ディスカウントストア「MrMax」を展開するミスターマックス・ホールディングスは2026年10月6日、子会社のミスターマックスが運営する「MrMaxアプリ」とオンラインストアのサーバーが第三者による不正アクセスを受け、会員の個人情報の一部が外部に流出したと発表した。対象は10月3日時点で会員登録していた最大173万5154人で、流出したのは会員ID、氏名、メールアドレス、電話番号である。住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことを確認したとしている。発表時点で、流出した情報を悪用した被害は確認されていない。
発覚から公表までの経緯
同社によると、2026年10月3日（土）の夕方にサーバーへの不審なアクセスを確認した。発覚後ただちにサービスを一時停止し、同日中に外部からのアクセスを遮断する措置を取った。その後の調査で、第三者がサービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入し、会員の個人情報の一部が流出したことが分かったという。
流出の対象となる情報は会員の登録状況によって異なる。同社は対象の会員にメールで個別に連絡するとしており、送信元のアドレスとして「noreply@mrmax.jp」を案内している。個人情報保護委員会に報告し、警察にも相談している。外部の専門機関の協力を得て詳細な調査を進めるとともに、監視体制を強化している。
悪用されたソフトウェアの名称や、侵入に使われた機能の詳細は公表されていない。
会員を狙う「なりすましメール」に警戒を
今回流出したのはパスワードや決済情報ではないが、氏名・メールアドレス・電話番号の組み合わせは、なりすましメールやフィッシング（偽サイトへ誘導して情報をだまし取る手口）に使われやすい。実在する店舗名と本人の氏名を差出人や本文に入れることで、受け取った側が本物の連絡だと信じやすくなるためである。同社は、自社や関係者を名乗る不審なメール、SMS、電話、郵便物に注意するよう呼びかけ、パスワードやクレジットカード番号を尋ねることはないとしている。
2026年9月末以降、国内では会員アプリやオンラインストアを狙った不正アクセスの公表が相次いでいる。今回の事案は、外部に公開しているアプリやオンラインストアのサーバーそのものが侵入口になった点に特徴がある。公開サーバーで使っているソフトウェアの更新状況や設定を定期的に確かめること、不審なアクセスを早く見つけて止められる監視の仕組みを持つことが、流出の規模を左右する。ミスターマックスは発覚当日のうちに外部からのアクセスを遮断しているが、侵入がいつ始まったのかは明らかにしていない。
同じ手口に、自社は備えられていますか？