要点
- 牛丼チェーンの松屋を運営する松屋フーズホールディングスは、公式アプリの管理システムに不正アクセスがあり、約238万件の個人情報が漏れたと発表した。
- 漏れたのは、弁当の注文などに使う「松弁ネット」「モバイルオーダー」「松弁デリバリー」の利用者の氏名・電話番号・届け先住所などで、名前と住所と電話番号がそろって漏れている。
- これを使って松屋を名乗る偽のメールや SMS、電話が来るおそれがある。松屋フーズは、利用者に注意するよう呼びかけている。
何が起きたか
松屋フーズホールディングスの発表によると、入られたのは「松屋公式アプリ」の管理システムだ。第三者による不正なアクセスが分かったのは2026年10月28日で、会社はその夜から公式アプリやウェブサイトなどを止めた。不正アクセスは29日に、個人情報の漏えいは30日に公表された。
発表では、漏れた情報は2つに分かれる。
- 松弁ネット・モバイルオーダー・松弁デリバリーの利用者：237万7,127件。 会員 ID、氏名、電話番号、届け先の住所、松屋ポイントの情報。
- 公式アプリの会員登録情報：約2,000件（最大3,000件の可能性）。 会員 ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化したパスワード、松屋ポイントの情報。
- クレジットカードの情報： 会社の説明では、そもそも預かっていないので漏えいの対象に入らない。
まだ分かっていないことも多い。どの経路で入られ、何が原因だったのかは調べが続いている。アプリとウェブサイトがいつ戻るかも示されておらず、止まっている間は注文・ポイント・会員ランク・特典が使えない。
会社は、個人情報保護委員会への報告を進めているという。漏えいの対象になった人には、会社から個別に知らせる予定だ。
日本の利用者への影響
日本の利用者がそのまま当事者になる話だ。
漏れた237万件余りには、届け先の住所と電話番号が含まれる。メールアドレスとパスワードではないので、それだけでアカウントが乗っ取られる話ではない。それでも、本人の名前と住所を知っている相手からの連絡は、本物に見えやすい。「お詫びの返金」「補償の手続き」をうたう偽の連絡には、とくに気をつけたい。
サービスが止まっている間の埋め合わせとして、松屋フーズはお知らせで次を示している。
- 松屋アプリの会員全体： 11月と12月は、前の月に買った額で決まるはずのランクより、1段高いランクになる（たとえばシルバーの予定ならゴールド）。ダイヤモンドより上になる予定の人には、食事で使える特典が別に付く。
- アプリ版 MATSUYA PASS を9月26日〜10月28日に買った人： アプリが止まっていても割引が受けられるよう、店の券売機で読み取らせる QR コードがメールで届く。送られるのは11月1日までだ。これとは別に、アプリが復旧したら使える30日分（11月28日〜12月27日）のアプリ版 MATSUYA PASS も渡される。
今すぐやること
- 松弁ネットやモバイルオーダーを使ったことがあるかを思い出す。 使ったことがあれば、氏名・電話番号・住所が漏れたものとして構えておく。会社からの個別の連絡も確かめる。
- 「松屋」を名乗るメール・SMS・電話のリンクを押さない。 報道によると、松屋フーズは、メールや電話でパスワードやクレジットカード番号を尋ねることはないとしている。補償のことは、松屋フーズの公式サイトを自分で開いて確かめる。
- 松屋アプリのパスワードを、ほかのサービスで使い回していたら変える。 漏れたパスワードは暗号化されていたとされるが、使い回していたサービスのパスワードは変えておくと安心だ。
- 問い合わせは公式の窓口だけにする。 松屋フーズホールディングスの「個人情報お問い合わせ窓口」は、メール contact_information@matsuyafoods.net、電話 0422-38-1121（平日10時〜16時。音声の案内のあと「1」）。届いた連絡に書いてある番号には、かけ直さない。
背景
飲食店のアプリは、注文・ポイント・クーポンをまとめて扱うので、名前・電話番号・住所が1か所に集まる。今回、入られたのは利用者のスマホではなく、会社の側の管理システムだ。利用者の注意だけでは防げない種類の漏えいである。
漏れた情報は、そのあと別の詐欺に使われやすい。今回は本物の住所や電話番号を手にした相手が、松屋を名乗って連絡してくるおそれがある。
技術者向けの詳細
- 発表元: 株式会社松屋フーズホールディングス（2026年10月30日）。
- 時系列（日本時間）: 10月28日に不正アクセスを確認し、サービスを停止。10月29日に公表。10月30日に漏えいを発表。
- 入られた場所: 「松屋公式アプリ」の管理システム。侵入の経路と原因は調査中で、未公表。
- 漏れた項目:
- 237万7,127件（松弁ネット／モバイルオーダー／松弁デリバリー）: 会員 ID、氏名、電話番号、届け先住所、松屋ポイント
- 約2,000件、最大3,000件（公式アプリ会員）: 会員 ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化したパスワード、松屋ポイント
- クレジットカード情報: 持っていないと説明
- 停止中の対応: 会員ランクを1段上げる（11月・12月）。MATSUYA PASS の購入者に券売機用 QR コードを送る（11月1日まで）。MATSUYA PASS を30日分もう一度渡す（11月28日〜12月27日、アプリの復旧が前提）。
- 偽の連絡への備え: 松屋の名前、補償や返金をうたう件名、届け先住所をそのまま書いた本文を、社内のメールフィルタや注意喚起の材料にできる。