要点
発表された事実
- セイコーマートは2026年9月29日、スマートフォンアプリ「セイコーマートアプリ」のサーバを経由して会員情報を保有するサーバへ第三者が不正アクセスし、会員情報が漏えいした可能性があると公表した（第一報PDF）。
- 2026年9月30日の第三報で、アプリに登録したことがある会員のうち 572,022人分 の情報が不正アクセスにより閲覧されたと確認したと発表。アプリ会員の49%。アプリ未登録者は対象外。個人情報保護法に基づき行政当局へ報告済み（第三報PDF）。
- 閲覧された可能性のある情報（第一報）: 姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカード入会日・退会日。パスワードは漏えいしていない。クレジットカード情報は保有していない。
- 発覚のきっかけは、9月24日22時〜23時に1件のアカウントで不正なクラブカード退会処理が行われたこと。会員サーバへの不正アクセス可能性が判明したのは9月28日17時過ぎ。同日20時に当該サーバへの接続を停止。
- 不正アクセスの手法の詳細は、外部調査会社・警察・関係機関と連携中のため開示を差し控える、と第三報で明記。
- 【2026-10-06追記】10月5日の第四報で、対象はアプリに登録したことがあるセイコーマートクラブ会員のうち 574,647人分 と修正された（第三報の572,022人分から2,625人増）。9月24日までにクラブカードを退会した人は対象外（第四報PDF）。
- 【2026-10-06追記】同じく第四報で、10月5日からすべてのアプリ会員に、閲覧の対象かどうかをアプリのお知らせで通知するとした。アプリ・Web上での新規入会、会員情報の閲覧・変更、登録カードの変更の機能は終了し、今後は店舗またはアプリ・Webのフォームで受け付けて同社が変更する。アプリにログインできない人はプラスチックのペコマカードを使うよう案内している（同上）。
わかっていないこと
- 不正アクセスの具体的な侵入経路・悪用された脆弱性や認証不備の内容
- 攻撃者の正体、閲覧データの持ち出し・二次流通の有無
- アプリサーバと会員情報サーバの構成関係（どのように「経由」したか）
- マイページへのログイン機能と公式通販サイトの再開時期（アプリ・Web上の新規入会や会員情報の閲覧・変更は、第四報で機能そのものを終了するとされた）
- ペコママネー等の不正利用が今後も発生しないかの最終評価（第一報時点では不正利用は未確認）
関係しそうな既知の手口
- （考察）アプリ向けAPI／BFFを踏み台に会員マスタへ到達する侵害は、モバイルアプリの認証・認可設計やサーバ間の信頼境界の問題として国内外で報告される類型に近いが、本件手法は未公表のため断定できない。
- （考察）不正な「退会処理」1件が検知のきっかけになった点は、会員ライフサイクル操作の異常検知が有効だった事例として読める。
概要
- 北海道を中心に展開するセイコーマートの公式アプリ経由で会員情報サーバが侵害され、約57万人分の会員属性が閲覧された。
- 件数は第三報で示され、第四報で574,647人分に修正された。一方、手法は警察連携を理由に非開示のまま。
- 利用者はフィッシング注意と、公式が聞かない情報（パスワード・PIN・カード情報等）を渡さないことが当面の実務的な対応になる。
この記事では、公式発表で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-24 22:00〜23:00 | 1件のアカウントで不正なクラブカード退会処理（第一報） |
| 2026-09-28 17時過ぎ | 会員情報サーバが不正アクセスを受けた可能性が判明 |
| 2026-09-28 20:00 | 当該サーバへの接続を停止。新規入会・会員情報変更・登録カード変更・退会・マイページログイン等を停止 |
| 2026-09-29 | 第一報を公表（約57万アカウントが影響の可能性） |
| 2026-09-30 | 第三報。572,022人分の閲覧を確認、行政当局へ報告。手法は非開示と明記 |
| 2026-10-05 | 第四報。対象を574,647人分に修正。全アプリ会員に対象かどうかをアプリで通知開始。アプリ・Web上の新規入会、会員情報の閲覧・変更、登録カード変更の機能を終了 |
発表内容の整理
事実
対象と漏えい項目
- 対象: セイコーマートアプリに登録したことがある会員のうち572,022人（アプリ会員の49%、第三報）。第四報で574,647人に修正。アプリ未登録者と、9月24日までにクラブカードを退会した人は対象外。
- 項目（第一報）: 姓名、性別、生年月日、住所、電話、メール、クラブカード入会日・退会日。
- パスワード漏えいなし。クレジットカード情報は保有していない。
- 第一報時点でペコママネーの不正利用は確認されていない。
サービス影響（第三報時点）
- 停止中: アプリでの新規入会、登録カード変更、マイページでの会員情報変更・退会、公式通販サイト（再開時期は後日）。
- 利用可能: ペコママネー利用・チャージ、ポイント付与、会員価格、クーポン・キャンペーン。新規入会・会員情報変更は店頭受付が可能。
利用者への注意
- セイコーマートを騙るメールに注意。メールでパスワード、ペコマカードのPIN、クレジットカード情報、預金情報を聞き取ることは絶対にない（第三報）。
考察
規模（全アプリ会員の約半数）に対して、技術的な原因説明が意図的に抑えられている。
【2026-10-06追記】第四報では、停止していたアプリ・Web上の会員情報の閲覧・変更などを「再開」ではなく「終了」とした。会員情報をネット越しに直接読み書きできる経路をなくし、店舗やフォームで受け付けて社内で処理する形に切り替える判断で、侵害された経路の再発防止を、機能を減らすことで図ったと読める。続報で手法や再発防止策が出るまでは、「何が壊れていたか」より「利用者向けの二次被害防止」と「サービス復旧の条件」を追う記事になる。
関係しそうな既知の手口
考察
- 「アプリサーバを経由して会員サーバへ」という表現だけからは、アプリAPIの認証バイパス、サーバ間認証の不備、管理機能の露出など複数の仮説が立ちうるが、公式が手法を開示していない以上、特定はしない。
- 退会処理の異常1件から調査が広がった経緯は、アカウント操作ログの監視が侵害検知に寄与した例として、他社の会員基盤でも参考にしうる。
利用者・運用者がいまできること
事実
- 公式を装った連絡でパスワード・PIN・カード・口座情報を求められても応じない。
- 問い合わせ: セイコーマートお客様相談室 0120-89-8551（月〜土 9:00–17:00）。
- 店頭での会員手続きは継続可能な旨が第三報に記載されている。
- 【2026-10-06追記】自分が閲覧の対象かどうかは、アプリのお知らせで確認できる（第四報）。アプリにログインできない場合はプラスチックのペコマカードを使う。持っていない場合は店舗で再発行し、クラブカードデスク（0120-515-413、月〜土 9:00–17:00）に連絡する。
考察（類似サービス運用者向け）
- 会員マスタへ到達できるアプリ／API経路の権限を最小化し、退会・ポイント操作などの高リスク操作に異常検知を置く。
- 侵害時に「手法を警察連携で非開示」とする場合でも、利用者向けには対象件数・項目・パスワード有無・取るべき行動を段階的に更新する通信計画を用意しておく（本件の第一報→第三報の進め方はその一例）。