コンビニエンスストアを運営する会社で、会員アプリのサーバーを経由して会員情報のサーバーに第三者が不正にアクセスした

何が起きたか

この事故で流出した、または流出したおそれがある情報は、アプリに登録したことのある会員574,647人分。報道では氏名・性別・生年月日・住所・電話番号・メールアドレスが閲覧された可能性があるとされ、パスワードの漏えいは無く、クレジットカード情報は持っていないとされるです。その後の対応と影響は、9月28日20時にサーバーへの接続を止め、新規入会・会員情報の変更・ログインなどの機能を停止した。アプリとWEBでの会員情報の閲覧・変更機能は終了し、店舗とフォームで受け付ける形に変えた。10月5日からアプリのお知らせで全会員に対象かどうかを通知しているです。

原因になったのは「アプリのサーバーを経由した会員情報サーバーへの侵入」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

アプリのサーバーを経由して会員情報のサーバーに入られたと公表されている。どの弱点が使われたかなど、詳しい経緯は公表されていない。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 9月24日夜、会員1件で不正な退会処理が行われた
2. 9月28日17時過ぎ、会員情報のサーバーに不正アクセスの可能性が判明し、20時に接続を停止した
3. 9月29日、第一報を公表した
4. 10月5日、第四報で対象を574,647人分と公表し、アプリで個別に通知を始めた

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

アプリ用のサーバーから会員情報のサーバーへ届く通信と権限を必要な操作だけに絞り、普段と違う大量の参照や退会処理を検知する仕組みがあれば、早く気づけた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. アプリのサーバーから会員データベースへの接続で、どの操作（参照・更新・削除）が許されているかを一覧にする
2. 1つのアカウントで他人の会員情報を引けないかを、外部の診断で確かめる
3. 退会・登録変更など重要な処理の件数を日ごとに記録し、急な増加で通知が出るか確かめる

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• セイコーマートアプリへの不正アクセスに関するお知らせ（第四報）2026.10.05
• 「セイコーマートアプリ」に不正アクセス、約57万アカウントの会員情報が漏えいした可能性（ScanNetSecurity）2026.10.02
• セイコーマートアプリに不正アクセス 約57万アカウントで氏名・住所など流出の可能性（ASCII）2026.09.29