セイコーマートアプリへの不正アクセス(2026年9月公表)
結論から
- 2026年9月24日夜、1件のアカウントで不正なクラブカードの退会処理がありました。調べた結果、9月28日に会員情報のサーバーへの不正アクセスが判明しました。
- 第四報(2026年10月5日)では、アプリに登録したことがある会員574,647人分の情報が閲覧されたとしています。パスワード、購買履歴は含まれていません。
- 不正アクセスの手法は、警察などと連携しているため開示を差し控えるとしています。アプリ・Web上の会員情報の閲覧・変更機能は廃止し、手続きは当面店頭で受け付けます。アプリへのログインは10月26日に再開しました。ログインの認証の要素を加え、個人情報にはアプリやインターネットからアクセスできない仕組みに変えています。景品交換の申込サイトは11月以降に再開する予定です。
概要
- 公表日
- 2026年9月29日
- 発生
- 2026年9月24日
- 検知・発覚
- 2026年9月28日
- 最新の公表
- 2026年10月26日
- 組織・業種
- セイコーマート「セイコーマートアプリ」(コンビニ / 小売・EC・アパレル)
- 漏えいした情報・件数
- 574,647人分(第四報。当初は約57万アカウント、第三報で572,022人分)。氏名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会・退会年月日。パスワードと購買履歴は対象外。クレジットカード情報は保有していない
- 業務への影響
- アプリ・Webでの新規入会、会員情報の変更、マイページへのログイン、公式通販などを停止。のちにアプリ・Web上の新規入会・会員情報閲覧/変更・登録カード変更の機能を終了。2026-10-15のお知らせで、マイページからの会員情報閲覧・変更・退会も廃止し、入会・変更・退会は当面店頭で受け付けるとした。2026-10-26にアプリへのログインを再開(メールアドレスとパスワードを登録済みの人。未登録の人のアプリ利用登録は休止を継続)。ペコマーケット(景品交換)の申込サイトは11月以降に再開する見込み(10-15のお知らせ)
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 個人情報保護法に基づき行政当局へ報告したと公表(第三報)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
22時から23時の間に、1件のアカウントでクラブカードの退会処理が不正に行われる [1]
-
17時過ぎに会員サーバーへの不正アクセスの可能性が判明。20時に当該サーバーへの接続を停止 [1]
-
第一報。約57万アカウントの会員情報が漏えいした可能性を公表 [1]
-
第二報。購買履歴は対象外と公表し、公式通販などのログインも一時停止 [2]
-
第三報。572,022人分の閲覧を確認し、行政当局へ報告したと公表 [3]
-
第四報。対象は574,647人分と公表。アプリで全会員に対象かどうかの通知を開始 [4]
-
「会員向けサービス再開予定のお知らせ」。アプリへのログインは10月下旬、ペコマーケット(景品交換)の申込サイトは11月以降に再開する見込みとした。10月末・11月末に期限を迎えるポイントは12月末まで延長。アプリからの会員情報閲覧・新規入会・変更と、マイページからの閲覧・変更・退会は廃止し、当面は店頭で受け付ける [6]
-
アプリへのログインを再開(最新版へのアップデートが必要)。ログインに認証の要素を加え、個人情報にアプリやインターネットからアクセスできないようにし、アクセス数の変化を検知する閾値を下げた。メールアドレス・パスワード未登録の人のアプリ利用登録は休止を続ける [7]
侵入経路と原因
セイコーマートによると、第三者が「セイコーマートアプリ」のサーバーを経由しました。そこから、会員情報を持つサーバーに不正にアクセスしています。
発端は、2026年9月24日の22時から23時の間に見つかった、1件の不正な退会処理です。クラブカードの退会が、本人の意思によらず行われていました。会社はこれをきっかけに調べ、9月28日の17時過ぎに会員サーバーへの不正アクセスの可能性が判明しました。ほかのアカウントでの不正な退会は確認されていないとしています。
侵入の手法は、2026年10月30日時点で公表されていません。会社は第三報で、外部の調査会社と経緯や影響範囲を調べていると説明しました。そのうえで、警察や関係機関と連携しているため、詳細の開示は差し控えるとしています。
影響
対象は、アプリに登録したことがあるセイコーマートクラブ会員です。第一報では「不正アクセスを受けた可能性のあるユーザーID数」を約57万アカウントとしていました。第三報では572,022人分の閲覧を確認し、アプリ会員の49%にあたるとしました。第四報で、対象は574,647人分と公表しています。
閲覧された情報は、氏名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会・退会年月日です。パスワードと購買履歴は含まれていません。クレジットカード情報は、会社がもともと持っていません。アプリに登録していない会員と、2026年9月24日までに退会した会員は対象外です。
会社は、電子マネー「ペコママネー」の不正利用は確認されていないとしています(第一報時点)。ペコママネーの利用やチャージ、ポイント付与、会員価格での購入は、店頭で続けられています。
業務の面では、アプリ・Webでの新規入会、会員情報の変更、登録カードの変更、マイページへのログインが止まりました。公式通販、商品予約サイト、ペコマーケットの申込サイトのログインも、安全性の検証のため一時停止しました。9月末に失効するポイントは、1か月延長されています。
