ミスターマックス、アプリ・オンラインストアで最大約173万人分が流出のおそれ

事案の概要データ

図解：この事故の構造

何が起きたのか

ミスターマックスは2026年10月6日、公式アプリとオンラインストアにおいて、ソフトウェアの機能を不正に利用され、最大1,735,154人分の会員情報が流出したおそれがあると公表しました。

原因は「ソフトウェアの機能の不正利用」とされています。これは、システムに元から備わっている機能を、本来の使い方とは違う形で悪用されたという意味合いです。

「機能の不正利用」という表現

脆弱性と聞くと「プログラムの欠陥」を思い浮かべますが、実際にはもう1つのパターンがあります。プログラム自体は正しく動いているのに、設計上の想定が甘く、意図しない使い方ができてしまうケースです。

たとえば、「会員番号を指定すると、その人の情報を返す」という機能があったとします。本来はログインした本人の番号しか指定しないはずですが、他人の番号を入れても返ってしまう設計になっていれば、番号を1つずつ変えるだけで全会員の情報を取得できます。

この種の問題は、プログラムのバージョンを上げても直りません。設計を見直す必要があります。だからこそ、公開前の脆弱性診断（特に、他人のデータにアクセスできないかを試すテスト）が重要になります。

小売業のアプリ会員は数が多い

ホームセンター・ディスカウントストアの公式アプリは、クーポンやポイントのために多くの顧客が登録します。そのため会員数は数百万規模になりやすく、事故時の件数も大きくなります。

同じ10月第1週には、焼肉きんぐ（約1,078万件）、ホワイトエッセンス（約105万アカウント）と、小売・サービス業のアプリ会員情報の流出が相次ぎました。アプリ会員制度は集客に効果的ですが、その分だけ守るべきデータが増えるという側面があります。

時系列で見る経過

• 2026年10月ソフトウェアの機能を不正に利用され、会員情報が取得される
• 2026年10月事案を把握し、調査を開始
• 2026年10月6日最大1,735,154人分が流出したおそれがあると公表

中小企業が学ぶべきポイント

1. 脆弱性には「プログラムの欠陥」だけでなく「設計の甘さ」もある。診断では両方を見る。
2. 「他人のIDを指定したら他人のデータが返ってこないか」を必ずテストする。
3. アプリ会員制度は集客に効くが、守るべきデータも増える。件数に見合う対策を。
4. 会員情報の保存項目を必要最小限にする。集めていない情報は漏れない。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope