要点
発表された事実
- よーじやグループは2026年11月9日、同社が利用する会員情報管理システムで、会員情報を取得するためのシステム連携機能（API）が外部の第三者に不正利用され、会員の個人情報の一部が取得されたと発表した（よーじや）。
- 11月7日未明に会員情報取得APIへの不正アクセスを確認した（同）。
- 漏えいを確認した件数は131,557名、潜在的な最大件数は134,344名。11月7日時点の会員（店舗・オンラインショップ・アプリ）の一部が対象（同）。
- 項目は氏名、フリガナ、住所、電話番号、生年月日、性別、メールアドレス、会員番号等と購買統計情報。クレジットカード情報と会員ログインパスワードは同社で保持していない（同）。
- 不正アクセスに使われた可能性があるAPI認証キーを無効化して再発行し、発信元IPアドレスを遮断し、APIに一定条件のアクセスを制限する機能を追加した（同）。
- 店頭で会員番号・電話番号の口頭申告だけでポイントを使える運用を一時停止した。公式アプリは強制アップデートでセキュリティ強化版に切り替える（同）。
- システム提供元と外部調査機関と、API認証キーが流出した経路を調べている（同）。
わかっていないこと
- API認証キーがどこから流出したか。
- 会員情報管理システムの提供元と、同じシステムを使う他社への影響。
- 確認済み件数と最大件数の差（約2,800名）が何を意味するか。
- ポイントの不正利用など二次被害の有無。
関係しそうな既知の手口
- （考察）会員情報を返すAPIを正規の鍵で呼ばれて大量取得される形は、ソースネクストの会員情報取得APIの不正利用と似ている。
概要
- 公式アプリはセキュリティ強化版への強制アップデートを案内している。API認証キーの流出経路は明らかにしていない（よーじや）。
- 店舗・オンラインショップ・アプリは引き続き利用できる（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-07 未明 | 会員情報取得APIへの不正アクセスを確認 | よーじや |
| 2026-11-07〜09 | APIキーの無効化・再発行、IP遮断、アクセス制限機能の追加 | 同 |
| 2026-11-09 | 第一報を公表 | 同 |
発表内容の整理
事実（よーじやの第一報による）
| 項目 | 内容 |
|---|---|
| 対象 | 会員情報管理システムの会員情報取得API |
| 手口 | API認証キーを使った外部からの不正利用 |
| 件数 | 確認済み131,557名、最大134,344名 |
| 項目 | 氏名、フリガナ、住所、電話番号、生年月日、性別、メールアドレス、会員番号等、購買統計情報 |
| 含まれない | クレジットカード等の決済情報、会員ログインパスワード（保持していない） |
| 二次被害 | 11月9日時点で不正使用は未確認 |
出典：よーじや「当社システムへの不正アクセスによる個人情報流出に関するお詫びとお知らせ（第一報）」（2026-11-09）
考察
- 店頭のポイント利用を会員番号・電話番号の口頭申告だけで受け付けていた運用を止めたのは、取得された情報だけで他人のポイントが使えてしまうためと読める。会員番号や電話番号を「本人確認」に使う運用は、会員情報が漏れると成り立たなくなる。
- アプリの強制アップデートがAPIキーの扱いと関係するのかは発表からはわからない。
- 最初にしたことの一つが「一定の条件に該当するアクセスを制限する機能」の追加で、それまでAPIに取得件数や頻度の制限がなかった可能性がある。
関係しそうな既知の手口
事実
- 同社は、不正アクセスに使われた可能性のあるAPI認証キーを無効化したと説明し、キーの流出経路は調査中としている（よーじや）。
考察
- システム間連携用のAPIキーは、アプリや画面のコード、設定ファイル、委託先の環境に置かれて漏れることがある。会員情報を一括で返すAPIには、鍵だけでなく接続元の制限と取得量の上限を組み合わせたい。
利用者・運用者がいまできること
- 会員：よーじやを名乗り、パスワードやカード情報の再入力を求めるメール・SMSのリンクは開かない。公式アプリは最新版に更新する。
- 運用者：会員情報を返すAPIのキーがアプリや公開リポジトリに含まれていないか確認し、接続元IPの制限、取得件数のレート制限、異常な大量取得の検知を入れる。