USMH「Scan＆Go ignica」 ― 不正アクセスで会員情報流出の可能性
マルエツなどを傘下に持つユナイテッド・スーパーマーケット・ホールディングスは11月12日、アプリ「Scan＆Go ignica」のシステムが不正アクセスを受け、約240万アカウントのうち64,003アカウントの新規登録時の氏名とメールアドレスを含むファイルが取得された可能性があると発表した。
← タグ一覧へ
タグ / 対象技術
スマホアプリ
すべての面から21件。公開日の新しい順。（iOS・モバイル のタグが付いた記事を含みます）キーワードと組み合わせて探す →
シェアフル ― 社内管理システムに不正アクセス、利用者情報流出の可能性
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
GhostMap ― インストールするだけで端末が起動ループする
Bitdefender が、実行コードも権限も要らない細工 APK を入れるだけで system_server が SIGBUS で再起動を繰り返す Android の欠陥 GhostMap を報告。Android 10 以降が対象で、執筆時点でセキュリティ更新による修正はない。
三井ダイレクト損保 ― Webサイトへの不正アクセスで顧客情報が漏えい
三井ダイレクト損害保険は2026年11月6日、自社Webサイトへの第三者の不正アクセスで、見積もりや契約をした顧客の情報約23.4万件が漏えいしたと発表した。氏名・住所・連絡先のほか車両情報や契約条件を含む。カード情報、口座情報、マイページのログインパスワードは含まれない。Webサイトとアプリの手続きは11月4日から停止中。
Poisoned Source ― 解析タグ改ざんなどでスマホに既知脆弱性を攻撃
Sekoia は、改ざんした正規サイト、なりすましの中継サイト、8月27日〜9月3日に改ざんされたウクライナの Web 解析サービス Plerdy の3経路で、未更新の iPhone・Android にゼロクリックの n-day 攻撃（iOS は DarkSword）を配る水飲み場攻撃を報告した。Cookie や端末内のデータを盗むもので、Sekoia は中〜高の確度で APT29 によるものと評価している。
デニーズアプリ ― 旧アプリの移行処理で認証情報を不正に作成された
デニーズは2026年11月3日、旧アプリから新アプリへの移行処理を突いて第三者が認証情報を不正に作り、一部アカウントにアクセスできる状態だったと公表した。会員コード・メールアドレス・生年月日などが取得された可能性があり、取得の有無と人数は調査中。氏名・住所・電話番号・パスワード・カード情報は保持していないとしている。11月9日の第二報で、不正アクセスが確認された利用者は5,590名、うち個人情報が漏えいしたのは3,298名と確定した。
松屋フーズ ― 公式アプリの管理システムに不正アクセス
松屋フーズホールディングスは2026年10月30日、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システムが不正アクセスを受け、10月28日に情報漏えいが判明したと公表した。配達・注文の利用者2,377,127件（氏名・届け先住所・電話番号など）と、アプリ会員2,000件（最大3,000件、生年月日・メールアドレス・暗号化されたパスワードなど）が漏えいした。
良品計画 ― MUJIアプリへの不正アクセスで顧客情報流出の可能性
良品計画は2026年10月30日、無印良品の公式アプリ「MUJIアプリ」への外部からの不正アクセスを検知し、退会者を含む最大約2,726万件のメールアドレス・生年月日・性別が流出した可能性があると公表した。氏名・住所・電話番号・カード情報は含まれず、侵入経路や検知日は示していない。11月4日の第二報で、対象に無印良品ネットストア会員も含まれ、一部は氏名・住所・電話番号も対象、2021年7月以前に入会したMUJI Cardのカード番号全桁など約109万件にもアクセスされた可能性があるとわかった。11月9日の第四報では、ネットストアへのリスト型攻撃による不正ログインの可能性と代引き受取先の情報への不正アクセスが判明し、11月6日から停止中のネットストアの再開を延期した。11月12日の社長会見では、原因を「システムの一部の脆弱性」と認め、運用変更後も破棄すべきMUJI Cardの番号を残していたことを謝罪した。
ソニー生命 ― 不正アクセスで代理店扱いの他社契約者情報が漏えい