アプリへのログインは、10月26日に再開しました。過去にアプリやWebサービスでメールアドレスとパスワードを登録した人が対象で、アプリを最新版に更新して使います。まだ登録していない人のアプリの利用登録は休止が続き、カードを使うよう案内しています。10月15日のお知らせによると、ペコマーケット(景品交換)の申込サイトは11月以降に再開する見込みで、10月末と11月末に期限を迎えるポイントは12月末まで延長されます。ペコママネーのチャージ・支払い、ポイント獲得、会員値引、店頭のマルチコピー機のサービス、商品予約サイトは使えるとしています。
会社の対応と再発防止策
会社は、不正アクセスの可能性が判明した2026年9月28日の20時に、当該サーバーへの接続を止めました。翌29日に第一報を出し、同日中に第二報で対象外の情報を補足しています。
第三報では、個人情報保護法に基づいて行政当局へ報告したと公表しました。外部の調査会社、警察、関係機関と安全対策を講じながら、業務の復旧を進めているとしています。
第四報では、2026年10月5日から、全てのアプリ会員に対象かどうかをアプリのお知らせで知らせ始めました。あわせて、アプリ・Web上での新規入会、会員情報の閲覧・変更、登録カードの変更の機能を終了すると決めました。今後は店舗やフォームで受け付け、会社が変更を行います。
2026年10月15日には、安全性を高めるため、個人情報をアプリやWebサイトなどから閲覧できない仕組みへ移すと公表しました。アプリからの会員情報の閲覧・新規入会・変更と、マイページからの閲覧・変更・退会は廃止します。代わりの機能は導入のめどが立ったら知らせるとしています。当面、入会・会員情報の変更・退会は店頭で受け付けます。メールアドレスとパスワードの変更は、店頭や電話ではできず、代わりの機能ができるまで待つよう求めています。
10月26日には、アプリへのログインを再開しました。あわせて、不正アクセスを受けてセキュリティを強める仕様の変更をしたとしています。主な変更は3つです。ログインに認証の要素を加えて要件を引き上げたこと、顧客の個人情報にアプリやインターネットからアクセスできないようにしたこと、アクセス数の変化を検知する閾値を下げ、不正な侵入を防ぐ対策を加えたことです。会社は、第三者にログインされても個人情報は閲覧されないと説明しています。
会員には、セイコーマートを名乗るメールに注意するよう呼びかけています。会社がパスワード、ペコマカードのPIN、クレジットカード情報などを尋ねることはないとしています。原因と再発防止策は、2026年10月30日時点で公表されていません。
この事案から学べること
- 1件の不正な退会処理という小さな異常が、約57万人分の閲覧の発見につながりました。会員操作の異常を見逃さないことが、検知の入口になります。
- アプリのサーバーを経由して、会員情報を持つ別のサーバーへアクセスされました。アプリ側のサーバーも、会員情報への入口として守る対象です。
- 会社は、アプリ・Web上で会員情報を閲覧・変更する機能そのものを終了しました。機能を持たないことも、対策の選択肢になります。
- 件数は、第一報の「可能性のあるID数」から、第三報・第四報の「閲覧を確認した人数」へ変わりました。初報の数字は、調査で変わりうる前提で読む必要があります。
自社で確認すること
- 1 会員の退会や登録情報の変更が、本人以外の操作で行われたときに気づける仕組みがありますか?
- 2 アプリ用のサーバーから、会員情報を持つサーバーへどんな通信ができるか、把握していますか?
- 3 アプリやWebで会員情報を表示・変更する機能は、本当に必要なものだけになっていますか?
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- セイコーマートアプリで、パスワードやクレジットカード情報は漏れましたか?
- 会社は、パスワードと購買履歴は漏えいしていないとしています。クレジットカード情報は、会社がもともと持っていません(2026年9月29日の第一報・第二報)。
- 自分が対象かどうかは、どうすれば分かりますか?
- 会社は2026年10月5日から、全てのアプリ会員に、対象かどうかをアプリのお知らせで通知するとしています。アプリに登録していない方と、9月24日までに退会した方は対象外です。
- セイコーマートアプリはいつから使えますか?
- アプリへのログインは2026年10月26日に再開しました。過去にメールアドレスとパスワードを登録した人は、アプリを最新版に更新して使えます。まだ登録していない人のアプリの利用登録は休止が続いており、カードを使うよう案内しています。ペコマーケット(景品交換)の申込サイトは11月以降に再開する見込みです。アプリやマイページで会員情報を見たり変えたりする機能は廃止され、当面は店頭で手続きします(2026年10月30日時点)。
出典
- 「セイコーマートアプリ」への不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ ↗ (株式会社セイコーマート、2026-09-29)
- 「セイコーマートアプリ」への不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ(第二報) ↗ (株式会社セイコーマート、2026-09-29)
- 「セイコーマートアプリ」への不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ(第三報) ↗ (株式会社セイコーマート、2026-09-30)
- 「セイコーマートアプリ」への不正アクセスによる個人情報の閲覧に関するお詫びとお知らせ(第四報) ↗ (株式会社セイコーマート、2026-10-05)
- 「セイコーマートアプリ」に不正アクセス、約57万アカウントの会員情報が漏えいした可能性 ↗ (ScanNetSecurity、2026-10-02)
- 会員向けサービス再開予定のお知らせ ↗ (株式会社セイコーマート、2026-10-15)
- アプリログイン機能再開のお知らせ ↗ (株式会社セイコーマート、2026-10-26)