何が起きたか
2026年10月6日、福岡のディスカウントストアチェーン ミスターマックス・ホールディングス(東証プライム 8203)は、子会社が運営する MrMax アプリ と オンラインストア のサーバーが不正アクセスを受け、個人情報が流出 したと発表しました。
経緯
- 10月3日(土)夜: サーバーへの不審なアクセスを検知。同日 サービスを一時停止 し、外部からのアクセスを遮断
- 調査の結果、第三者がサービスを構成する ソフトウェアの機能を悪用 して侵入したことが判明
- 10月6日: 公表。個人情報保護委員会 に報告し、警察にも相談
流出した情報
- 対象: アプリ会員とオンラインストア会員、最大1,735,154人(10月3日時点の登録者)
- 情報: 会員 ID、氏名、メールアドレス、電話番号(登録内容により異なる)
- 同社によると、住所、生年月日、クレジットカード情報、パスワード、購入履歴は 流出していない
発表時点で悪用被害は確認されていません。該当者には noreply@mrmax.jp から個別にメールが送られ、同社は パスワードやカード番号を尋ねることはない としています。
まだ分かっていないこと
悪用されたソフトウェアや機能の名称は 公表されていません。ランサムウェアや身代金要求の有無も不明で、犯行声明も出ていません。業績への影響は精査中です。
なぜ重要か
170万人分の氏名、メール、電話番号は、店を装った フィッシングやスミッシング(「クーポンの期限が切れます」「配達確認」など)の格好の材料です。焼肉きんぐアプリなど、今季は国内の小売・会員アプリでの流出が続いています。
「ソフトウェアの機能の悪用」は多くの場合、正規機能の設定不備や露出(管理画面、エクスポート API、アップロードやデバッグ機能)を示します。
対策
MrMax の利用者:
- MrMax を名乗るメール、SMS、電話、とくにリンク付きのものに注意
- 送信元 noreply@mrmax.jp 以外は信用せず、それでもパスワードやカード番号は伝えない
会員アプリを持つ企業:
- インターネットに露出した 管理・エクスポート機能を棚卸し し、IP/VPN 制限と MFA を適用
- 顧客データの 異常な読み出し量を監視。MrMax は当日中に検知し、攻撃者の時間を限定できました
- 迅速なサービス停止手順 と公表文のひな形を準備
- データの最小化: 保存しないデータは流出しません
出典
- Mr Max Holdings, TDnet notice (2026-10-06): https://fs2.magicalir.net/tdnet/2026/8203/20261006546325.pdf
アプリやオンラインストアのセキュリティを見直したいですか?KGA IT は無料相談を受け付けています:kga-it.com