ソニー生命は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受け、同社が保険代理店として扱ったメディケア生命の契約者・被保険者の情報約38.5万件（氏名・生年月日・住所・電話番号・証券番号・契約内容）が漏えいしたと公表した。10月27日に判明し、10月28日8時から同サービスやアプリなど6つのサービスを止めている。11月9日の第二報で、ソニー生命自身の保険契約約290万件と、代理店募集人・従業員の情報の漏えいも新たに確認した。
台東区「ささえ～る」 ― 委託先で不正な管理者が作られ情報流出
東京都台東区は2026年10月26日、障害者支援アプリ「ささえ～る」の運営委託事業者である株式会社ミラボのシステムで、不正に管理者アカウントが作成され、会員登録情報がダウンロードされたと公表した。アカウント登録と権限管理の仕組みに設計段階で想定していなかった不備があり、本来付与されないはずの管理者権限が不正アカウントに付いた。流出が確認されたのは208人分で、メールアドレス208件、障害児者との関係195件、障害のカテゴリー158件。不正アカウントは削除され、システムは修正済みで、新規会員登録を一時停止している。台東区障害者支援アプリ「ささえ～る」。委託先ミラボのシステムで不正に管理者アカウントが作られ、208人のメールアドレスと障害のカテゴリーなどがダウンロードされた。
チャリロト ― 投票アプリの脆弱性で会員の口座情報などが取得された
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは2026年10月24日、10月21日9時30分頃から13時頃にかけて、システムの脆弱性を悪用した不正アクセスがあったと発表した。チャリカ会員373名の会員情報、銀行口座情報、カードの下4桁と有効期限、残高や入出金履歴、投票履歴が不正に取得された。パスワードとカード番号の全桁は対象外。脆弱性は修正済みで、アプリは10月23日に再開した。競輪・オートレース投票アプリの脆弱性を突かれ約3時間半の不正アクセス、チャリカ会員373名の住所・銀行口座・投票履歴などが取得された。
グリーンモンスター「FXなび」 ― アプリのAPIから情報取得のおそれ
グリーンモンスター（東証グロース 157A）は2026年10月23日、FXデモトレードアプリ「FXなび」で10月17日に第三者の不正アクセスを確認し、調査の過程で、2026年4月27日20時26分頃から30日14時26分頃にかけて別のIPアドレスの第三者がユーザー情報等を継続的に取得していたおそれが判明したと発表した（第一報）。対象は約619万件で、メールアドレス6万6003件、初回アンケートの回答480万9631件、ログイン用の認証情報や引き継ぎコードなど。原因は「本アプリのAPIの機能」で、APIを修正し、修正前の認証情報をすべて無効化した。10月の不正アクセスの調査で、半年前の4月に別のIPから約619万件のユーザー情報が継続取得されたおそれが判明、原因は「アプリのAPIの機能」。
JFA Passport ― 不正アクセスで一部機能を停止
日本サッカー協会（JFA）は10月18日、公式アプリ「JFA Passport」に10月17日3時25分頃から19時頃まで第三者による不正アクセスがあったと公表した。アプリのサービス提供会社と経路の遮断などを行い、一部の機能を止めている。個人情報を含む利用者情報への影響は調査中で、当面はログアウト・再ログイン・再インストールを控えるよう求めている。JFA公式アプリ「JFA Passport」。10月17日未明から約15時間半の不正アクセスで一部機能を停止、個人情報への影響は調査中。
バーガーキング公式アプリ ― 会員情報管理システムから情報漏えい
ビーケー・ジャパンは10月15日、バーガーキング公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、約1,118万件の会員情報が漏えいしたと公表した。期間は10月2日から7日で、10月13日に判明。会員ID、メールアドレス、氏名、電話番号、都道府県、性別、生年月日などが含まれる。クレジットカード番号は保持しておらず漏えいなし。ログインパスワードの漏えいは現時点で未確認。二次被害も未確認としている。会員情報管理システムへの不正アクセスで約1,118万件が漏えい、クレジットカード番号は非保持。
アエナ公式通販アプリ ― 機械的な連続アクセスで会員情報が閲覧された
