松屋フーズ ― 公式アプリの管理システムに不正アクセス

要点

松屋フーズホールディングスは、2026年10月28日（水）に松屋公式アプリの管理システムが第三者の不正アクセスを受け、アプリに登録された会員情報などが漏えいしたことが判明したと公表した（松屋フーズHD）。
松弁ネット、モバイルオーダー、松弁デリバリーの利用者の会員ID、お届け先住所、氏名、電話番号、松屋ポイントが2,377,127件漏えいした（同）。
アプリ会員の会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイントが2,000件漏えいし、最大3,000件になる可能性がある（同）。
クレジットカード情報は同社で保持していない。原因と不正アクセスが可能になった経緯は調査中（同）。
不正アクセスの検知後、アプリやWebサイト、関連サービスを停止した（Security NEXT）。同社はアプリ会員向けに、会員ランクの引き上げなどの補償を案内した（松屋フーズHD）。

（考察）管理システムを入口にした大量取得は、国内で10月に相次いだ事案と共通する形だ。JPCERT/CCは管理用APIへの不正なリクエストなどを類型として挙げているが、本件の手口は公表されていない。

概要

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

時期	出来事
2026-10-28（水）	管理システムへの不正アクセスと会員情報などの漏えいが判明（松屋フーズHD）。アプリ・関連サービスを停止（Security NEXT）
10-29（木）	券売機で使えるクーポンを発行（11月11日15時まで有効、松屋フーズHD）
10-30（金）	漏えいの詳細とお詫び、補償内容を公表（同）

事実（松屋フーズHD）

項目	配達・注文の利用者	アプリ会員
対象	松弁ネット・モバイルオーダー・松弁デリバリーの利用者	松屋公式アプリの登録者
件数	2,377,127件	2,000件（最大3,000件の可能性）
項目	会員ID、お届け先住所、氏名、電話番号、松屋ポイント	会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイント

補償として、11月・12月の会員ランクを予定より1つ上げる。9月26日〜10月28日にアプリ版MATSUYA PASSを買った人には、券売機で使える専用QRコードを11月1日までにメールで送る（松屋フーズHD）。
個人情報保護委員会への報告などを進め、漏えいした顧客には順次連絡する（松屋フーズHD）。

考察

件数が大きい方の情報は「お届け先住所」を含み、配達や注文の受け付けに使う情報と読める。管理システムからは注文処理用のデータ全体を見渡せたと考えられる。一方、アプリ会員の詳しい情報は2,000件程度にとどまっており、取得の経路や手段が二つで異なる可能性もある（考察）。

パスワードは「暗号化」と書かれている。復号できる暗号化なのか、ハッシュ化なのかで危険度が大きく変わるため、方式の説明が必要だ。

事実（既知の知見）

JPCERT/CCは2026年10月の注意喚起で、既知の脆弱性の探索、管理用APIへの不正なリクエスト、Metabaseの脆弱性、Webシェルの設置を国内の不正アクセスの類型として挙げた（JPCERT/CC）。
同じ10月30日には、外食のモバイルオーダー基盤DIRIGIO PICKSのAPIへの不正アクセスも公表されている（DIRIGIO PICKSの記事）。

考察

外食のモバイルオーダーや配達の仕組みは、店舗運営の都合で多くの担当者が管理画面を使う。管理画面がインターネットから直接開ける作りなら、認証情報の漏えいや管理画面の脆弱性が大量漏えいに直結する。本件の入口は公表されていない（考察）。

松弁ネット・モバイルオーダー・松弁デリバリーを使った人は、氏名・住所・電話番号を知っている前提で松屋を名乗る電話・SMS・郵便物に注意する。問い合わせは同社の窓口（contact_information@matsuyafoods.net、0422-38-1121）で確認する。
松屋アプリと同じパスワードを他のサービスで使っている人は、そちらを変更する。
運営者は、管理システムへの接続元の制限、多要素認証、大量の閲覧・出力を検知する仕組みを確認する。