リンツ、委託先フューチャーショップ経由で会員情報 3,147,469件が漏えい

事案の概要データ

公表日	2026年10月23日
委託先からの報告	2026年10月19日
対象	公式オンラインショップと公式アプリで共通利用する会員情報
件数	3,147,469件
件数の基準	2026年10月18日0時16分時点の退会済みを除く
漏えい項目	会員ID、氏名、メールアドレス、住所、電話番号、生年月日、性別、ハッシュ化されたログインパスワードなど
含まれない情報	クレジットカード番号などの決済情報
原因	会員情報管理を委託していたフューチャーショップへの不正アクセス
対応	2026年10月21日 16時からオンラインショップを停止
対象者への連絡	2026年10月26日から開始予定

図解：この事故の構造

図：委託先が「痕跡なし」と公表した翌日に、委託元が314万件の漏えいを公表した。

2026年10月19日リンツがフューチャーショップから報告を受ける
10月21日 11時30分フューチャーショップが対象環境を順次停止
10月21日 16時リンツが公式オンラインショップを停止
10月22日フューチャーショップが第二報で「個人情報の参照・持ち出しの痕跡は確認されていない」と公表
↓ 翌日
10月23日リンツが会員情報 3,147,469件の漏えいを公表
10月26日（予定）対象会員へのメール連絡を開始

何が起きたのか

リンツ＆シュプルングリージャパンは2026年10月23日、公式オンラインショップと公式アプリで共通利用する会員情報 3,147,469件が第三者に取得されたと公表しました。

原因は、会員情報の管理を委託していたフューチャーショップが不正アクセスを受けたことです。同社は2026年10月19日にフューチャーショップから報告を受けています。

漏えい項目は、氏名、住所、電話番号、メールアドレス、生年月日、会員ID、ハッシュ化されたログインパスワードなど。クレジットカード番号などの決済情報は含まれていないとされています。

同社は10月21日16時からオンラインショップを停止し、10月26日から対象会員へのメール連絡を始める予定です。

委託先の「痕跡なし」と、委託元の「314万件」

この事案には、読み比べると気づく食い違いがあります。

フューチャーショップは2026年10月22日の第二報で、「個人情報の参照・持ち出しの痕跡は確認されていない」と公表していました。その翌日、委託元であるリンツが314万7,469件の漏えいを公表しています。

矛盾しているように見えますが、そうとは限りません。調査が進めば、最初は見えなかった痕跡が見つかります。また、委託先が全体を調べるのと、委託元が自社のデータについて確認するのとでは、分かる範囲が違います。

ここから学べるのは、「現時点で痕跡は確認されていない」という表現の読み方です。これは「漏えいしていない」という意味ではありません。「今の調査では見つかっていない」という意味です。

自社がサービスを利用する立場であれば、委託先の「痕跡なし」を鵜呑みにせず、自社のデータがどうなっているかを独自に確認する必要があります。

ハッシュ化されたパスワードが含まれている

漏えい項目に「ハッシュ化されたログインパスワード」が含まれています。

ハッシュ化とは、パスワードを元に戻せない形に変換して保存する方法です。「password123」がそのまま保存されるのではなく、意味のない文字列に変換されます。正しい保存方法です。

ただし、安全を保証するものではありません。短く単純なパスワードは、総当たりで元の文字列を突き止められることがあります。「変換後の文字列の一覧表」をあらかじめ作っておく手法も知られています。

そして重要なのは、多くの人がパスワードを使い回しているという現実です。リンツで使っていたパスワードが破られれば、同じパスワードを使っている別のサービスにもログインされます。

2026年10月8日のブックオフでも、ハッシュ化パスワードが漏えい項目に含まれていました。対象となった方は、同じパスワードを使っている他のサービスすべてでパスワードを変更してください。

2026年10月のフューチャーショップ波及

フューチャーショップは、多数のEC事業者がサイト構築に使うサービスです。1社が侵入されると、そのサービスを使う全店舗が影響を受けます。

2026年10月は、同じ構造の事案が繰り返されました。ブラストメール（ラクスライトクラウド）経由で30組織超、アルカディア経由で全国の自治体、Studio経由で多数の企業、コミューン、IDCフロンティア、スカラ、Ymir Link、NEC——そして本件です。

ECサイトを外部のサービスで構築している中小企業は多くあります。自社で守れる範囲は限られますが、次の3点は確認できます。

1つ目は、会員情報をどこまで預けているか。2つ目は、事故時にサービス提供元からどう連絡が来るか。3つ目は、自社から顧客へ通知する手段と文面を用意しているか。

特に3つ目は見落とされがちです。委託先が侵入されても、顧客に説明するのは自社です。

対象となった方へ

リンツの公式オンラインショップまたは公式アプリに会員登録した方は、対象に含まれる可能性があります。

まず、同じパスワードを使っている他のサービスのパスワードを変更してください。これが最優先です。

次に、リンツを装ったメールに警戒してください。氏名・住所・生年月日・購入履歴に近い情報が渡っているため、本物らしいメールが作れます。10月26日から公式の連絡が始まる予定ですが、それに紛れた偽メールが出る可能性があります。

連絡を受けても、メール内のリンクは踏まず、公式サイトをブックマークから開いて確認してください。

時系列で見る経過

2026年10月21日フューチャーショップが運用サーバーの一部への不正アクセスを確認し、11時30分から対象環境を順次停止
2026年10月19日リンツがフューチャーショップから報告を受ける
2026年10月21日 16時リンツが公式オンラインショップを停止
2026年10月23日会員情報 3,147,469件が第三者に取得されたことを公表
2026年10月26日（予定）対象会員へのメール連絡を開始

中小企業が学ぶべきポイント

「現時点で痕跡は確認されていない」は「漏えいしていない」ではない。調査が進めば変わる。
委託先の説明を鵜呑みにせず、自社のデータがどうなっているかを独自に確認する。
ハッシュ化されていても、短く単純なパスワードは破られうる。
パスワードの使い回しをやめる。1か所の漏えいが全サービスに波及する。
委託先が侵入されても、顧客に説明するのは自社。通知の手段と文面を用意しておく。

出典・参考

ご注意
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。