化粧品アウトレットを展開するアエナは10月14日、運営する「ECアプリ」に第三者の不正アクセスがあり、会員マイページの情報が不正に閲覧されたと公表した。システムログの解析で10月13日5時58分に判明し、閲覧された可能性があるのは最大81万7215人分。氏名、住所、電話番号、メールアドレス、生年月日、登録したお届け先（第三者宛を含む）、登録済みクレジットカードの下4桁・有効期限・名義などが含まれる。原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」とし、詳細は調査中。カード番号の全桁・セキュリティコードとパスワードは流出しておらず、会員情報の変更や購入の確定操作も行われていないとしている。
DCM「マイボ」 ― 注意喚起後のログ点検で不正アクセスが判明
ホームセンター大手のDCMホールディングスは10月13日、子会社マイボフェローズが運営する会員サービス「マイボ」の会員情報管理システムが第三者の不正アクセスを受け、会員419人分の会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数と失効予定日が漏えいしたと公表した。9月21日に通常とは異なる多数のアクセスがあり、10月8日にサイバー攻撃に関する注意喚起を受けてアクセス記録を点検したところ不正アクセスが判明した。通信を遮断し、10月9日から「マイボアプリ」の全サービスを止めている。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれない。人数は精査中で、侵入の手口は公表されていない。
P7 DarkSword ― 漏洩iOSエクスプロイトキットで暗号資産を窃取
iVerifyがP7 DarkSwordを解析。iOS 18.4〜18.7向けの商用キットが二次流通した変種で、端末上でキーチェーンをJSON化し、ウォレット窃取と15秒間隔の双方向C2を追加。期限切れ分析ドメインecomtrack.ioの再登録経由でも配信が確認された（Report URI）。漏洩したiOSエクスプロイトキットが進化、端末上でキーチェーンと暗号資産ウォレットを抜き双方向C2へ。
ローソンID ― アプリの表示の仕組みが悪用され情報漏えい
ローソンは10月8日、共通アカウント「ローソンID」が9月12日から14日に、予約・決済サービス「ローソンアプリ予約」が9月17日に不正アクセスを受け、ローソンIDの215万5345件（メールアドレス・氏名、入力していれば性別・電話番号・住所など）と、アプリ予約の26件（氏名・電話番号・クレジットカード番号の一部）が漏えいしたと公表した。原因は、アプリ上で利用者本人に情報を表示するためのセキュリティ機構への不正アクセス。判明は10月7日の調査で、具体的な手口は公表されていない。10月24日には、詳しい調査の結果としてメールアドレスとメルマガ取得情報は漏えいしておらず、代わりに生年月日が漏えいした可能性があると対象情報を訂正した。アプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えい、9月中旬の不正アクセスが判明したのは10月7日。
ミスターマックス ― アプリと通販に不正アクセス、会員情報流出
ミスターマックスは、MrMaxアプリとオンラインストアのサーバーが10月3日に不正アクセスを受け、最大1,735,154人分の会員ID・氏名・メールアドレス・電話番号が流出したと公表。侵入は「本サービスを構成するソフトウェアの機能を不正に利用」したもので、ソフトウェア名や詳しい手口は明らかにしていない。
焼肉きんぐ公式アプリ ― ほぼ全会員分の情報が流出
物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムが10月2日に不正アクセスを受け、ユーザー登録10,808,784件のうち10,788,963件の会員番号・氏名（登録名）・メールアドレス・電話番号が流出したと公表。パスワードや生年月日、利用履歴は対象外。原因と侵入経路は調査中。
セイコーマートアプリ ― 不正アクセスで会員情報が閲覧された
セイコーマートはアプリ経由で会員情報サーバへ不正アクセスがあり、登録経験のある会員の情報が閲覧されたと公表。第三報の57万2022人分から、10月5日の第四報で57万4647人分に修正し、アプリ・Web上の新規入会や会員情報の閲覧・変更機能を終了するとした。手法の詳細は警察連携のため非開示。会員57万4647人分が閲覧された不正アクセス（原因は非公表）。