セイコーマート、アプリ経由の不正アクセスで約57万アカウントが閲覧の可能性

事案の概要データ

図解：この事故の構造

何が起きたのか

セコマは2026年9月29日、スマートフォン向け「セイコーマートアプリ」のサーバを経由して、会員情報を保有するサーバが第三者から不正アクセスを受けたことを公表しました。約57万アカウントの情報が閲覧された可能性があるとされています。

対象情報には、氏名、性別、生年月日、住所、電話番号、メールアドレスなどが含まれます。

「1件の違和感」から発覚した

この事案で注目すべきは発覚の経緯です。きっかけは2026年9月24日に確認された、たった1件のアカウント退会処理の不正でした。

「1件だけ、おかしな退会処理がある」という小さな違和感を見逃さず調べた結果、9月28日に本格的な不正アクセスが判明し、同日20時にサーバの接続を停止しています。

セキュリティ事故の多くは、こうした小さな異常から始まります。「1件だけだから様子を見よう」と流していれば、発覚はもっと遅れ、被害はさらに広がっていた可能性があります。

中小企業でも、「身に覚えのないログイン通知が1件」「送った覚えのないメールが1通」といった小さな異常が入口になります。1件でも調べる習慣が、結果的に被害を小さくします。

アプリのサーバが踏み台になった

侵入経路は、アプリ用のサーバを経由して会員情報のサーバへ、という流れでした。アプリのサーバは外部からの通信を受け付ける必要があるため、どうしても攻撃にさらされます。

重要なのは、そこを突破されたときに「会員情報のサーバまで素通りで行けてしまう」構造だったという点です。外に面したサーバと、重要データを持つサーバの間に、もう一段の壁（通信の制限や認証）があれば、被害は限定できた可能性があります。

時系列で見る経過

• 2026年9月24日1件のアカウント退会処理に不正を確認し、調査を開始
• 2026年9月28日本格的な不正アクセスが行われていたことを判明
• 2026年9月28日 20時サーバの接続を停止し、一部サービスを一時停止
• 2026年9月29日約57万アカウントの情報が閲覧された可能性があると公表
• 2026年9月29日以降影響範囲の調査と対象者への案内を継続

中小企業が学ぶべきポイント

1. 「1件だけの違和感」を流さない。小さな異常の報告ルートを作っておく。
2. 外に面したサーバと、重要データを持つサーバの間に通信の制限をかける。
3. 異常を確認したらサービスを止める判断を、現場ではなく事前の方針として決めておく。
4. アプリを外部に委託していても、そこから自社のデータに届く経路は自社で把握する。

出典・参考

• 2026年9月のサイバー攻撃・不正アクセスまとめ - マイナビニュース
• 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab