アエナのECアプリ会員マイページに機械的な連続アクセス、最大817,215人

事案の概要データ

図解：この事故の構造

何が起きたのか

アエナは2026年10月14日、ECアプリの会員マイページに対して機械的な連続アクセスが行われ、最大817,215人分の情報が閲覧された可能性があることを公表しました。詳細な原因は調査中です。

「機械的な連続アクセス」とは

人間がマウスとキーボードで操作するのではなく、プログラムが自動的に次々とアクセスする手口です。

1人の会員のマイページを見るだけなら問題ありません。しかし、会員IDを1番から順に変えながら、1秒間に何十回もアクセスすれば、短時間で全会員の情報を集められます。

これが成立するのは、「他人のIDを指定しても情報が返ってしまう」設計になっている場合です。正しく作られていれば、ログインしている本人以外のIDを指定しても情報は返りません。

2026年10月は、この系統の事案が異常な密度で続きました。10月6日のミスターマックス、10月8日のローソン、10月13日のJR九州フードサービス、10月15日のソースネクスト、そして本件です。

回数で止める

この種の攻撃に対して最も効果的なのは、「同じアクセス元から短時間に大量のリクエストがあれば止める」という制限です。レート制限と呼ばれます。

正常な利用者が1秒間に何十回もマイページを開くことはありません。そうした動きがあれば、それは機械によるものです。自動的に遮断する設定にしておけば、仮に設計に不備があっても被害を小さくできます。

自社でECサイトやアプリを運営しているなら、開発会社に「レート制限はかけていますか」と確認してください。設定は比較的簡単で、多くのサーバーやクラウドサービスに標準機能として備わっています。

時系列で見る経過

• 2026年10月ECアプリ会員マイページに対する機械的な連続アクセスが行われる
• 2026年10月事案を把握し、調査を開始
• 2026年10月14日最大817,215人分が閲覧された可能性を公表

中小企業が学ぶべきポイント

1. 同じアクセス元からの大量リクエストを自動で止める（レート制限）。設定は簡単。
2. 「他人のIDを指定しても情報が返らないか」を開発時に必ずテストする。
3. 正常な利用者が1秒に何十回もアクセスすることはない。異常は検知できる。
4. 設計に不備があっても、回数制限があれば被害を小さくできる。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope