ミスターマックスは10月6日、MrMaxアプリとオンラインストアのサーバーに不正アクセスがあり、会員情報が流出したと公表した。対象は10月3日時点の登録会員で最大173万5154人である。会員ID、氏名、メールアドレス、電話番号が流出した可能性がある。住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないと確認したとしている。
背景
公表によると、10月3日の夜にサーバーへの不審なアクセスを検知し、同日サービスを停止して外部からのアクセスを遮断した。その後の調査で会員情報の流出が確認されたため、10月6日に公表した。検知から公表までは3日である。
原因として挙げられているのは、サービスを稼働させるソフトウェアの機能を第三者が悪用し、サーバーに侵入したことである。侵入の経路は閉鎖済みで、外部の専門機関と詳細な調査を進めている。個人情報保護委員会への報告と警察への相談も行っている。監視も強化したとしている。
現時点で情報の悪用は確認されていない。対象者には個別にメールで連絡するとしている。公表では、同社や関係者を名乗るメール、SMS、電話、郵便に注意を促し、パスワードやクレジットカード番号を尋ねることはないと明記している。業績への影響は精査中で、重要な影響が判明した場合は開示するとしている。
事業者への影響
他社の事故として読み流せない点が1つある。原因が、設定の不備や推測されやすいパスワードではなく、サービスを動かすソフトウェアの機能の悪用とされていることだ。自社で書いたコードの外側、つまり導入しているパッケージやプラグイン、カートの拡張機能が侵入口になりうる。
流出した項目の組み合わせも実務に効く。会員ID、氏名、メールアドレス、電話番号がそろうと、店舗を名乗るメールやSMSの精度が上がる。カード情報が出ていなくても、二次的な詐欺の材料になる。顧客に注意を促す文面は、事故の有無にかかわらず用意しておく価値がある。
時間の設計も見ておきたい。個人情報の漏えいが生じた場合、個人情報保護委員会への報告と本人への通知が法律上求められる。誰が判断し、誰が文面を書き、どの順で出すかを決めていない組織では、検知から公表までの日数は伸びる。今回のように、サービスを止める判断を即日下せるかどうかも、事前の取り決めに依存する。
- カートやアプリで使っているソフトウェアと拡張機能の一覧を作り、更新状況を確認する
- 会員データのうち、保持する必要のない項目を洗い出して削減する
- 漏えい時の報告・通知・公表の手順と担当を、文書で決めておく
今後の見通し
悪用されたソフトウェアの名称と、具体的な手口は公表されていない。同じ製品を使う他のECサイトに影響が及ぶかは、現時点では分からない。外部機関の調査結果が出れば、追加の公表がある可能性がある。公表では、調査結果に基づいてシステムのセキュリティを強化し、再発の防止に努めるとしている。
出典
- ミスターマックス「不正アクセスによる情報流出に関するお詫びとお知らせ」（2026年10月6日）：https://www.mrmax.co.jp/info/incident_20261006/
- ネットショップ担当者フォーラム「ミスターマックスのECサイト・アプリに不正アクセス、会員情報が流出。クレカ情報は漏えいなし」（2026年10月7日）：https://netshop.impress.co.jp/n/2026/10/07/16832
