要点
発表された事実
- ミスターマックスは2026年10月6日、「MrMaxアプリ」とオンラインストアのサーバーが第三者の不正アクセスを受け、会員の個人情報の一部が外部に流出したと公表した（同社のお知らせ）。
- 10月3日（土）夕方に不審なアクセスを確認し、サービスを一時停止、同日中に外部からのアクセスを遮断した（同上）。
- 第三者が「本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入」した（同上）。
- 対象はアプリ会員とオンラインストア会員の最大1,735,154人（10月3日時点の会員登録者）。項目は会員ID・氏名・メールアドレス・電話番号（同上）。
- 住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことを確認したとしている（同上）。
- 日本経済新聞によると、アプリとECサイトは10月4日朝から通常どおりサービスを提供している（日本経済新聞）。
わかっていないこと
- 悪用された「ソフトウェアの機能」が何か（製品名、自社開発か外部製品か、脆弱性か設定の問題か）
- 不正アクセスが始まった時期と、流出が起きた期間
- 「最大」173万人のうち、実際に取得されたことが確認できた件数
- 流出データの公開・不正利用の有無（公表時点では確認されていない）
- 外部専門機関による調査の結果と再発防止策
- 業績への影響（精査中）
関係しそうな既知の手口
- （考察）「ソフトウェアの機能を不正に利用して侵入」という書き方は、脆弱性というより、本来は運用のために用意された機能（管理機能、ファイル操作、デバッグ用の口など）が外から使えてしまったケースを思わせる。ただし同社は詳細を公表していない。
概要
- 九州・関東などでディスカウントストアを展開するミスターマックスの公式アプリとオンラインストアから、最大約173万人分の会員ID・氏名・メールアドレス・電話番号が流出した。
- 侵入は「サービスを構成するソフトウェアの機能」の不正利用によるとされるが、何のソフトウェアかは明らかにされていない。
- 不審なアクセスの確認から1日足らずでサービスを止めて遮断し、翌朝には再開している。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-03（土）夕方 | サーバーへの不審なアクセスを確認。ただちにサービスを一時停止し、同日中に外部からのアクセスを遮断 |
| 2026-10-04 朝 | アプリとECサイトが通常どおりのサービス提供を再開（日本経済新聞） |
| 2026-10-06 | 公式サイトでお詫びとお知らせを掲載。持株会社のミスターマックス・ホールディングスも適時開示。個人情報保護委員会への報告と警察への相談を実施 |
発表内容の整理
事実
対象
| 区分 | 内容 |
|---|---|
| 対象サービス | MrMaxアプリ、オンラインストア |
| 対象者 | アプリ会員とオンラインストア会員、最大1,735,154人（2026年10月3日時点の会員登録者） |
| 流出した情報 | 会員ID、氏名、メールアドレス、電話番号（登録状況により項目は異なる） |
| 流出していないとされる情報 | 住所、生年月日、クレジットカード情報、パスワード、購入履歴 |
会社の対応と利用者への案内
- 不正アクセスの経路を遮断する対策を実施し、外部の専門機関の協力を得て詳細な調査を進め、監視体制を強化している。
- 対象者にはメールで個別に連絡する。
- 流出した情報をもとに「なりすましメール」「フィッシングメール」が送られる可能性があるとして、不審なメールや添付ファイルを開かず削除するよう呼びかけている。同社や関係者を名乗るメール・SMS・電話・郵便物にも注意を促し、同社がパスワードやクレジットカード番号を尋ねることはないとしている。
考察
流出項目は「会員ID・氏名・メールアドレス・電話番号」に限られ、住所や生年月日、購入履歴は「流出していないことを確認」と言い切っている。侵入された範囲が会員情報のうち一部の項目を持つ場所（会員の連絡先を扱う機能やテーブル）にとどまったか、攻撃者が取得した範囲をログから特定できた可能性がある。
一方で、件数は「最大」で、10月3日時点の会員全員が対象になっている。実際に取得された件数を絞り込めていないのか、全件が取得されたのかは、発表からは読み取れない。
遮断の翌朝にサービスを再開している点は、侵入経路が特定の機能に限られていて、その機能を止めれば塞げると判断したことをうかがわせる。ただし、調査結果が出る前の再開であり、ほかの経路が残っていないかは今後の続報で確認したい。
関係しそうな既知の手口
考察
- 同時期には、焼肉きんぐ公式アプリ（10月2日に不正アクセスを確認）やセイコーマートアプリなど、小売・外食の会員アプリから連絡先がまとめて抜かれる公表が続いている。焼肉きんぐも「会員番号・氏名・メールアドレス・電話番号」が流出し、生年月日などは流出していないとしており、項目の傾向が似ている。ただし各社とも侵入経路の詳細を公表しておらず、共通の製品や攻撃者がいるかは判断できない。
- 「ソフトウェアの機能」の悪用としてよく見られるのは、アプリ用APIの認可不備（他人の会員IDを指定すると情報が返る）、外部に公開されたままの管理画面やデータ分析ツール、ファイルアップロード機能を使ったWebシェルの設置など。本件がどれに当たるかは不明。
- 同じ週には吉野家HD／ApplyNowのように、分析ツール（BIツール）の脆弱性が入口になった事例も報じられている。
利用者・運用者がいまできること
事実（発表に基づく）
- ミスターマックスやその関係者を名乗るメール・SMS・電話・郵便物のリンクや添付ファイルは開かない。同社がパスワードやカード番号を尋ねることはない。
- 古川デジタル相は10月6日の記者会見で、相次ぐ不正アクセスによる個人情報流出を受け、パスワードの使い回しをやめる、多要素認証を設定する、不審なメールやSNSに注意する、の3点を呼びかけた（ITmedia NEWS）。
考察（利用者向け）
- 流出したのは「氏名＋メールアドレス＋電話番号」の組み合わせなので、宛名入りのフィッシングメールやSMSが届く前提で構える。「ポイント付与」「クーポン」「お詫びの返金」などを口実にした連絡は、公式アプリから確認する。
- パスワードは流出していないとされているが、同じメールアドレスとパスワードをほかのサービスで使い回している場合は見直しておく。
考察（会員アプリ・ECを運用する側）
- アプリやECを構成するミドルウェア・パッケージに、外から呼べる管理用・運用用の機能が残っていないかを棚卸しする。特に、会員情報を一覧・書き出しできる機能に認証と接続元制限がかかっているかを確認する。
- 会員データへの大量アクセス（短時間に多数の会員IDを読む、通常と違う経路からの書き出し）を検知できるようにしておく。