要点
発表された事実
- ユナイテッド・スーパーマーケット・ホールディングス（USMH）は2026年11月12日、「Scan＆Go ignica」のシステムに第三者からの不正アクセスがあり、一部の利用者の個人情報が外部に流出した可能性があると発表した（USMH）。
- 不正アクセスを受けたシステム内に、一部の利用者の個人情報を含むファイルがあった。実際に取得・流出した事実は確認されていないが、可能性を否定できないとしている（同）。
- 対象はアプリの新規登録時に入力した氏名とメールアドレスで、約240万アカウントのうち64,003アカウント。クレジットカード情報、住所、電話番号、生年月日は対象のファイルに含まれていない（同）。
- 不正利用や二次被害は確認されていない。対象者にはメールとアプリのログイン時のお知らせで案内する（同）。
- 報道によると、マルエツなど首都圏の食品スーパーを運営する同社のアプリ会員の情報が対象（日本経済新聞、NHKニュース）。
わかっていないこと
- 不正アクセスの発生時期、侵入経路、原因。
- 個人情報を含むファイルがシステム上に置かれていた理由と、そのファイルの作成時期（対象が新規登録時の情報に限られる理由）。
- 外部への取得の有無を確定できるか（ログの有無）。
- アプリの運用委託先が関係するかどうか。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 不明 | Scan＆Go ignicaのシステムに第三者が不正アクセス | USMH |
| 2026-11-12 | USMHが個人情報流出の可能性を公表 | 同 |
発表内容の整理
事実（USMHの11月12日の発表による）
| 項目 | 内容 |
|---|---|
| 対象システム | Scan＆Go ignica |
| 状況 | 不正アクセスを受けたシステム内に個人情報を含むファイル。取得・流出の事実は未確認 |
| 情報 | 新規登録時の氏名、メールアドレス |
| 件数 | 64,003アカウント（利用者約240万アカウント中） |
| 対象外 | クレジットカード情報、住所、電話番号、生年月日 |
| 対応 | 被害拡大と再侵入の防止措置、原因と影響範囲の調査継続 |
出典：USMH「不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」（2026-11-12）
考察
- 対象が全会員ではなく「新規登録時に入力した情報」の一部に限られることから、データベース本体ではなく、登録処理の途中で書き出されたファイルや連携用のファイルが置かれていた可能性がある。ただし、ファイルの性質は公表されていない。
- 発表には不正アクセスの日時や経路が一切書かれておらず、利用者が影響期間を判断できない。続報で時期と原因が示されるかを確認したい。
- 氏名とメールアドレスの組み合わせは、スーパーの会員向けクーポンやポイントを装うフィッシングに使われやすい。
利用者・運用者がいまできること
- 利用者：USMHやマルエツなどを名乗るメールのリンクや添付ファイルは開かない。パスワード、認証コード、カード番号を求めるメールには応じない。
- 利用者：アプリのお知らせで対象かどうかを確認する。
- 運用者：アプリのサーバー上に、処理の途中で生成されたCSVやログ、バックアップなど個人情報を含むファイルが残っていないかを定期的に確認し、不要なものは削除する。