事案の概要データ
| 公表日 | 2026年10月13日 |
|---|---|
| 不正アクセスの確認 | 2026年10月4日 |
| 対象アプリ | トイポアプリ（顧客管理アプリ） |
| 店舗会員 | 約61,500名 |
| 漏えいの可能性 | うち一部 約26,900名 |
| 原因 | 顧客管理アプリ提供元のAPIに、権限がなくても他のユーザー情報を取得できる脆弱性があった |
図解：この事故の構造
何が起きたのか
JR九州フードサービスは2026年10月13日、顧客管理アプリ「トイポアプリ」の提供元のAPIに脆弱性があり、店舗会員約61,500名のうち約26,900名に漏えいの可能性があることを公表しました。不正アクセスを確認したのは10月4日です。
脆弱性の内容は、権限がなくても他のユーザーの情報を取得できるというものでした。
「他人のIDを指定したら、他人の情報が返る」
この脆弱性は、Webサービスで最も典型的かつ重大な設計ミスの一つです。
正しく作られたAPIは、「誰がリクエストしているか」を確認したうえで、その人が見てよい情報だけを返します。しかしこの確認が抜けていると、リクエストに含まれるIDを変えるだけで、他人の情報が取得できてしまいます。
2026年10月はこの系統の事案が集中しました。10月6日のミスターマックス（ソフトウェアの機能の不正利用・最大約173万人）、10月8日のローソン（本人に情報を表示する仕組みの悪用・約215万件）、10月15日のソースネクスト（会員情報取得APIの不正利用・約2,251万件）です。
対策は明確です。APIが情報を返す前に、「このリクエストを送っている人は、この情報を見てよい人か」を必ず確認する。開発時のテストでは、Aさんのアカウントでログインした状態でBさんのIDを指定し、情報が返らないことを確認します。
アプリを提供元に任せている場合
この事案では、脆弱性があったのは自社ではなくアプリの提供元でした。
飲食チェーンや小売店が、ポイントカードやクーポンのアプリを外部のサービスで用意することは一般的です。自社で開発するより安く、早く始められます。
しかし、顧客データはそのアプリに預けられます。提供元のAPIに脆弱性があれば、自社の顧客情報が流出します。そして顧客に説明するのは自社です。
選定時に「APIのセキュリティ診断は実施していますか」「他のユーザーの情報が取得できないことをどう担保していますか」と確認する価値があります。
時系列で見る経過
- 2026年10月4日不正アクセスを確認
- 2026年10月顧客管理アプリ提供元のAPIに、権限がなくても他ユーザー情報を取得できる脆弱性があったと判明
- 2026年10月13日店舗会員約61,500名のうち約26,900名に漏えいの可能性があると公表
中小企業が学ぶべきポイント
- APIは情報を返す前に「この人が見てよい情報か」を必ず確認する。
- 開発時のテストで、別アカウントのIDを指定して情報が返らないことを確認する。
- アプリを外部に任せていても、顧客への説明責任は自社にある。
- アプリの提供元を選ぶとき、APIのセキュリティ診断の実施状況を確認する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。