松屋フーズ、公式アプリの管理システムに不正アクセス 237万7,127件が漏えい

事案の概要データ

図解：この事故の構造

何が起きたのか

松屋フーズホールディングスは2026年10月30日、松屋公式アプリの管理システムが第三者からの不正アクセスを受け、登録されていた会員情報等が漏えいしたと公表しました。判明は10月28日です。

漏えいが確認されたのは、2つのまとまりです。

松弁ネット・モバイルオーダー・松弁デリバリーを利用したお客様の2,377,127件。項目は会員ID、お届け先住所、氏名、電話番号、松屋ポイントです。

アプリから登録したお客様の2,000件（最大3,000件となる可能性）。項目は会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイントです。

公表文は「クレジットカード情報については当社で保持しておりません」と明記しています。原因と、不正アクセスが可能となった経緯の詳細は調査中とされています。

現在、公式アプリとホームページ等の関連サービスは停止しています。

件数が多い方と、項目が重い方が違う

この事案の読み方で注意したいのは、件数が多いまとまりと、項目が重いまとまりが別だということです。

237万件の方にはお届け先住所が入っています。デリバリーと弁当予約のサービスなので、当然です。氏名と住所と電話番号がそろっているので、郵便やDM、訪問を使った悪用はこちらが対象になります。

2,000件の方には生年月日、メールアドレス、暗号化されたパスワードが入っています。件数は1,000分の1以下ですが、他のサービスへの不正ログインを試す材料としてはこちらが危険です。

つまり「237万件のうち2,000件が特に危ない」のではなく、危ない理由が2種類あるということです。公表文を読むときは、件数の大きさだけでなく、どの項目がどちらに付いているかを見てください。

なお、パスワードについて公表文の表現は「暗号化されたパスワード」です。花キューピットの事案（10月28日公表）では「復元できない形に暗号化（ハッシュ化）」と書かれていました。暗号化（元に戻せる）とハッシュ化（元に戻せない）は別物で、利用者にとっての危険度はまったく違います。本件は現時点でどちらなのか判断できません。

カード情報を「持っていない」ことが効いている

公表文の「クレジットカード情報については当社で保持しておりません」という一文は、短いですが重要です。

237万件の漏えいでカード情報が含まれていたら、カードの停止と再発行、不正利用の調査、カード会社との精算が一斉に発生します。被害額も、顧客の手間も、桁が変わります。

決済を外部の決済代行会社に任せ、自社のデータベースにはカード番号を置かない。これは設計の段階で決める話であり、事故が起きてから変えられません。

中小企業がオンライン決済を導入するときは、「カード番号を自社で預からない方式」を選んでください。決済代行サービスを使い、自社には決済の結果（成功・失敗・金額）だけが戻る形です。多少の手数料を払う価値は、こういうときに出ます。

止まっている間、顧客に何を返すか

本件でもう1つ参考になるのが、サービス停止中の顧客対応です。漏えいそのものより、こちらのほうが多くの会社にとって実践的かもしれません。

松屋フーズは別のお知らせで、次の対応を公表しています。

・会員ランク：11月・12月は、前月の購買金額に応じた予定ランクより1ランク上位に設定する

・アプリ版MATSUYA PASS：停止期間中も券売機で割引が使える専用QRコードを購入者にメールで送る。あわせて、復旧を前提に11月28日〜12月27日の30日間使える同パスを用意する

・券売機クーポン：公式Xでクーポンを配信し、11月11日15時まで利用可能とした

ここで注目したいのは、対応が「アプリが使えないせいで顧客が失ったもの」に1つずつ対応している点です。ランクが下がる、購入済みのパスが使えない、ポイントが貯まらない。それぞれに別の手当てが用意されています。

システム障害や事故で自社のサービスが止まったとき、謝罪文だけでは顧客の不満は収まりません。顧客が具体的に何を失ったかを書き出し、1つずつ代替案を示す。この順番で考えると、やるべきことが見えます。

そして代替手段が「券売機のQRコード」だったことにも意味があります。アプリが止まっても、店舗の券売機は動いています。デジタルが止まったときに戻れる場所を持っていたということです。

対象の方が今日やること

松屋公式アプリ・松弁ネット・モバイルオーダー・松弁デリバリーを使っていた方は、次の点に注意してください。

同じパスワードを他のサービスで使っていたら、今すぐ変える。 アプリ会員2,000件（最大3,000件）にはパスワードが含まれます。自分が対象かどうかは分かりませんが、使い回しているなら変更が先です。

松屋を名乗るメール・SMS・電話に応じない。 氏名と住所と電話番号を知っている相手からの連絡は、本物に見えます。公表文も「当社からメールや電話で、パスワードやクレジットカード情報等をお尋ねすることはありません」と明記しています。

「ポイントの補償」「返金」をうたう連絡に注意。 補償が予定されていると公表されたため、これを装う詐欺が出やすい状況です。案内は公式サイトで自分から確認してください。

身に覚えのない宅配・郵便物に注意。 お届け先住所が漏れているため、住所を使った手口が考えられます。

時系列で見る経過

• 2026年10月28日（水）松屋公式アプリの管理システムへの不正アクセスと、会員情報等の漏えいが判明
• （判明後）公式アプリ・ホームページ等の関連サービスを停止
• 2026年10月29日公式X・松のや公式Xで券売機クーポンを配信（11月11日15時まで利用可）
• 2026年10月30日漏えい件数2,377,127件および2,000件（最大3,000件）を公表。個人情報保護委員会への報告など対応を進めると説明
• （継続）システムの早期復旧に取り組み中。アプリ会員には利用停止期間中の補償を予定

中小企業が学ぶべきポイント

1. 件数が多いまとまりと、項目が重いまとまりは別。公表文は「どの項目がどちらに付いているか」で読む。
2. 「暗号化されたパスワード」と「ハッシュ化」は別物。前者は元に戻せる可能性があり、危険度が変わる。
3. カード番号を自社に持たない設計にしておくと、237万件の漏えいでもカードの停止・再発行は発生しない。
4. 決済は決済代行サービスに任せ、自社には結果だけ戻す形にする。事故が起きてからでは変えられない。
5. サービスが止まったら、顧客が具体的に何を失ったかを書き出し、1つずつ代替案を示す。
6. デジタルが止まったときに戻れる場所（店頭、券売機、紙）を残しておく。
7. 漏えい対象者は、使い回しているパスワードの変更が最優先。補償を装う詐欺にも注意する。

出典・参考

• 松屋公式アプリ管理システムに対する第三者からの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（松屋フーズ・PDF）
• 松屋公式アプリのサービス停止に関するお詫びと今後の対応について（松屋フーズ）
• アプリの管理システムが侵害、会員情報流出 - 松屋（Security NEXT）