事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 不正アクセスの期間 | 2026年10月24日〜25日 |
| 対象 | 公式通販サイト「ドトール オンラインショップ」の管理画面 |
| 確認された事象 | 管理画面から会員情報が出力・閲覧された |
| 件数 | 最大24,771件 |
| 漏えいの可能性がある情報 | 会員の氏名、住所、メールアドレス、電話番号など |
| 対象外の情報 | パスワード、クレジットカード情報 |
| サービスへの影響 | 定期購入も停止 |
| 同社の別事案 | 2026年10月26日公表。自社システムへの不正アクセスで4店舗の従業員・退職者 計951名の個人データが流出のおそれ（銀行口座番号を含む・本サイト掲載）。本件とは対象が異なる |
図解：この事故の構造
何が起きたのか
株式会社ドトールコーヒーは2026年11月6日、公式通販サイト「ドトール オンラインショップ」の管理画面に、2026年10月24日から25日にかけて外部の第三者が不正アクセスし、会員情報が出力・閲覧されていたと公表しました。
対象は最大24,771件。項目は会員の氏名、住所、メールアドレス、電話番号などで、パスワードとクレジットカード情報は漏えいしていないとされています。定期購入も停止されました。
なお、同社は2026年10月26日にも、自社システムへの不正アクセスで4店舗の従業員・退職者 計951名の個人データが流出したおそれがあると公表しています（銀行口座番号を含む・本サイト掲載）。対象が異なる別の事案です。
「管理画面から出力された」という言い方が示すもの
公表文の表現に注目してください。「管理画面に不正アクセスし、会員情報が出力・閲覧されていた」。
これは、システムの弱点を突かれたのではなく、管理画面に入られたということです。つまり、正規の機能がそのまま使われました。
通販サイトの管理画面には、たいてい「会員一覧をCSVでダウンロード」という機能があります。店側が分析やダイレクトメールのために使う機能です。攻撃者は、その機能を使っただけです。
だから、システムには何の異常も出ません。 エラーも出ず、サイトも止まりません。管理者が自分で出力したのと、見た目は変わらないのです。
本サイトでは同じ11月に、あきんどスシロー（管理画面のパスワードを推測され不正ログイン）を扱いました。管理画面は、顧客データベースへの正面玄関です。
中小企業が通販サイトや予約サイトを持っているなら、次を確認してください。
1. 管理画面に多要素認証をかける。 IDとパスワードだけで入れる状態になっていませんか。
2. CSV出力の履歴が残るか確認する。 「いつ・誰が・何件出力したか」のログがあれば、異常に気づけます。残らない仕組みなら、気づく手段がありません。
3. 管理画面に入れるIPアドレスを制限する。 事務所と自宅からだけ、という設定ができるサービスが多くあります。
4. 使っていない管理者アカウントを消す。 制作会社の作業用、退職者、試用期間中に作ったもの。
5. 出力機能の権限を分ける。 注文を確認する担当者に、全会員のダウンロード権限は要りません。
1社で2件——「入口は複数ある」をもう一度
ドトールコーヒーは、10月26日と11月6日で、性質の違う2件を公表しました。
10月26日：自社システムへの不正アクセス。4店舗の従業員・退職者951名。銀行口座番号を含む。
11月6日：通販サイトの管理画面への不正アクセス。会員 最大24,771件。
本サイトでは11月に入ってから、同じように1社で複数の経路が公表された例をいくつも扱いました。良品計画（MUJIアプリとオーダーカーテンの委託先）、ユーグレナ（自社EC・アララ・佐川急便の3経路）、ライフコーポレーション（公式アプリとネットスーパー）、パ・リーグ マーケティング（球団サイトとメール配信）。
「1回事故が起きたから、もう大丈夫」ではありません。
むしろ逆です。1つ見つかったら、他も調べる。 これが実務の順番です。
事故が起きたときに点検すべき範囲を、あらかじめ書き出しておいてください。
・自社サーバー／レンタルサーバー
・通販サイト／予約サイトの管理画面
・クラウドサービス（会計、勤怠、顧客管理、ファイル共有）
・メール配信サービス
・委託先に渡しているデータ
・従業員のパソコンとスマートフォン
1件の事故は、点検のきっかけです。 そこで全部を見ておけば、2件目を自分で見つけられます。
時系列で見る経過
- 2026年10月24日〜25日「ドトール オンラインショップ」の管理画面に外部の第三者が不正アクセス。会員情報が出力・閲覧される
- 2026年10月26日（別事案）自社システムへの不正アクセスで、4店舗の従業員・退職者 計951名の流出のおそれを公表
- 2026年11月6日通販サイトの管理画面への不正アクセスを公表。最大24,771件。定期購入も停止
中小企業が学ぶべきポイント
- システムの弱点を突かれたのではなく、管理画面に入られ、正規の出力機能がそのまま使われた。
- 管理画面からのCSV出力は、システム上は異常に見えない。管理者が自分で出したのと区別がつかない。
- 管理画面に多要素認証をかける。IDとパスワードだけで入れる状態になっていないか確認する。
- CSV出力の履歴（いつ・誰が・何件）が残るか確認する。残らなければ気づく手段がない。
- 管理画面に入れるIPアドレスを制限する。多くのサービスに設定がある。
- 制作会社の作業用、退職者、試用期間中のアカウントを消す。
- 注文を確認する担当者に、全会員のダウンロード権限は要らない。権限を分ける。
- 同じ会社が10月26日と11月6日に別経路の事故を公表した。1件見つかったら他も調べる。
出典・参考
- ドトールコーヒー、公式通販サイトへのサイバー攻撃で最大2万4,771件の個人情報漏洩の恐れ-定期購入も停止（セキュリティ対策Lab・2026年11月7日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。