要点
発表された事実
わかったこと
- 【2026-11-07追記】11月6日の更新版で、漏えいの可能性がある項目に追加項目が示された。従業員番号、性別、国籍情報、雇用条件（）、就労情報（）、社会保険状況（）、保護者情報＜氏名・続柄・住所＞（）、銀行口座情報。*は一部対象者のみ。対象者数（都内4店舗・951名）と当初の基本項目は変更なし。顧客情報への不正アクセスと二次被害は引き続き未確認（ドトールコーヒー 更新版）。
わかっていないこと
- 不正アクセスを受けたシステムの種類
- 侵入経路と原因
- 対象が4店舗に限られている理由
- 実際に持ち出されたかの最終確定
関係しそうな既知の手口
- （考察）店舗単位で従業員の口座番号まで含まれていることから、勤怠・給与など店舗の人事労務を扱う仕組みが対象になった可能性があるが、会社はシステム名を明らかにしていない。
概要
- ドトールコーヒーで不正アクセスがあり、都内4店舗の従業員・退職者951人分の情報が閲覧・取得された可能性がある。
- 項目には銀行口座番号が含まれる。
- 顧客情報には及んでいないとされるが、侵害されたシステムと原因は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-20（火） | 不正アクセスを確認（ドトールコーヒー） |
| 10-26（月） | ドトールコーヒーが公表（同） |
| 10-28（水） | NHKなどが報道 |
| 11-06（金） | 更新版を公表。追加項目（従業員番号・性別・国籍・雇用条件等）を明示（更新版） |
発表内容の整理
事実（ドトールコーヒーの発表による）
| 項目 | 内容 |
|---|---|
| 対象 | 西武大泉学園駅店、国立大学通り店、東京駅八重洲中央口店、石神井公園駅前店の従業員・退職者 951人 |
| 閲覧・取得された可能性がある情報 | 氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号。【更新版追記】従業員番号、性別、国籍情報、雇用条件・就労情報・社会保険状況・保護者情報・銀行口座情報（後者は一部対象者のみ） |
| 顧客情報 | 不正アクセスは確認されていない |
| 二次被害 | 確認されていない |
| 対応 | 個人情報保護委員会へ報告、在籍者へ個別連絡、退職者へは公表で案内 |
| 問い合わせ | toiawase@doutor.co.jp |
考察
「銀行口座番号」とあり、口座名義や暗証番号が含まれるかは書かれていない。口座番号だけで預金を引き出すことはできないが、氏名・住所と組み合わせると、口座の確認を装った詐欺の連絡に使われうる（考察）。
対象が特定の4店舗に限られていることから、全社の人事システムではなく、店舗ごとに管理していたデータや、店舗単位の権限を持つアカウントが使われた可能性も考えられる。いずれも推測にとどまる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月、国内組織で不正アクセスが相次いでいるとして注意喚起を出した（JPCERT/CC）。
考察
飲食チェーンの店舗では、シフト管理や勤怠を外部のクラウドサービスで管理し、店長などが共有のアカウントでログインしている例がある。こうしたアカウントの認証情報が漏れると、その店舗の従業員情報がまとめて見られる。本件がこれに当たるかは公表されていない（考察）。
利用者・運用者がいまできること
- 該当店舗で働いていた人は、ドトールコーヒーや銀行を名乗って口座情報や暗証番号を聞き出そうとする連絡に応じない。不明点は問い合わせ窓口に確認する。
- 店舗を多く持つ事業者は、店舗単位で人事情報を扱うシステムのアカウントが共有されていないか、多要素認証が有効かを点検する。