ドトールコーヒー、4店舗の従業員・退職者951名の情報が流出のおそれ 銀行口座番号も対象

事案の概要データ

図解：この事故の構造

何が起きたのか

ドトールコーヒーは2026年10月26日、自社システムの一部に対する不正アクセスがあり、従業員・退職者の個人データが流出した可能性があると公表しました。

公表文によれば、2026年10月20日に当社システムへの不正アクセスを検知し、システムに保存されていた個人データが第三者に閲覧され、外部へ流出した可能性があることを確認したとしています。

対象は、4店舗（ドトールコーヒーショップ西武大泉学園駅店、国立大学通り店、東京駅八重洲中央口店、石神井公園駅前店）に勤務していた従業員および退職者 計951名。

項目は氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号です。

お客様情報への不正アクセスは現時点で確認されておらず、本件に関連する二次被害も確認されていないとされています。侵入の経路や手口については、公表文に記載がありません。

従業員情報の漏えいは、顧客情報とは別の問題になる

2026年10月に起きた事案の多くは顧客情報の漏えいでした。本件は従業員と退職者です。

この違いは、対応の難しさに直結します。

顧客の場合、対象者はサービスの登録者なので、メールアドレスを持っています。公表してメールを送れば届きます。

従業員の場合、在職者には連絡できますが、退職者には連絡できません。会社に残っているのは退職時点の住所と電話番号です。引っ越していれば届かず、電話番号も変わっています。

だから公表文はこう書いています。「個人データが漏えいしたおそれのある従業員の皆様へは順次ご連絡をしており、また、退職者の皆様には、本公表をもってお知らせさせて頂きます」。

つまり、公表そのものが通知の手段になっています。これは法令上認められた考え方ですが、実際に本人に届く確率は高くありません。退職者はその会社のホームページを見ないからです。

ここから中小企業が考えるべきことは2つです。①退職者の情報をいつまで持つかを決める。 法令で保存が必要な期間（労働者名簿は退職から3年、賃金台帳は3年など）を確認し、それを過ぎたものは廃棄する。「念のため全部残す」が最もリスクを増やします。②保存するものは、本人に連絡できない前提で守る。 連絡できないのだから、漏れた後に打てる手がありません。先に守るしかありません。

銀行口座番号が含まれる意味

項目の中で重いのは銀行口座番号です。給与の振込先として会社が預かっていたものでしょう。

よく「口座番号だけでは引き出せない」と言われます。それは正しいです。しかし、使い道はあります。

①口座振替の申込に使われる。 公共料金やサービスの引き落とし申込に、口座番号と氏名が使われる場合があります。印鑑やネット認証が必要な手続きが多いものの、金融機関や事業者によって手続きの厳しさは異なります。

②「振込先変更」を装う詐欺の材料になる。 氏名・住所・電話番号・口座番号がそろっていると、本人や勤務先を名乗った連絡が本物に見えます。

③本人確認の裏取りに使われる。 「お客様の口座番号の下4桁は○○でよろしいですか」と言える相手は、本物に見えます。

対象者の方は、通帳やネットバンキングの入出金明細を定期的に確認してください。身に覚えのない引き落としがあれば、すぐに金融機関へ連絡します。そして、会社や銀行を名乗る「口座の確認」の電話に、口座情報やキャッシュカードの暗証番号を答えないでください。

4店舗で止まったことは何を意味するか

気になるのは、なぜ4店舗だけなのかです。ドトールコーヒーショップは全国に多数あります。公表文は原因を書いていないため、はっきりしたことは言えません。

考えられるのは、店舗ごと・エリアごとにシステムやファイルが分かれていて、侵入された範囲がその一部にとどまったという形です。

もしそうなら、結果として情報を分けて置いていたことが被害を限定したことになります。全店舗の従業員名簿を1つのファイルにまとめていたら、対象は数万人規模になっていたはずです。

これは中小企業にも使える考え方です。全部を1か所にまとめない。 「検索しやすいから全社の名簿を1つのExcelに」「バックアップも兼ねて同じフォルダに全部」。便利ですが、1回の侵入で全部持っていかれます。

必要な人が必要な範囲だけ見られる形にしておくと、事故が起きたときの範囲が自然に小さくなります。アクセス権限の設定は、事故を防ぐためだけでなく、事故の被害を小さくするためのものです。

ただし本件は原因が未公表です。範囲が限定された理由が設計によるものか、調査がまだ途中なのかは分かりません。追加の公表を待つ必要があります。

時系列で見る経過

• 2026年10月20日当社システムへの不正アクセスを検知
• （その後）システムに保存されていた個人データが閲覧され、外部へ流出した可能性を確認
• 2026年10月26日対象4店舗の従業員・退職者 計951名の個人データ流出のおそれを公表。在職者へは順次連絡、退職者へは公表をもって通知
• （継続）被害拡大防止措置、事実関係の調査、個人情報保護委員会への報告を進める

中小企業が学ぶべきポイント

1. 従業員・退職者の情報が漏れると、退職者には連絡が届かない。公表が通知の代わりになってしまう。
2. 退職者の情報は保存期間を決めて廃棄する。「念のため全部残す」が最もリスクを増やす。
3. 連絡できない相手の情報は、漏れた後に打てる手がない。先に守るしかない。
4. 銀行口座番号は引き出しには使えないが、口座振替の申込、振込先変更詐欺、本人確認の裏取りに使われる。
5. 対象者は通帳・ネットバンキングの明細を定期的に確認し、「口座の確認」を名乗る連絡に答えない。
6. 全社の名簿を1つのファイルにまとめない。分けて置くことが、事故の被害範囲を小さくする。
7. アクセス権限の設定は、事故を防ぐためだけでなく、事故の被害を小さくするためのもの。

出典・参考

• 当社の従業員及び退職者の皆様へのお知らせ 当社システムの一部に対する不正アクセスについて（ドトールコーヒー）
• 従業員の個人情報が流出した可能性 - ドトールコーヒー（Security NEXT）