事案の概要データ
| 報じられた時期 | 2026年10月16日（西日本新聞）、10月28日（ScanNetSecurity） |
|---|---|
| 対象 | トイポアプリの利用者 |
| 件数 | 約69万7千人分（報道の数字。トイポ社の公表原文は未確認） |
| 原因 | アプリの一部APIで、権限のない第三者が他のユーザーの情報を取得できる状態だった |
| 脆弱性の状況 | 修正済みとされる |
| 漏れた可能性がある項目 | 電話番号とユーザーID、登録していれば氏名・カナ・メールアドレス・生年月日・性別・住所 |
| 対象外とされる項目 | パスワード、決済情報、利用履歴 |
| 導入企業の公表（JR九州フードサービス） | 約26,900名 |
| 導入企業の公表（杵屋萬野） | 12名 |
| 導入企業の公表（西鉄ウェルネス 西新パレスドーム・天拝の郷） | 人数非公表 |
| 注意 | 導入企業の公表件数が約69.7万人の内数かどうかは未確認。合算しない |
図解：この事故の構造
何が起きたのか
店舗向けアプリ「トイポ」の提供元である株式会社トイポで、アプリの一部API（アプリとサーバーがデータをやりとりする窓口）に不備があり、権限のない第三者が他のユーザーの情報を取得できる状態だったと報じられました。
報道では約69万7千人分が対象とされています。トイポ社の公式お知らせ本文は未確認のため、この数字は報道にもとづくものです。脆弱性は修正済みとされています。
漏れた可能性があるのは、電話番号とユーザーID、そして登録していれば氏名・カナ・メールアドレス・生年月日・性別・住所です。パスワード、決済情報、利用履歴は対象外とされています。
導入企業側では、JR九州フードサービスが約26,900名、杵屋萬野が12名と公表しています。西鉄ウェルネスの西新パレスドームと天拝の郷は人数非公表です。これらが約69.7万人の内数かどうかは確認できていないため、合算はしていません。
「侵入された」のではない
この事案は、これまで扱ってきた不正アクセスとは性質が違います。誰かがシステムに侵入したわけではありません。
起きていたのは、こういうことです。アプリが「会員番号12345の情報をください」とサーバーに頼むと、サーバーが素直に返していました。ここまでは普通です。
問題は、その頼み方を12346、12347…と書き換えても、サーバーがそのまま返してしまったことです。本来なら「あなたは12345の人ですよね。12346の情報を見る権限はありません」と断るべきところを、確認していませんでした。
鍵のかかっていないロッカーが並んでいて、番号を順番に開けていけば全部見えてしまう。そういう状態です。
侵入の痕跡は残りません。正規の通信として処理されているからです。だから、気づきにくく、いつから見られていたのかも分かりにくくなります。
この種の不備は「権限チェック漏れ」と呼ばれ、Webサービスの不具合としては最も多いもののひとつです。
アプリを発注する側が確認できること
自社で会員アプリやWebサービスを作った（作ってもらった）中小企業は、この確認ができます。プログラムが読めなくても大丈夫です。
テスト用のアカウントを2つ作ってください。 AさんとBさん、2人分です。
Aさんでログインして、マイページや注文履歴を開きます。そのときのブラウザのアドレス欄を見てください。`...?id=1001` や `.../mypage/1001` のように、番号が入っていませんか。
入っていたら、その番号をBさんの番号に書き換えてみてください。Bさんの情報が表示されたら、権限チェック漏れです。本来は「権限がありません」と表示されるべきです。
スマホアプリの場合は自分では試せませんが、制作会社に「他人のIDを指定したときに、他人のデータが返らないことを確認していますか」と聞いてください。この一文で伝わります。
発注時の仕様書に「ログインしている本人のデータ以外は返さないこと」と1行入れておくことも有効です。
店舗アプリの提供元が破られると、導入店舗に波及する
もうひとつの論点は、構造です。トイポは、飲食店や小売店が自社の会員アプリとして使うサービスです。
つまり、各店舗が集めた会員情報は、トイポのシステムに預けられています。提供元に不備があれば、導入している全店舗の会員が同時に影響を受けます。
導入店舗からすれば、自社は何も悪いことをしていません。それでも、謝るのは店舗です。会員が登録したのは店舗のアプリだからです。
2026年10月は、この構造の事案が続きました。メール配信ではアルカディア、ユミルリンク、ブラストメール、ワイメール。そして本件です。
預ける前に確認することを、発注時の習慣にしてください。「セキュリティの第三者診断を受けていますか」「事故が起きたら何時間以内に連絡をもらえますか」。この2つを聞くだけで、相手の姿勢が分かります。
そして、預けるデータは必要最小限にしてください。生年月日や住所は、本当にアプリに必要ですか。
時系列で見る経過
- 2026年10月16日西日本新聞が報道
- 2026年10月導入企業が順次公表（JR九州フードサービス 約26,900名、杵屋萬野 12名、西鉄ウェルネスの2施設は人数非公表）
- 2026年10月28日ScanNetSecurityが報道。約69万7千人分が漏えいした可能性とされる
- （対応）アプリの一部APIの脆弱性は修正済みとされる
中小企業が学ぶべきポイント
- APIの権限チェック漏れは、侵入ではなく「作りの問題」。正規の通信に見えるため気づきにくい。
- テスト用アカウントを2つ作り、URLの番号を書き換えて他人の情報が見えないかを確かめる。
- 制作会社には「他人のIDを指定したときに他人のデータが返らないことを確認していますか」と聞く。
- 発注時の仕様書に「ログインしている本人のデータ以外は返さないこと」と1行入れる。
- 店舗アプリの提供元に不備があると、導入している全店舗の会員が同時に影響を受ける。
- 預けるデータは必要最小限にする。生年月日や住所が本当にアプリに必要かを問い直す。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。