ほっともっと（プレナス）、メールマガジン配信の委託先経由で最大約700万件 氏名・生年月日・電話番号も

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社プレナスは2026年11月4日、外部委託先が提供する「ほっともっとのメールマガジン配信サービス」が2026年10月28日から31日にかけて第三者による不正アクセスを受け、メールアドレス・氏名・生年月日・電話番号を含む会員情報が最大約700万件流出したとの報告を受けたと公表しました。クレジットカード情報は含まれません。

不正アクセスの期間（10月28日〜31日）は、同じ時期に相次いだメール配信基盤への一連の攻撃と重なります。

注目すべきは項目です。メールアドレスだけでなく、氏名・生年月日・電話番号まで配信サービス側にありました。

「弁当屋のメルマガ」に、なぜ生年月日と電話番号があるのか

最大約700万件という規模も大きいのですが、それ以上に考えたいのが項目です。

メールマガジンを送るのに、生年月日と電話番号は要りません。 では、なぜあったのか。

考えられるのは、会員登録のときに集めた情報を、そのまま配信サービスに取り込んでいたことです。

よくある流れはこうです。アプリや会員登録で「氏名・生年月日・電話番号・メールアドレス」を入力してもらう。そのデータを、配信ツールに丸ごと同期する。理由は「誕生月クーポンを送りたいから」「将来セグメント配信をしたいから」。

使うかもしれないから、全部入れておく。 これが事故のときに効いてきます。

生年月日と電話番号がそろうと、詐欺の作り方が変わります。「お誕生月のクーポンのご案内です」という自然な口実が成立し、電話をかけることもできます。メールアドレスだけなら、メールしか送れません。

中小企業が今日できる確認は、1つで足ります。配信ツールの管理画面を開いて、会員1件の「項目一覧」を見てください。 そこに並んでいる項目が、そのまま流出リストの中身です。

そして、その中に「配信に使っていない項目」がいくつあるか数えてください。 1つでもあれば、それは減らせる危険です。

飲食チェーンの会員情報が狙われる理由

2026年10月から11月にかけて、本サイトには飲食・小売の会員情報の事案が集中して並びました。松屋フーズ（237万7,127件）、モンテローザ（625,429件）、日本ピザハット、ドトールコーヒー、物語コーポレーション、井筒まい泉、そして本件です。

なぜ飲食チェーンなのか。理由は2つあります。

①会員数が多い。 クーポンのために登録する人が多く、1社で数百万件になります。

②「来店する人」のリストである。 地域・来店頻度・好みが推測でき、実在性の高い個人情報として価値があります。

利用者としての備えは、繰り返しになりますが同じです。アプリのクーポンは、メールのリンクからではなく、アプリを自分で開いて確認する。

そして「ほっともっとを名乗る電話」に注意してください。電話番号まで流出しているため、メールだけの事案より、電話を使った詐欺の可能性が上がります。注文確認やアンケートを装って、生年月日や住所を聞き出そうとする手口が考えられます。

事業者側の備えとしては、会員規約と個人情報の取扱いに「配信目的で外部に提供する項目」を具体的に書いておくことをおすすめします。事故のときに「何を渡していたか」を説明する根拠になります。

時系列で見る経過

• 2026年10月28日〜31日外部委託先の「ほっともっとのメールマガジン配信サービス」が第三者による不正アクセスを受ける
• 2026年11月4日プレナスが、最大約700万件の会員情報の流出について委託先から報告を受けたと公表

中小企業が学ぶべきポイント

1. メールマガジンの配信に、生年月日と電話番号は要らない。それでも配信サービス側にあった。
2. 「使うかもしれないから全部入れておく」という同期設定が、事故のときの流出項目になる。
3. 配信ツールの管理画面で会員1件の項目一覧を見る。そこに並ぶ項目が、そのまま流出リストの中身。
4. 電話番号まで流出すると、メールだけの事案より電話を使った詐欺の可能性が上がる。
5. 生年月日があると「お誕生月のクーポン」という自然な口実で偽メールが作れる。
6. 飲食チェーンの会員情報は、会員数が多く「来店する人」のリストとして価値が高いため狙われやすい。
7. 会員規約に「配信目的で外部に提供する項目」を具体的に書いておくと、事故のときの説明の根拠になる。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）