会と会員情報の閲覧・変更などの機能を終了 |
第四報 |
セイコーマートの第一報(2026年9月29日)の1ページ目。対象、閲覧された情報、経緯出典: 株式会社セイコーマート「「セイコーマートアプリ」への不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」(引用)
不正アクセスの経路は、第一報で「アプリのサーバーを経由して、会員情報を保有するサーバーに対し、第三者が不正にアクセスした」と説明されています。ほかのアカウントでの不正な退会は、確認されていないとしています。
閲覧された情報と、含まれない情報
| 区分 |
内容 |
出どころ |
| 閲覧された情報 |
姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードへの入会年月日、退会年月日 |
第一報 |
| 漏えいしていない |
パスワード、購買履歴 |
第一報・第二報 |
| 保有していない |
クレジットカード情報 |
第一報 |
| 不正利用 |
ペコママネーの不正な利用は、確認されていない(9月29日時点) |
第一報 |
対象は、セイコーマートアプリに登録したことがあるセイコーマートクラブ会員です。第三報は、アプリ会員の49%にあたると書いています。次の人は対象外です。
- アプリに登録していない会員(第三報)
- 公式通販に登録していて、会員証(カードやアプリ)を持たない人(第二報)
- 9月24日までにクラブカードを退会した人(第四報)
人数は、第一報の「約57万アカウント」から、第三報で572,022人分、第四報で574,647人分になりました。増えた理由は、報告に書かれていません。
会社の対応と、終了したオンラインの手続き
セイコーマートの第四報(2026年10月5日)の1ページ目。対象の人数と、終了する機能出典: 株式会社セイコーマート「「セイコーマートアプリ」への不正アクセスによる個人情報の閲覧に関するお詫びとお知らせ(第四報)」(引用)
第四報の対応は、次のとおりです。
- すべてのアプリ会員に、対象の有無を、10月5日からアプリのお知らせで通知する
- アプリにログインできない人には、ペコマカード(プラスチックのカード)の利用を案内する。持っていない人は、ログイン機能の再開を待つか、店舗で再発行してクラブカードデスクへ連絡する
- アプリ・WEB上での新規入会、会員情報の閲覧・変更、登録カードの変更の機能を終了する。店舗か、アプリ・WEBのフォームで受け付け、セイコーマートの側で変更する
- どのような手段でも、クレジットカード情報、パスワード、PINなどを聞くことはない
止めていた機能を元に戻すのではなく、会員が自分で情報を見たり変えたりする機能そのものをなくす、という対応です。第三報の時点では、ペコママネーの利用とチャージ、ポイントの付与、会員価格での購入、クーポンやキャンペーンは使えると案内しています。第二報では、9月末で失効するポイントを1か月延ばすとも書いています。
手法については、外部の調査会社と調べていて、警察や関係機関と連携しているため、詳細の開示を控えるとしています。
影響する人・会社、しない人・会社
- 影響する人: セイコーマートアプリに登録したことがあるクラブ会員。アプリのお知らせで、自分が対象かを確かめます
- 影響する人(注意が要る): 対象になった人は、セイコーマートを名乗るメールや電話に気をつけます。同社は、パスワード、ペコマカードのPIN、クレジットカード情報、預金の情報を聞くことは絶対にないとしています
- 影響しない人: アプリに登録していない会員、9月24日までに退会した人、会員証を持たない公式通販の利用者
- 影響する会社(確認が要る): 会員向けのアプリやマイページを持つ会社。アプリのサーバーから会員情報へ届く経路は、どの会社にもあります(編集部の整理)
- 影響する会社(確認が要る): 社員が会社のメールアドレスや電話番号で会員登録をしている会社。なりすましの連絡が会社の窓口に届くことがあります(編集部の補足)
会社・情シスが今日やること
- 社員に知らせる。セイコーマートを名乗り、パスワードやカードの情報を聞く連絡には答えないこと、対象かどうかはアプリのお知らせで確かめることを伝えます
- 自社の会員アプリやマイページがある会社は、アプリのサーバーから会員情報へ届く経路を確かめる。1回の問い合わせで返す項目と件数、短い時間に繰り返す問い合わせの制限、利用者ごとのアクセス制御を、開発の担当か委託先に聞きます。JPCERT/CCの10月8日の注意喚起が、APIへの対策として挙げている点です。セイコーマートの件の手法は公表されていないので、原因と決めつけずに点検します
- 異常な操作に気づく仕組みを確かめる。今回は、1件の不正な退会処理がきっかけで、判明まで4日かかっています。退会、登録情報の変更、大量の照会といった操作の記録と通知が、自社にあるかを見ます(編集部の補足)
- オンラインで見せている会員情報を棚卸しする。住所や生年月日を画面にそのまま出す必要があるか、変更の手続きをオンラインで受ける必要があるかを見直します。セイコーマートは、機能を終了して店頭とフォームに切り替えました
- 事故のときの連絡の手順を確かめる。セイコーマートは、判明の翌日に第一報を出し、続報を3本重ねています。自社で、だれが第一報を書き、どこに載せ、行政当局への報告をだれが行うかを決めておきます
問い合わせ先
- セイコーマート お客様相談室: 0120-89-8551(月〜土曜日 9時〜17時)
- クラブカードデスク(ペコマカードを再発行した人の連絡先): 0120-515-413(月〜土曜日 9時〜17時)
書かれていないこと
次の点は、4本の報告には書かれていません。この記事でも書きません。
- 不正アクセスの手法と、侵入の経路の詳細
- 対象の人数が、572,022人から574,647人に増えた理由
- アプリのログイン機能と、公式通販などのサービスを再開する時期
- 再発防止策
- 閲覧された情報が、実際に悪用された事例があるかどうか
