松屋アプリで約238万件の情報漏えい、利用者が注意すべき連絡は？｜2026年10月31日版
松屋フーズホールディングスは10月30日、公式アプリの管理システムへの不正アクセスにより、約238万件の個人情報が漏えいしたと発表しました。配送先住所や電話番号などが含まれ、同社は、なりすましへの注意を呼びかけています。
利用者がまず覚えておきたいのは、同社がメールや電話でパスワードやクレジットカード情報を尋ねることはないという点です。「漏えいの確認」「補償の手続き」といった連絡でも、情報の入力を求められたら、その場で応じず確認が必要です。Impress Watchが同社発表を報じています。
- 漏えいが確認された情報は237万7,127件。松弁ネットなどの利用者情報が対象です。
- 一部には、生年月日、メールアドレス、暗号化されたパスワードも含まれます。
- クレジットカード情報は同社では保持していないと説明しています。
- 原因や侵入経路は調査中。対象者には順次連絡するとしています。
何が起きたのか――注文サービスを支えるシステムに不正アクセス
今回の対象は、松弁ネット、モバイルオーダー、松弁デリバリーなどで使う公式アプリの管理システムです。不正アクセスは10月28日に確認されました。
漏えい情報として報じられているのは、次の項目です。
- 会員ID
- 配送先住所
- 氏名
- 電話番号
- 松屋ポイントの情報など
これらの情報について、確認された件数は237万7,127件です。これは公表された情報の件数であり、そのまま重複のない被害人数を表すとは限りません。
さらに、一部の約2,000件、最大3,000件には、公式アプリに登録した生年月日、メールアドレス、暗号化されたパスワードも含まれると報じられています。約238万件すべてで、同じ情報が漏れたという説明ではありません。漏えい項目と件数の詳細はImpress Watchの記事で確認できます。
なぜ重要なのか――住所と電話番号が、なりすましの材料になる
外食アプリには、注文を便利にするための情報が集まります。持ち帰り予約なら氏名や連絡先、配達なら配送先住所が必要になります。その情報が漏れると、影響はアプリの利用にとどまりません。
例えば、実際の氏名や住所を伝えたうえで連絡してくる相手は、本物の担当者に見える場合があります。これは今回確認された被害の描写ではなく、利用者が警戒すべき場面の例です。同社も、漏えいした情報がなりすましなどに悪用される可能性を挙げています。
クレジットカード情報を同社が保持していないという説明は、漏えい範囲を判断するうえで重要です。ただし、住所や電話番号が漏れたことへの警戒は別に必要です。カード情報の流出が確認されていなくても、後から届いた偽の案内に入力すれば、新たな被害につながりかねません。
また、「暗号化されたパスワード」という説明だけでは、元の文字列を復元される危険性までは判断できません。確認できた報道では、保存方式の詳細は示されておらず、安全性を断定できる段階ではありません。
利用者はどう対応する？――連絡の内容と確認先を分ける
対象者への連絡は順次行われる予定です。大切なのは、届いた案内にすぐ反応する前に、別の経路で内容を確かめることです。
パスワードやカード情報を求められても答えない
同社は、メールや電話でパスワードやクレジットカード情報などを尋ねることはないとしています。これは、不審な連絡を見分ける具体的な判断材料になります。
- メールやSMS内のリンクから、認証情報を入力しない。
- 「返金」「本人確認」を理由にカード情報を求められても応じない。
- 案内の真偽は、以前から把握している公式の窓口や、自分で開いた公式サイトで確認する。
氏名や住所が合っていることだけで、連絡相手を信用しないようにしたいところです。
同じパスワードを使っているサービスを確認する
もし松屋アプリと同じパスワードを他のサービスでも使っているなら、使い回しを解消する対応が考えられます。特にメールなど、ほかのアカウントの再設定に使うサービスは優先して確認したい対象です。
これは、今回ほかのサービスへの不正ログインが確認されたという意味ではありません。万一に備え、被害が広がる経路を減らすための対応です。
今後の焦点は、対象者への通知と原因の説明
同社は原因や不正アクセスの経緯を調査し、個人情報保護委員会への報告などを進めているとしています。利用者にとっては、自分のどの情報が対象になったのかが、次の判断に直結します。
今後の発表では、次の点を確認する必要があります。
- 個別の漏えい範囲：本人への通知で、漏れた項目が具体的に示されるか。
- 原因と再発防止策：どこから侵入され、何を改めるのか。
- サービスの利用案内：復旧や利用再開に関する説明が示されるか。
- 追加の被害情報：なりすましなどの悪用が確認されているか。
当面は、同社を名乗る連絡でもパスワードやカード情報を渡さず、対象者への通知と公式の続報を確認することが、利用者の具体的な対応になります。